NAS - Modem - Fritz

[DebX]

Transparenz im Namen der Sicherheit. Wir sind längst gläsern und damit im Arsch. Von wegen Sicherheit. Hier geht es lediglich um die Befugnis des mitlesens. Will ich meinen eigenen Mailserver betreiben brauche ich eine statische IP, habe ich die nicht werde ich von den großen geblockt. Gehe ich zu den vermeindlich großen "sicheren" so geben die einfach mal die Daten raus. So geschehen bei Proton. Ja ich habe was zu verbergen. Nämlich meine Privatsphäre. Die wurde allerdings mit dem Insta und Fratze gejukel, wer schaut sich solch dummes gebabbel und selbst zu schaustellenden wirklich wirklich abgrundtief dummen Leute an?

Aber ich schweife ab. Soweit sind wir gekommen daß ICH mich rechtfertigen muß wieso ich meine Daten nicht hergeben möchte.

Euch allen Dank für den Ensatz.

 

[patrickn]

Selbst zu einem halbwegs sauberen (naja, eigentlich "mies" konfigurierten) Mailserver gehört ein entsprechender Reverse IP Eintrag auf den Mailserver.

Da ist bei dynamischen IP Adressen schlicht nicht möglich. Allein deshalb werden viele Server schon den Versand dorthin blockieren (und genau darum geht es hier ja - kommt nix an ) und da sprechen wir noch nicht mal über dkim, spf und co.
Absolute Basic Pflicht bei Mailserver ein korrekter Reverse IP Eintrag.

 

[JudgeDredd]

Selbst zu einem halbwegs sauberen Mailserver gehört ein entsprechender Reverse IP Eintrag auf den Mailserver.
Da ist bei dynamischen IP Adressen schlicht nicht möglich

Jain
Ich habe teilweise ein Script laufen, das bei IP wechsel automatisch den Banner des Postfix anpasst.

 

[JohneDoe]

Die "Pflicht" für eine statische IP kommt eher daher, weil man sonst noch viel mehr Spam hätte. Daher ist es inzwischen sehr restriktiv. Und mal ehrlich, eine Mail ist wie eine Postkarte. Jedenfalls wenn du sie nicht verschlüsselst mit z.B. PGP. Ansonsten kann sie jeder Server lesen, über den die Mail läuft. Wenn du PGP nutzt, dann kann auch dein Mailprovider nichts lesen.

 

[patrickn]

@JudgeDredd dadurch wird die IP aber nicht dem korrekten Server zugewiesen.
Reverse IP heißt die IP löst auf Hostname xy auf, und das kannst du nur beim hoster von dem die IP kommt definieren.

Dass Postfix dann mit diesem gleichen Namen ist, ist korrekt. Aber halt nur die Hälfte davon.

 

[JudgeDredd]

Mir ist schon klar, was reverse IP bedeutet.
wenn Du einen lookup auf die IP vom Mailserver machst, bekommst Du bei dynamischen IPs ja die Antwort vom ISP DNS.
Wenn man das nun selbst macht und genau diese Antwort in den Banner vom Postfix schreibt, dann ist die Antwort korrekt.

 

[patrickn]

...dann stimmt die Antwort von Postfix, die Antwort der IP aber immer noch nicht. Und genau darum geht's. Beides muss passen.
Den Reverse Eintrag der IP kannst du nicht einfach durch Postfix definieren - das geschieht beim Eigentümer der IP.

Der PTR record muss direkt in die Zone des hosters. Das bekommst du mit einem simplen Eintrag in Postfix nicht hin.

Edit: okay, jetzt hab ich's geschnallt. Einfach auf den dynamischen hostnamen ändern.

 

[JudgeDredd]

auf den PTR vom Hoster habe ich ja (bei Endkundenverträgen) in der Regel keinen Zugriff. Also sehe ich zu, das sich der Postfix exakt so meldet, wie der DNS vom ISP die dynamische IP auflöst.
Somit sieht es für den Sender dann so aus, als würde der Mailserver zur IP passen.

 

[patrickn]

Ja, hab's begriffen ...siehe Edit
Mein innerer Monk sagt mir dazu aber trotzdem neiiiiiin. Für testen vielleicht OK, mehr aber für mich jedenfalls nicht

 

[synfor]

Da ist bei dynamischen IP Adressen schlicht nicht möglich. Allein deshalb werden viele Server schon den Versand dorthin blockieren (und genau darum geht es hier ja - kommt nix an )

Seit wann checken die Server so etwas beim Versand? Davon abgesehen ist ein MX auf einer dynamischen IP-Adresse keine gute Idee.

 

[JudgeDredd]

Für testen vielleicht OK, mehr aber für mich jedenfalls nicht

Recht hast Du. Im produktiven Einsatz nicht zu empfehlen.

 

[synfor]

Wenn das tatsächlich nur ein Modem ist (oder ein Router im Bridgemode), dann kann nur an einem LAN eine Verbindung funktionieren.

Falsch, das geht sehr wohl. Dann muss aber jedes Gerät eine eigene PPPoE-Einwahl verwenden. Voraussetzung dafür ist aber, dass der ISP parallele Einwahlen erlaubt, was zumindest damals bei der T-Online möglich war. Auch 2 verschiedene ISPs konnte man so an einem Telekom-DSL-Anschluss so nutzen.

Wenn ich den Startbeitrag richtig lese, scheitert aber die parallele Einwahl und damit ist das Konstrukt hinfällig.

 

[JudgeDredd]

Ich will hier jetzt nicht zu sehr ins Detail gehen, da es mit dem Thema nix zu tun hat. Unabhängig davon, ob es die Hardware überhaupt ermöglicht, aber dann müsste man beim ISP mindestens ein 30er Netz buchen um 2 WAN Adressen zu bekommen.

 

[metalworker]

Du könntest dir noch nen Rootserver Mieten , und das darauf abspielen.

Aber grundlegend benötigt es das gerassel mit dem Modem vor deiner Fritte nicht


Jedoch egal wie , nen Mailserver selbst zu betreiben ,ist immer etwas fummelig und benötigt kentniss von der Materie .
Sonst ist die Gefahr groß das man sich dadurch angreifbarer macht als wenn man es bei einem der großen Hoster hat.

 

[ottosykora]

ist die Portfreigabe bei der Fritz einfach nur ein großer Mist!

vielleicht ist das eine Fehlinformation
Die Port scanner testen ob der Port tatsächlich offen ist. Dazu genügt es nicht es auf dem Router weiterzuleiten. Da muss auch etwas an dem Port sein, also eine SW zum Bsp welche auch auf diesem Port hört. Hört da niemand, kann der Portscanner nicht unterscheiden ob es auf dem Router konfiguriert ist oder nicht.

 

[hblein]

@DebX, so wie du das in #4 beschreibst, geht das, meines Wissens nach, nicht. Da der Router/das Modem im Bridge-Mode nur eine Verbindung, egal an welchem Port, zulässt. Heißt, selbst wenn du alle Ports am allNet Modem mit Geräten die standalone ins Netz könnten bestückst, wird die Verbindung nur zu dem Gerät hergestellt, welches sich als erstes erfolgreich Verbindet. Und das dürfte der Router (die FritzBox) sein. Sobald ein Gerät (die FritzBox) erfolgreich verbunden ist, lässt das Modem keine weiteren Geräte zu, da es im Bridge-Mode keine Routing-Funktion mehr ausführt.

All das, was bei dir an Zugriffen auf die Synology funktioniert, läuft über die Verbindung des NAS zur FritzBox.
Jeglicher Empfang von Daten durch einen Server, egal welcher Art, bedingt eine Erreichbarkeit von außen. Da ist das mittel der Wahl die Portfreigabe, oder in Extremfällen die DMZ.
QuickConnect ist eine eigene Art, die Erreichbarkeit von außen durch ein paar Kniffe sicherzustellen. Allerdings unterstützen nur wenige der Pakete auf der Synology diese Verbindungsart.

P.S. es kann gut sein, das die anderen dies bereits geschrieben haben, dann bitte ich um Nachsicht, bin erst jetzt dazu kommen.