NAS Zugriff von außen über DDNS

Patrik75

Benutzer
Mitglied seit
03. Nov 2021
Beiträge
13
Punkte für Reaktionen
1
Punkte
9
Hallo zusammen,

ich habe aktuell ein NAS zum Musik hören (DS Audio auf Mobilen Endgeräten) ins Internet "gestellt" bzw. freigegeben im Router.
Dies funktioniert aktuell einwandfrei zum Musik hören.
Des Weiteren um das NAS mit einem OneDrive Sync zu können.

Habe ich hierbei einen Fehler gemacht oder etwas vergessen was die Sicherheit angeht?

Gemacht habe ich folgendes:

1. Homepage Seite unter www.all-inkl.de welche nicht groß benützt wird (keine Homepage/Forum/Blog...) unter Tools - DDNS Einstellungen dies eingestellt:
01 DDNS Einstellungen All-inkl.de.JPG

2. Router Fritzbox die DDNS Werte hinterlegt:
02 Fritzbox 6591 Internet - Freigabe - DynDNS.JPG

3. Fritzbox Portfreigaben eingerichtet manuell:
03 Fritzbox 6591 Internet - Freigabe - Portfreigaben.JPG


Dies sind meine Einstellungen.
 

plang.pl

Benutzer
Contributor
Sehr erfahren
Maintainer
Mitglied seit
28. Okt 2020
Beiträge
15.029
Punkte für Reaktionen
5.391
Punkte
564
1.) Wieso hast du Port 80 und 443 freigegeben?
2.) Ich würde der AudioStation einen separaten Port zuordnen (im hohen fünfstelligen Bereich) und nicht gleich das ganze DSM Interface ins Netz hängen, vor allem nicht mit dem Standardport. Hierzu ein Tipp: Der AudioStation kannst du in der Systemsteuerung unter Anmeldeportal (DSM7) oder Anwendungsportal (DSM6) eigene Ports zuweisen. Somit verhinderst du, dass sich ein Angreifer in der DSM-Oberfläche anmelden kann.
3.) Eventuell noch die Synology Firewall auf Geo-Blocking einstellen und zudem die automatische Blockierung von IP-Adressen aktivieren, die sich zu oft mit falschen Daten versuchen anzumelden
 

Synchrotron

Benutzer
Sehr erfahren
Mitglied seit
13. Jul 2019
Beiträge
5.007
Punkte für Reaktionen
2.002
Punkte
259
Persönlich halte ich überhaupt nichts davon, eine privat oder in einem kleinen Unternehmen genutzte DS überhaupt über Portfreigaben ins Netz zu stellen.

Aber wer es denn unbedingt braucht:

Firewall scharf stellen, nur die Pakete zulassen, die tatsächlich benutzt werden, alles andere pauschal sperren. Geoblocking wurde schon erwähnt.

Keine Standardports nehmen, Ports in den höheren 5-stelligen Regionen wählen. Das schützt nur noch sehr bedingt, aber besser als nichts.

Eigene User für die konkrete Anwendung anlegen (z.B. zum Musik hören), in der App hinterlegen, und den Usern ansonsten (auch über ihre Usergruppe) keinerlei Rechte geben.

Eine wasserdichte, mehrstufige Backupstrategie einrichten und dauerhaft fahren.

Wenn man damit durch ist, kommt man zum Ergebnis, dass das Abo beim Streamingdienst technisch und finanziell die bessere Lösung ist.

Ansonsten (bei mir) Fernzugriff NUR über VPN.
 

Jim_OS

Benutzer
Sehr erfahren
Mitglied seit
05. Nov 2015
Beiträge
5.067
Punkte für Reaktionen
2.256
Punkte
259
Ich werfe dann noch mal zusätzlich Nginx und 2FA in den Raum. :)

VG Jim
 
  • Like
Reaktionen: Synchrotron

Patrik75

Benutzer
Mitglied seit
03. Nov 2021
Beiträge
13
Punkte für Reaktionen
1
Punkte
9
VPN hat jedes Familienmitglied auch. Leider funktioniert dies nicht wie soll ich sagen....richtig?
Eingerichtet auf allen iPhones und iPads. Ebenfalls in der Fritzbox.
Allerdings wird die VPN Verbindung ständig deaktiviert/getrennt nach einer kurzen Weile an den Mobilen Geräten.
Warum das so ist keine Ahnung, allerdings ist dies absolut unpraktisch aktuell so.
 
Zuletzt bearbeitet:

Synchrotron

Benutzer
Sehr erfahren
Mitglied seit
13. Jul 2019
Beiträge
5.007
Punkte für Reaktionen
2.002
Punkte
259
Persönlich ist das VPN auf der Fritz!Box mein Rückfall-VPN.

Mein primäres VPN basiert auf WireGuard und läuft auf einem Raspberry Pi. Im Client gibt es die Möglichkeit, dauerhaften KeepAlive als Option auszuwählen. Dann werden ein paar Bytes in regelmässigen Abständen übertragen, um die Verbindung aktiv zu halten.
 

Patrik75

Benutzer
Mitglied seit
03. Nov 2021
Beiträge
13
Punkte für Reaktionen
1
Punkte
9
Wenn in der Fritzbox keine Portweiterleitung eingetragen ist aber das NAS in der Fritzbox Internetzugang hat ist das dann auch unsicher?
 

the other

Benutzer
Sehr erfahren
Mitglied seit
17. Okt 2015
Beiträge
2.103
Punkte für Reaktionen
545
Punkte
154
Moinsen,
keine Portweiterleitung meint hier, dass von außen eigentlich alles am Router gestoppt wird.
Dass dein NAS via Fritzbox Internetzugang hat, ist okay, etwa für Updates, Pakete.
Wie sicher das ist, hängt von dir ab.
Wobei heute viele Angriffe nicht mehr direkt von außen kommen, sondern ein Gerät innerhalb deines LAN kompromittiert wird (E-Mail Anhang etc) und der Angriff dann von dort aus startet.
Meintest du das?
;)
 
  • Like
Reaktionen: Patrik75

Patrik75

Benutzer
Mitglied seit
03. Nov 2021
Beiträge
13
Punkte für Reaktionen
1
Punkte
9
Sodele, ich komme nicht weiter.
Portweiterleitung gelöscht.
VPN ist eingerichtet in der FritzBox:
Fritzbox 6591 Cable VPN einrichten - Fritz VPN Einstellungen.JPG

iPhone auch.
VPN funktioniert.

Jetzt die große Preisfrage, wie kann ich jetzt wieder DS Audio hören von außerhalb?
DS Audio findet keine Verbindung (eingetragen ist noch die Subdomain wie früher bei der Portweiterleitung)
iPhone DS Audio App Verbindungsproblem.jpg
 

plang.pl

Benutzer
Contributor
Sehr erfahren
Maintainer
Mitglied seit
28. Okt 2020
Beiträge
15.029
Punkte für Reaktionen
5.391
Punkte
564
Da musst du nun einfach die lokale IP eingegeben (und evtl den Port). Also so wie wenn du zu Hause im LAN wärst.
 
  • Like
  • Love
Reaktionen: vater und Patrik75

CFB

Benutzer
Mitglied seit
12. Sep 2022
Beiträge
5
Punkte für Reaktionen
0
Punkte
1
Persönlich halte ich überhaupt nichts davon, eine privat oder in einem kleinen Unternehmen genutzte DS überhaupt über Portfreigaben ins Netz zu stellen.
Vielleicht mal eine dumme Frage: Wie greife ich dann von aussen drauf zu? Ich habe jetzt eine Synology und greife über Quickconnect darauf zu? Ist das dann auch schon problematisch? Würdest du das immer nur über VPN machen? Wollte egtl. einen DDNS einrichten, dachte das ist sinnvoller?

Grüße
 

Synchrotron

Benutzer
Sehr erfahren
Mitglied seit
13. Jul 2019
Beiträge
5.007
Punkte für Reaktionen
2.002
Punkte
259
Kommt auf die Art des Zugriffs an:
  • Ein / wenige bekannte, vertrauenswürdige Nutzer sollen zugreifen können => VPN einrichten, ggf. verfügbare Dienste einschränken
  • Mehrere / viele, unbekannte User sollen zugreifen können => Zugriff über das Internet, auf bestimmte, festgelegte Dienste.
DDNS ist keine Zugriffsart, das stellt lediglich für eine Webadresse meinnetz.meinddnsdienst.de die aktuell zugehörige IPv4 Adresse bereit. Das brauche ich auch für ein VPN, schließlich muss ich von außerhalb erst mal die IP des VPN-Servers kennen, bevor ich mich einwählen kann.

Der Zugriff wird definiert über die Ports, die geöffnet werden, und die damit dahinter verknüpften Dienste. Das Ganze wird flankiert durch eine Firewall, die Regeln festlegt, damit nur genau diese zulässigen Zugriffe erfolgen können.

Quickconnect ist aus meiner Sicht eine Rückfallebene, für den Admin, der darüber etwas freischießen kann, wenn es anders nicht geht.
 

CFB

Benutzer
Mitglied seit
12. Sep 2022
Beiträge
5
Punkte für Reaktionen
0
Punkte
1
Okay, denn ich versuche über ALL-Inkl eine DDNS zu erstellen und ich bekomme es selbst mit 10 Anleitungen nicht hin. Adresse wird einfach nicht zugeordnet. Ich mache mal einen neuen Faden dazu auf und ggfalls kann mir einer helfen...
 

ottosykora

Benutzer
Mitglied seit
17. Apr 2013
Beiträge
8.682
Punkte für Reaktionen
1.079
Punkte
288
Okay, denn ich versuche über ALL-Inkl eine DDNS zu erstellen und ich bekomme es selbst mit 10 Anleitungen nicht hin. Adresse wird einfach nicht zugeordnet.
Adresse wird erst zugeordnet wenn etwas deine zur Zeit gültige öffentliche IP an den DDNS Provider meldet. Und diese IP muss auch wirklich aus dem Internet erreichbar sein! Also etwas, dein Router, deine DS oder sonst was muss einen DDNS Updater haben.
 

NASSucher

Benutzer
Mitglied seit
05. Jul 2015
Beiträge
143
Punkte für Reaktionen
15
Punkte
24
Okay, denn ich versuche über ALL-Inkl eine DDNS zu erstellen und ich bekomme es selbst mit 10 Anleitungen nicht hin. Adresse wird einfach nicht zugeordnet. Ich mache mal einen neuen Faden dazu auf und ggfalls kann mir einer helfen...
Bebilderte Anleitung ist doch oben im ersten Beitrag mit drin. Die sollte doch alles abdecken wenn ich mir das so anschaue.
 

CFB

Benutzer
Mitglied seit
12. Sep 2022
Beiträge
5
Punkte für Reaktionen
0
Punkte
1
Muss ich nochmals probieren, bekomme es einfach nicht hin. Nervt.
 

ottosykora

Benutzer
Mitglied seit
17. Apr 2013
Beiträge
8.682
Punkte für Reaktionen
1.079
Punkte
288
vielleicht musst du auch mitteilen was genau nicht geht oder wo gibt es ein Problem
oder was genau du bis jetzt (erfolglos) versucht hast
 

CFB

Benutzer
Mitglied seit
12. Sep 2022
Beiträge
5
Punkte für Reaktionen
0
Punkte
1
Also ich habe über ALL-Inkl, deine DDNS erstellt, damit ich über meine Domain einen eigenen Zugang zu meiner Synology erstellen kann, nicht mehr über Quickconnect. Habe dazu auch Anleitungen mir angeschaut und Zertifikat abgerufen etc.
Jetzt versuche ich die DDNS in mein Synology einzupflegen, damit ich dort den Zugang verknüpft bekomme.
Allerdings wenn ich meine Domain aufrufen will, kommt immer, hier entsteht eine neue Seite.

In externer Zugrill DDNS steht auch der Status "Normal". Aber wie gesagt, eine Verbindung bekomme ich im Internet nicht hin.
Die Ports habe ich auch freigeschaltet.

Grüße
 


 

Kaffeautomat

Wenn du das Forum hilfreich findest oder uns unterstützen möchtest, dann gib uns doch einfach einen Kaffee aus.

Als Dankeschön schalten wir deinen Account werbefrei.

:coffee:

Hier gehts zum Kaffeeautomat 

 
 
  AdBlocker gefunden!

Du bist nicht hier, um Support für Adblocker zu erhalten. Dein Adblocker funktioniert bereits ;-)

Klar machen Adblocker einen guten Job, aber sie blockieren auch nützliche Funktionen.

Das Forum wird mit hohem technischen, zeitlichen und finanziellen Aufwand kostenfrei zur Verfügung gestellt. Wir zeigen keine offensive Werbung und bemühen uns um eine dezente Integration.

Bitte unterstütze dieses Forum, in dem du deinen Adblocker für diese Seite deaktivierst.

Du kannst uns auch über unseren Kaffeautomat einen Kaffe ausgeben oder ein PUR Abo abschließen und das Forum so werbefrei nutzen.

Vielen Dank für Deine Unterstützung!