File Station Zugriff über "Nicht IP" lässt sich nicht sperren

[heinzie]

Hallo,

ich möchte für einen Benutzer die Filestation nur mit einer bestimmte IP zulassen.
Wenn ich das bei der Note Staion im gleichen Menü einstelle geht das einwandfei.
Nur bei der Filestation funktiniert die Blockade nicht.
Wenn ich unter blockierte IP Adresse eine Adresse eingebe wird diese auch wirklich blockiert, nur das sperren geht nicht.




Jemand eine Idee woran das liegen könnte?

Dank im voraus
heinzie

 

[Fusion]

Kannst noch ein paar Details schreiben?
Von wo melden sich die Nutzer an?
via DSM oder via custom-port/alias?
lokales Netz? oder von extern?
Was heißt "diese auch wirklich blockiert, nur das sperren geht nicht"? Ist "sperren" die indirekte Blockade ? ala: Wenn sie in der Block-Liste steht wird sie geblockt und wenn eine andere IP in der Freigabe Liste steht (die zu blockierende IP also in keiner der beiden Listen steht) ist freier Zugriff?

Wenn du sagst bei der Note Station geht es.
Loggt sich der Nutzer via DSM ein und der Menüeintrag Notestation fehlt, oder wie sieht das aus?

 

[heinzie]

Von wo melden sich die Nutzer an?

ich habe beides probiert vom inter Netz oder von extern, in beiden Fällen das Gleiche Problem

Von wo melden sich die Nutzer an?
via DSM oder via custom-port/alias?

normal über die Oberfläche, oder wie meins Du das?

Was heißt "diese auch wirklich blockiert, nur das sperren geht nicht"? Ist "sperren" die indirekte Blockade ? ala: Wenn sie in der Block-Liste steht wird sie geblockt und wenn eine andere IP in der Freigabe Liste steht (die zu blockierende IP also in keiner der beiden Listen steht) ist freier Zugriff?

Beispiel:
- Interne IP ist 192.168.0.3, diese habe ich nur freigegeben
- ich greife dann von Außen über IP 84.119.6.246 auf das Konto des Users zu , dann ist die File Station trotzdem freigegeben




- externe IP 84.119.6.246 gesperrt
- ich greife dann von Außen über IP 84.119.6.246 auf das Konto des Users zu , dann ist die File Station auch gesperrt




Bei der Notestation sieht es dann so aus, einmal mit freigegebener IP Adresse und einmal ohne, genau so wei ich es mir vorgestellt habe.

 

[Fusion]

Ich bin mir bis jetzt nicht sicher, ob dieser IP-Zugriff so arbeitet, wie du/wir ihn hier gerade interpretieren.
Danke für die Bilder, jetzt ist mir auf jeden Fall klar, was du beschrieben hattest.

Bei der Anmeldung gibt es ja mehrere Möglichkeiten.
Entweder im DSM anmelden und dann dort die gewünschte "App" starten oder in der Systemsteuerung - Anwendungsportal für einzelne Apps einen eigenen Port/Alias definieren.
Die Filestation kann man dann z.B. per https://IP:7001 aufrufen. Die "App" bekommt also sozusagen einen separaten Zugang.
Interessant wäre, was in dem Fall passiert mit dem Zugriff.

Darüber hinaus könntest du mal ein Ticket bei Synology starten. Vielleicht bekommt man dann mal raus, wie diese IP-Sperre gedacht ist (ob z.B. ein "nicht auf der Whitelist" automatisch ein "Sperre alle anderen" bedeutet, oder ob dies bei der Note Station vielleicht Zufall ist), Einschränkungen, etc.
Falls die Funktion so gedacht ist, wie in diesem Thread verstanden, dann funktioniert sie nicht richtig und gehört gefixed.

 

[heinzie]

Danke, werde dann mal ein Ticket erstellen.

Als Hintergrund von dem Ganzen, ich will eigentlich nur sicher stellen:

- dass bei Zugriff von außen nur User A Zugriff über die Filestation (mit eingeschränkten Rechten) hat
- User admin soll nur vom internen Netzwerk Zugriff haben
- will einfach nur sicherstellen, dass selbst wenn einer das Passwort vom admin hackt er nicht auf die NAS von extern kommt

Mit der Firewall bekommt man das glaube ich nicht hin. Wenn ich auf Zwei-Faktor-Authentifizierung stelle, müsste ich immer ein Handy haben selbst wenn Zuhause über das lokale Netzwerk zugreife. Ist auch nicht so toll.

Gruß
heinzie

 

[Fusion]

Ja, den anderen Thread von dir habe ich auch gesehen.

Die Firewall kann halt Innen, Außen und Dienste trennen.
Die Benutzerverwaltung kann Dienste erlauben oder nicht.
Aber eine Trennung nach Benutzer pro Dienst nach Innen/Außen gibt es aktuell nicht. (außer das Konstrukt hier würde richtig funktionieren für alle Dienste)

Eventuell kommt sowas in die Richtung mit DSM 6, da müssen wir aber erstmal die Finalversion abwarten.