Ständige Anmeldeversuche am DSM

[uglyguy]

Klasse - manuell probier ich das auf jeden Fall mal aus. Vielen Dank!

 

[geimist]

Du kannst die IPs auch manuell installieren. Das geht ohne Probleme und du hast auf einen Schlag zwischen 20000 und 23000 gesperrte IPs, je nach Quelle.

Das sollte man dann wirklich sehr oft machen, weil sich die Liste sehr schnell ändert (innerhalb einer Stunde im dreistelligen Bereich). Oft handelt es sich ja um gekaperte IP-Adressen (aufgrund kompromittierter Geräte), welche schnell auf irgendwelchen Blacklists landen. Daher sind die Bösewichte immer bestrebt, möglichst 'neue' IP-Adressen für ihre Absichten zu nutzen. Aus diesem Grund läuft das Skript bei mir aller 10 Minuten.

 

[EDvonSchleck]

Das sollte aber für einen Enduser wie @uglyguy nebensächlich sein. Lieber sind mehr IPs gesperrt als zu wenig. Dass man eine gesperrte IP vom Provider zugewiesen bekommt, halte ich für machbar, aber auch sehr gering. Selbst Marius verkauft seine IP-Liste.

Meine Meinung zu deinem Script habe hier im Forum oft genug kund getan. Ich bin dafür sehr dankbar und ein bisschen enttäuscht, warum nicht jeder der dieses auf seine DS einsetzt, die Zeit findet sich bei dir im Beitrag zu betragen bzw. zu liken . Du machst die DS damit ein Stück sicherer, weil es Synology nicht schafft eine Textdatei automatisiert zu importieren.

DANKE dafür

 

[geimist]

Mit Blacklist meinte ich Fail2Ban, blocklist.de ect., wodurch die IPs für die Bots an Wert verlieren.

Ich bin dafür sehr dankbar und ein bisschen enttäuscht, warum nicht jeder der dieses auf seine DS einsetzt, die Zeit findet sich bei dir im Beitrag zu betragen bzw. zu liken …

Ich hab das Skript ja nicht erfunden, sondern immer nur etwas angepasst und für die Automatisierung optimiert. Die Quellen sind ja darin angegeben.
Deine Unterstützung bzgl. der Zertifikate bei so vielen Usern trägt nicht weniger zur Sicherheit und Komfort bei. Und es gibt noch so viele andere, wo jeder seinen Beitrag leistet.

 

[uglyguy]

Hallo zusammen, ich habe mir das Skript https://git.geimist.eu/geimist/Update_Blocklist die letzten Tage etwas zu Gemüt geführt und konnte mein anfängliches Misstrauen dadurch deutlich verringern. Habe es jetzt auch bei mir am Laufen und es funktioniert super! @geimist: Danke dafür!
Werde jetzt probieren die Ports in der FB wieder auf die vertrauten (...nicht originalen) Werte zu setzen und schauen was passiert.
Ich möchte mich nochmal bei allen hier Bedanken für die schnelle und effiziente Hilfe! Super Forum

 

[EDvonSchleck]

Dann hat sich die ganze Diskussion am Ende ja doch noch gelohnt. Eventuell hilft es aber auch andere User, die Bedenken auszuräumen.
Möge die böse Macht von dir ablassen.

 

[uglyguy]

Hmm - also sobald ich den externen Port in der FB aus dem hohen fünfstelligen wieder in den 55xx Bereich verschiebe beginnen die Login Versuche wieder. Trotz Firewall und Skript...
Ja - ist jetzt nicht schön. Aber man gewöhnt sich halt an die Nummern... werde ich jetzt doch in der FB dauerhaft verschieben müssen

 

[EDvonSchleck]

Es kommen ja stündlich andere IPs dazu, ansonsten müsste man die Liste ja nicht aktualisieren. Nutze doch einfach den Port 433 mit einer Subdomain. Verzichte somit auf die Ports für die unterschiedlichen Anwendungen.

Filestation: deinedomain.de:5523 > file.deinedomain.de

 

[uglyguy]

Das verstehe ich jetzt nicht ganz wie du das meinst. Bisher habe ich ja für jede Anwendung (Filestation, Surveillance, Photostation...)einen Port der in der FB weitergeleitet wird.
Intern nutze ich dann meine interne IP des NAS mit :5523 (zum Beispiel für Filestation) :5524 (für Photo)...usw
Extern nutze ich meinedomain.de:5523 / :5524

Wie funktioniert das mit der von die vorgeschlagenen Vorgehensweise?

 

[plang.pl]

Du brauchst einen DynDNS / Domain mit Wildcard Auflösung. Das heißt, deinedomain.de löst auf deine IP auf, genau wie alle Subdomains (*.deinedomain.de). Dann kannst du mit file.deinedomain.de zb die FileStation erreichen oder mit bitwarden.deinedomain.de den Passwortmanager und brauchst keine Ports mehr. Das Stichwort ist Reverse Proxy

 

[EDvonSchleck]

Synology DynDNS kann das natürlich auch. Welchen DynDNS-Anbieter nutzt du denn?
Ich kann dynv6.com als kostenlose Version empfehlen oder alternativ läuft bis heute um 23.59 Uhr noch die Osteraktion von Netcup. Dort kostet deine eigene Domain nicht einmal 1,60 € pro Jahr (dauerhaft). Damit bekommst du deine eigene und private Domain.

 

[uglyguy]

ich bin bei strato

 

[EDvonSchleck]

Dort funktioniert es auch. Gestern gerade eingerichtet.

Erstelle einfach eine Subdomain z.B. File. Hinterlege diese Domain file.deinedomain in der Filestation unter Domain und aktiviere HSTS. Jetzt nur noch den Port 443 zur DS freigeben. FERTIG.

Ggf. musst du noch das Zertifikat anpassen bzw. neu ausstellen. Weitere Subdomains kannst du einfach unter dem Alias hinzufügen.

 

[uglyguy]

Hast du noch ein Stichwort für mich wie ich das bei Strato einrichten kann?

 

[EDvonSchleck]

https://www.strato.de/faq/domains/subdomains-anlegen-und-loeschen/

 

[uglyguy]

Hmm, die Subdomain habe ich angelegt (file.meinedomain.de), der Port 443 wird von der FB weitergeleitet.
Im Anmeldeportal unter Anwendungen habe ich als Aliasname "file" eingetragen, benutzerdefinierte Ports habe ich leergelassen. HSTS ist aktiviert. Beim Aufrufen von https://file.meine.domain.de meckert Safari jetzt das keine sichere Verbindung zum Server aufgebaut werden kann...

 

[plang.pl]

Dann gilt dein Zertifikat nicht für Subdomains. Du brauchst ein Wildcard Zertifikat

 

[EDvonSchleck]

Den Alias musst du herauslassen in der Filestation! Beim Zertifikat unter Alias gibst du alles deine weiteren Subdomains an.

 

[uglyguy]

Ja, der alias ist draußen. Steht nur so hellgrau drinnen
Mit Zertifikat meinst du unter Systemsteuerung=>Sicherheit=>Zertifikat oder muss ich mir eine neues Zertifikat erzeugen?

 

[EDvonSchleck]

Ja musst du oder dein aktuelles bearbeiten und weitere (Sub)Domains unter Alias aufführen. Natürlich funktioniert auch ein Zertifikat für jede Subdomain. Leider kann die DS kein Wildcardzertifikat für externen Domains beantragen. Alternativ wäre der weg über acme.sg. Dort wird nicht nur das Zertifikat beantragt, sondern auch aktualisiert. Bei einem Wildcardzertifikat sind alle Subdomains mit abgesichert, egal wann man diese anlegt. Ein neues Erzeugen eines Zertifikates ist dann nicht mehr notwendig.