Remote Zugriff für einzelne Benutzer deaktivieren

[GGMU]

Hi Leute,

Ich habe mir vor kurzem ein Synology NAS gekauft und es bereits nach meinen Wünschen eingerichtet. Nun gibt es da noch ein Problem, denn ich habe 2 verschiedene Benutzer erstellt, von denen nur einer, von ausserhalb des LANs aufs NAS zugreiffen darf (DDNS). Der Zugriff klappt zwar einwandfrei, jedoch für beide Benutzer. Ich habe nun noch nirgends die Option gefunden das zu verhindern.

Schon Mal vielen Dank

 

[heavy]

Hallo und Willkommen im Forum
Es kommt darauf an welchen Dienst du nach außen freigibst. Denn gennerell kann jeder (auch ich) über ddns auf deine DS zu greifen, ich würde dann erst bei der Passwort eingabe scheitern.

 

[Fusion]

Diese Möglichkeit der selektiven Sperre gibt es mit DSM5.2 nicht. Kommt eventuell mit DSM6.
Du kannst nur den Nutzer auf bestimmte Dienste begrenzen, aber nicht von wo er diese nutzen darf.

 

[GGMU]

Ich habe den Zugriff auf die Diskstation selbst freigegeben. Eigentlich brauche ich den 2 Benutzer nur für ein Netzlaufwerk, daher brauch der gar kein Zugriff auf das DSM selbst.

 

[GGMU]

Also kann ich nur entweder alle, oder keine Benutzer von extern aus auf mein Synology lassen?

 

[heavy]

Wenn sie auf die DSM Oberfläche zugang haben sollen über einen einfachen ddns Zugang ja. Aber was oder wer braucht wie zugriff? Geht es nur um Daten hin und her zu schieben gibt es andere Möglichkeiten ansonsten den Zugriff nur per VPN. etc da müssten wir schon mehr wissen was er machen können soll

 

[Fusion]

Du kannst Benutzer auf gewisse Dienste beschränken und du kannst ihnen diese auf ohne DSM (Systemsteuerung, Anwendungsportal) mit benutzerdefiniertem Port als Direktzugriff zur Verfügung stellen.
Im lokalen Netz kann der Nutzer aber immer selbst einfach die URL ändern und ports 5000/5001 aufrufen, wenn du die nicht auch änderst.

Was du aber nicht kannst ist Benutzern einen Dienst im LAN zu erlauben und per DDNS verbieten.
Per Anwendungsportal kannst du z.B: die Filestation auf 7001 legen und dann im Router eine Portweiterleitung von 34652 -> 7001 machen.
Dann verrätst du dem Nutzer nur die https://diskstation:7001 mit der er im LAN auf die Filestation zugreifen kann.
Per DDNS kann er dann nur zugreifen, wenn er den Port 34652 selbst errät, wenn du ihm diesen nicht sagst. Sobald er diesen aber weiß, kann er sich dort auch einloggen.
Also eine totale Sperre gibt es gerade nicht, korrekt.

 

[GGMU]

Naja es ist so:
Benutzer 1 soll von extern per DDNS auf das Synology zugreiffen können. Dazu gehören die diverse Dienste (aufs DSM selbst, OwnCloud, Plex, Audio Station...)
Das funktioniert auch alles.

Benutzer 2 braucht eigentlich gar kein Zugriff, denn der ist für meine Eltern, die legen ihre Daten auf einem Netzlaufwerk ab und brauchen daher einen Benutzer. Die anderen Dienste habe ich alle deaktiviert, also der Benutzer kann nicht per DDNS auf z.B. OwnCloud zugreiffen. Aber auf das DSM schon
Für so einen simplen Benutzer habe ich daher eine eifache Kombination aus Benutzername/Passwort gewählt. Daher möchte ich aus Sicherheitsgründen den externen Zugriff für ihn deaktivieren.

 

[heavy]

Für das Szenario wirst du auf dsm6 warten müssen (wenn die Funktion wirklich kommt) ansonsten halt doch das DSM nicht über DDNS freigeben sondern über einen VPN Zugang (bei openvpn kann man dann auch den Zugriff auf das LAN "sperren") Oder die Rechte des Benutzers2 so beschneiden dass man im DSM nichts verstellen kann.

 

[Fusion]

@GGMU - wir haben schon verstanden. Eigentlich willst du einen Benutzer, der nur per SMB/CIFS auf eine Netzwerkfreigabe zugreifen kann und sonst nichts.
Das ist (aktuell) nicht möglich für Nutzer die im DSM angelegt werden. Für uns erdenkliche Workarounds haben wir ja genannt und du hast vermutlich auch schon was möglich war umgesetzt.

Der einzige Weg der mir noch darüber hinaus einfallen würde, wäre zu versuchen für Samba einen Nutzer auf der Kommandozeile anzulegen.
Und im Extrem müßte man die Sync zwischen DSM und Samba Nutzern aufheben (und anderes was ich gerade nicht im Blick habe).
Kurzum: Aufgrund der tiefen Integration der Syno/DSM Scripte macht man damit vermutlich viel mehr "kaputt" als das man Nutzen davon hat.
Von daher ist dies KEINE wirkliche Alternative.