Linkzusammensetzung bei Freigabe von Dateien/Ordnern

[blurrrr]

So wie ich das Deiner Signatur entnehme, hättest Du doch auch die Möglichkeit, einfach ein vDSM laufen zu lassen, versuch es doch einfach mal darüber? Ist dann halt etwas kleines virtualisiertes für die Kunden, dafür vom Rest getrennt

 

[TheGardner]

Ja, wäre ne Möglichkeit. Hatte nur das ganze vGedöns von der Syno verbannt, weil irgendso ein Weiser hier mal den klugen Spruch getan hat, dass die Syno als NAS geboren wurde und mittlerweile jeden Mist können muss und am Ende die Leute dann rumseiern, weil irgendwer in ihre Syno eingebrochen ist, da er nen Weg über irgendwelche Drittanbieter-Apps gefunden hatte. Recht hatte der, eigentlich sollte man sich auf das beschränken was die Syno können soll (Datei- und Ordnerfreigaben, NAS und bissl Webserver und ferdsch).

Das waren die zwei Themen, wo Leute bekannt gegeben hatten, dass ihre Synos verschlüsselt worden sind, weil irgendso'ne Russenkombo nen Weg in deren Netz über Docker gefunden hatte.

 

[blurrrr]

Jo, ist schon korrekt, hast aber ja sowieso tausend Sachen darauf laufen ? ? Ich persönlich - bei Umsetzungen in Firmen - stelle i.d.R. für den Austausch noch immer ein kleines 1-Bay-NAS hin (je nach Anforderung auch 2-bay) - J-Series, liegt man bei 80-160€ + kleine Platte rein (30-50€), fertig. Normalerweise noch in einem extra Netzwerksegment, aber das sei mal dahin gestellt... Kunden hab einfach nix dort zu suchen, wo primär die geschäftlichen Daten liegen, ist aber auch nur meine Meinung, das sieht auch wieder jeder anders ?

Problem ist wirklich, dass die Dinger halt echt viel können (Server ist Server (stellt "Dienste" bereit), hilft ja nix und je mehr bunte Knöpfe da sind, desto mehr bunte Knöpfe werden gedrückt). Hingegen das Thema mit der Virtualisierung (dafür ist so ein NAS aber eigentlich primär garnicht gedacht) hat schon Hand und Fuss, nur würde ich da ggf. nicht unbedingt auf Synology setzen (generell nicht auf NAS-Kisten). Haben es halt schön und einfach verpackt... ??

 

[TheGardner]

Jo, hast Recht. Ist bisher halt schweine einfach gewesen. Konntest nebenher alle möglichen Dateien "ausm Pulk raus" in Foren, Intranet und Telegram Gruppe zum Download anbieten, ohne dass irgendwas von dem Großen und Ganzen dahinter bemerkt werden konnte. Jetzt werde ich das erstmal einäschern können, oder eben irgendwas von Deinen Vorschlägen umsetzen. Ist halt dann meisst das Gleiche, wie beim Webserver. Man muss die Datei erst in den Downloadpool kopieren, damit sie "downloadbar" ist.

 

[blurrrr]

Naja, obliegt halt der vielfältigen Nutzung des Gerätes. Je mehr man damit macht, desto komplexer wird es. Hätteste direkt den "anderen" Kram auf z.B. ein VDSM ausgelagert und das eigentliche NAS nur als reinen Datenspeicher genutzt, wäre die Problematik derweil ggf. garnicht existent. Dadurch bedingt, dass Du aber auch die ganzen anderen Apps nutzt, macht es natürlich schon Sinn, dass die Daten auch auf dem Hauptgerät liegen und da dreht man sich dann wieder im Kreis.

Um da jetzt auch mal wieder die Luft etwas herauszunehmen: Ich muss allerdings schon sagen, dass ich das Quickconnect-Verhalten schon relativ dubios finde, denn "theoretisch" sollte es über die QC-Adresse (oder gofile) funktionieren und nicht auf den FQDN umleiten... Denke, es wäre wohl ganz sinnvoll, wenn man da einfach mal ein Ticket bei Synology eröffnet, denn (ich meine mich zu erinnern, dass) im Syno-Whitepaper zu Quickconnect auch nichts dergleichen erwähnt wird.

EDIT: Kann natürlich sein, dass das Ding noch auf einen PTR-Record reagiert (Reverse-DNS, falls Du sowas bei der Telekom eingerichtet hast).

 

[Fusion]

Egal wo, du kannst überall Freigabe Links erstellen in der File Station egal ob Quickconnect oder DDNS oder IP etc.
Wenn man den DSM Port nicht nehmen will legt man im Anwendungsportal die File Station auf einen anderen Port oder gleich eine benutzerdefinierte Domain und kommt auf https/443.
Bsp https://file.example.com
Die Freigabelinks sind dann /sharing/blabla hinten dran.

Ob Synology etwas geändert hat weiß ich nicht. Die Maskierung der Freigabelinks mit gofile.me/sharing/blabla hat schon was. Vielleicht geht das nur noch wenn QC über Relay läuft. Sobald er erkennt, dass du den DSM Port oder anderes offen hast probiert er es vielleicht direkter inzwischen. Ob das dann früher ein 'fehler' war oder nicht....
Müsste ich auch erst wieder einen bisschen nachlesen und testen.

 

[blurrrr]

Najo, trotzdem fraglich, warum das ganze dann sofort auf den korrekten öffentlichen FQDN umgeleitet wird... finde ich schon ein bisschen suspekt... aber hey, kennt man doch - kein Bug, ein "Feature"! ?

 

[Fusion]

Da wäre die Frage ob der öffentliche FQDN irgendwo im DSM eingetragen ist?
Weil zaubern können sie nicht, und dass sie mit PTR oder anderem rum raten kann ich mir nicht vorstellen.

Aber ja, vielleicht ein Ticket wert mal zu fragen wie man die Maskierung über gofile.me forcieren kann.

 

[blurrrr]

Na... beim "zaubern" bin ich mir da nicht so sicher... ??

 

[Fusion]

Da hat jemand mit Relay aus/einschalten erfolg gehabt, andere leider nicht.
https://community.synology.com/enu/forum/1/post/127238?page=2&sort=oldest
Und scheint auch immer mal anders zu funktionieren.
Sauber scheint es nur wenn man NUR Quickconnect als Zugang alleinig nutzt.
Aber das ist die Maskierung dann denke doch nicht wert.

 

[blurrrr]

Cheater! Google benutzen kann doch jeder ? ?

EDIT: Würde ja quasi bedeuten, dass da irgendwas mit dem Relaydienst (auf der Syno) nicht stimmt... auch nicht schlecht...

 

[TheGardner]

Da wäre die Frage ob der öffentliche FQDN irgendwo im DSM eingetragen ist?

Ist ja leider nicht viel möglich, ausser die Externer Zugriff & Netzwerk Kategorie. Ich werde mal los ticketting... Was es gebracht hat, dann hier...wenn es was gebracht hat.
Edit: glotz mir das im englischen gleich nochmal an...

 

[Fusion]

Ach, da fällt mir einiges ein in der GUI.
Externer Zugriff > Erweitert
Netzwerk > DSM Einstellungen
Anwendungsportal > Anwendungen / Reverse Proxy
Web Station vHosts

 

[Fusion]

Hab auch #4 nochmal angeschaut.
Deine org Domain ist auch auf der DS mit Let's encrypt versorgt aber außer bei den Zertifikaten nirgends eingetragen?
Oder wie sieht das Konstrukt dazu aus vom Domain Verwalter / DNS bis zur DS?

 

[TheGardner]

Sind eigentlich zwei org's dahinter. Beide mit Zertifikat, aber nur eine ist die Hauptdomain und eben unter Externer Zugriff - Erweitert eingetragen.
Synology DDNS ist jetzt gelöscht und QuickConnect weiter an und läuft.

- kein Reverse Proxy
- vHosts nur die zweite Domain, welche auf nen Subfolder unter /web zeigt + 2. vHost www.

 

[Fusion]

Dann nimm mal den Eintrag unter Externer Zugriff raus und teste das.
Die Domain wird weiterhin dorthin zeigen wo sie jetzt hinzeigt. Das hängt ja nur von externen DNS Einstellungen zusammen.
Aber den Host Eintrag unter Externer Zugriff ist zur Benachrichtigung an DSM wie er extern zu erreichen ist eben damit Links etc mit der richtigen Domain laufen. Weil er das nicht erraten oder selbst feststellen kann.

 

[blurrrr]

Dann müssen aber vermutlich auch die ganzen App-Geschichten (Filestation, etc.) noch nachgezogen werden

 

[Fusion]

Wieso?

Der Eintrag definiert weder einen Hostname auf der DS selbst, noch ändert er irgendwas an den externen DNS Einstellungen.
Bsp DS file. Blabla.org:xxxx für File Station wird also genauso funktionieren wie vorher auch. Intern auch unverändert mit demselben Eintrag, wenn NAT Loopback funzt und wenn keine Portumleitung ala xxxx > yyyy im Router erfolgt.

 

[blurrrr]

Wenn man jetzt mal von blabla.org:xxxx ausgeht, woher soll da irgendwer wissen, dass da die Filestation liegen soll? Wäre dann doch eher blabla.org:xxxx/file, oder eben der angepasste FQDN (und/oder Port), das meinte ich... ansonsten landet man doch nur beim z.B. DSM? (also je nachdem natürlich)

EDIT: Oh, sorry! Was Du vermutlich nicht weisst: Die Apps waren schon mit eigenen Subdomains erreichbar.
EDIT2: Denkt man länger nach, müssen die Einträge ja sowieso schon vorhanden sein, also forget about it... ist schon spät... ?

 

[Fusion]

Jo, dachte bei den Klartextnamen geht es nur um den Selbst-Zugriff und da weiß man ja wie man rankommt.
Vorausgesetzt der sharing link ist überhaupt erst mal wieder auf gofile maskiert.