DSM 6.x und darunter Port 5000/5001 im Internet? Unterschied zu FileStation Port 7000/7001?

[TACiboy]

Hallo zusammen,

DSM läuft per Default ja auf Port 5000/5001. Der Apache des DSM läuft unter root Rechten, d.h. es ist höchst riskant diese beiden Ports im Internet freizugeben.
Wenn nun aber (nur) Dateizugriff auf die NAS aus dem Internet heraus zugelassen soll, könnte man die FileStation nach extern freigeben. Da die FileStation aber auch über 5000/5001 läuft ist das nicht ideal.

Jetzt kann ich im Anwendungsportal ja einen eigenen Port für die FileStation vergeben (7000/7001). Wenn ich jetzt diesen Port nach außen freigebe, dann hätte ich Zugriff auf die FileStation aber nicht auf die DSM Konfigurationsumgebung, richtig?

Nur was bringt mir das jetzt unter sicherheitstechnischen Gesichtspunkten? Port 7000/7001 läuft ja auch unter dem root Apache, bringt es denn dann überhaupt etwas die FileStation per Port vom DSM zu trennen?

Was passiert denn da eigentlich genau im Apache? Wäre ein Angriff auf Port 7000/7001 weniger kritisch?

Wie kann ich sichere Daten (z.B. Haushaltspläne, Lebenslauf, private Dokumente) möglichst sicher abschotten?

Viele Grüße,
Christian


PS: Den Zugriff auf die Daten aus dem Internet sind nicht zwingend per Portweiterleitung nötig, ich würde auch ein VPN nutzen! Die Portweiterleitung der FileStation brauche ich jedoch zwingend für Freigabelinks. Ich kenne aber keine Alternative den Zugriff vom Internet aus zu sperren und nur Freigabelinks zu erlauben - oder habe ich einen Denkfehler und das geht irgendwie?

 

[TACiboy]

Hat denn niemand etwas Hintergrundwissen hierzu?

 

[Andy14]

Unter dem Gesichtspunkt das ein Angreifer eine Lücke in Apache ausnutzt ist es sicherlich egal ob das über Port 5001 oder 7001 passiert.
Über Port 7001 habe ich aber die Möglichkeit nur bestimmten usern den den Zugriff auf die File Station zu erlauben während sich unter 5001 alle user, also auch admin, anmelden können.