Quickconnect, Cloudflare-Tunnel oder DDNS

[ebusynsyn]

Hallo in die Runde

An einem entfernten Standort steht eine DS1522+. Angeschlossen an einer Fritz!Box 6850 5G, darin eine SIM-Karte die es ermöglicht von extern auf das NAS zuzugreifen. In dieser NAS werden keine hochsensiblen Daten verwaltet. Keine weiteren Clients daran. Einfach nur eine 6850 an der die DS hängt.

Um die DS von extern zu erreichen ist
A) ein Cloudflare-Tunnel (Container-Manager) installiert. Läuft problemlos
B) Quickconnect aktiviert - läuft ebenfalls problemlos - etwas träger als A)

Variante C): nicht installiert - DDNS (*.synology.me) wäre noch eine Möglichkeit - via SynoProxy allerdings mit offenem Port in der 6850

VPN ist keine Option, da der Zugriff auch von Geräten erfolgt, die keinen Client installieren wollen/können/dürfen.

Frage in die Runde:
A) B) oder C)?

A und B sind hinsichtlich des Vertrauens in den Anbieter wohl ähnlich anzusehen. C dürfte wohl die geeignete sein.

Was meine die Sonntags-Runde?

Beste Grüsse - schöne Pfingsten...

 

[alexhell]

Ich würde C nehmen. 1. Weil kein Anbieter dazwischen ist und 2. Cloudflare Tunnel schließt Medien aus. Also nur für textformate erlaubt. Und es gibt ein Limit für Dateigrößen.

 

[plang.pl]

Ich würde auch C nehmen. Nur verstehe ich das mit dem SynoProxy nicht.

 

[alexhell]

Glaub er meint damit, dass er ja einen offenen Port dann hat. Sonst kann er ja die Sachen nicht erreichen.

 

[plang.pl]

Naja das ist klar. Aber es muss ja nicht der Port 6850 sein. Ich würde eher 443 + Reverse Proxy nehmen

 

[alexhell]

Ich ging bei 6850 von der Fritzbox 6850 aus und nicht dem Port

 

[plang.pl]

Achso. Das macht auch mehr Sinn

 

[ebusynsyn]

@alexhell @plang.pl

Ja, in der Tat meinte ich den im DSM integrierte Revers Proxy. In der Fritz!Box ist dann nur der 443/80 offen, der auf die 1522+ zeigt und via Reverse Proxy dann zum NAS.

Aber: Offenbar funktioniert das nicht so auf die Schnelle - wie ich es von meinem produktiven NAS (VDSL Internet) gewohnt bin. Denn ich komme auf keine Art und Weise auf die 1522+. Was möglicherweise an gewissen technischen Eigenheiten eines GSM/LTE/5G Routers liegen kann bzw. dessen SIM-Karte. Ob mit oder ohne Firewall macht keinen Unterschied. Selbst als Exposed Host (Einstellung in der FritzBox) komme ich nicht durch.

Via Quickconnect und Cloudflare gehts es problemlos.

DDNS *.synology.me ist korrekt eingerichtet und aktiv
Zertifikat (Wildcard) ist auch eingerichtet.
Synology RP ist meiner Meinung nach auch korrekt eingerichtet - also so, wie ich es von meinem produktiven NAS gewohnt bin.

Muss mich da noch etwas einlesen.

 

[plang.pl]

Du musst vermutlich über IPv6 drauf. IPv4 dürfte nicht gehen.

 

[ebusynsyn]

@plang.pl

ahhh. Das habe ich in der Tat noch nicht probiert. Dank für den Tipp...

 

[ebusynsyn]

@plang.pl @alexhell

Die Umstellung auf DDNS konnte nach längerer Zeit (try&error) nun erfolgreich umgesetzt werden. Es lang nicht an IPv4/IPv6, sondern es war viel profaner.

Da ich die 6850 vor dem Einsatz auf die Werkseinstellungen umgestellt hatte, gingen die APN Informationen verloren. Bin dann darauf gekommen und habe diese wieder eingetragen und dann leider noch einen kleinen Schreibfehler gemacht. Anstelle von Corporate*** habe ich Coporate.**** eingetragen. Auch das hat einige Zeit gedauert bis ich es bemerkt habe.

Das Problem war mal wieder vor dem Bildschirm.... jetzt läuft es wie es soll. QuickConnect und den Cloudflare-Tunnel werde ich noch deaktivieren.

 

[ctrlaltdelete]

n der Fritz!Box ist dann nur der 443/80 offen

Wozu den Port 80 aufmachen?

 

[ebusynsyn]

@ctrlaltdelete

Synology sagt: "Bevor die Zertifikate für Ihre Domains ausgestellt werden, führt Let's Encrypt eine Domainüberprüfung durch. Bitte stellen Sie sicher, dass auf Ihrer Synology NAS und Ihrem Router Port 80 für die Domainüberprüfung aus dem Internet geöffnet ist. Jegliche sonstige Netzwerkkommunikation mit Let's Encrypt erfolgt zum Schutz Ihrer Synology NAS über HTTPS."

Letsencrypt sagt: https://letsencrypt.org/de/docs/allow-port-80/

 

[ctrlaltdelete]

Ok, aber nur temporär zur Erstellung oder Erneuerung der Zertifikate.

 

[alexhell]

Was ist denn immer so schlimm dran, wenn man Port 80 auf hat? Es hängt doch eher vom Einsatzzweck ab. Ich habe z.B. Port 80 immer auf. Aber der leitet auch immer nur auf 443 weiter. Sehe da das Problem irgendwie nicht. Selbst wenn ich eine statische HTML Seite nur über HTTP ausliefern würde, sehe ich das Problem immer noch nicht.

 

[plang.pl]

@ebusynsyn Das mit dem offenen Port 80 ist nur bei nicht-Synology Certs nötig