Über Sinn und Unsinn im Heimnetzwerk

[amarthius]

Die Gratisposts sind aus...und jetzt bitte wieder back to topic

 

[Bordi]

Ich habe hier einen alten PC auf dem ubuntu-Server-16.04 läuft und in einem VLAN separiert ist.
Auf diesem läuft Apache, MySQL samt Nextcloud sowie mailcow Mailserver mit SOGo.

Nun habe ich mir eine DS 916+ gekauft die ja all das vorgenannte, wenn auch in anderer Form, mitbringt.
..

Was würdet Ihr tun ...
PC in den Elektromüll und nur die DS 916+ nutzen oder doch getrennt lassen so wie es ist?

Solange die phpVirtualBox auf deiner Ds noch installiert werden kann(!), würde ich den Ubuntu-Server als VM auf die DS packen, und zusammen mit der DS weiterbetreiben. -> PC in den Elektromüll.

http://spk.diablos-netzwerk.de/?channel=all&arch=x86&package=all#showhistory_virtualbox

Sollte es jedoch schon zu spät sein, würde ich mir umgehend was von der Konkurrenz kaufen (welche das kann), und die DS -mit allem was mich an sie Erinnern könnte- in blanke €'s umwandeln.

 

[Hafer]

Solange die phpVirtualBox auf deiner Ds noch installiert werden kann(!), würde ich den Ubuntu-Server als VM auf die DS packen, und zusammen mit der DS weiterbetreiben. -> PC in den Elektromüll.

Oder, wie jugi hier schon schrieb, es aus guten Gründen lieber nicht tun ;-)

 

[blurrrr]

Dienste je nachdem wie gewünscht - auf die Syno umziehen, PC als Baremetal-Hypervisor betreiben und bei Bedarf nach Lust und Laune virtualisieren/testen/rumspielen/duweisstschon Rumspielen an Produktivsystemen ist eher nicht so dolle, von daher würde sich das schon noch anbieten um sich neue Dinge anzuschauen bzw. testen und erstmal lauffähig bekommen... vernünftig implementieren kann man dann ja auf der Syno (sofern gewünscht/möglich). PC könnte allerdings auch 1x pro Woche (oder so) als Backupziel dienlich sein...

 

[Bordi]

Oder, wie jugi hier schon schrieb, es aus guten Gründen lieber nicht tun ;-)

Als VM ist das keine Problem, da sich alles in der VM abspielt, und als solche auch jederzeit auf eine andere Hardware umsiedeln kann. Auch der isolierte betrieb im VLAN kann weiterbetreiben werden, ohne die DS damit hineingezogen wird. Ich betreibe selbst einen Debian-Server auf diese weise. Ist ne gute sache. Ob man den PC noch als Backupziel einsetzen möchte, ist sicher eine Überlegung wert.

 

[Hafer]

Als VM ist das keine Problem, da sich alles in der VM abspielt

Bin kein VM Experte, deshalb die Frage: Auch die Last? Oder führt eine DDoS auf die VM auch zu einer DDoS des Hosts - und damit im hier diskutierten Fall zum DDoS der DS?

 

[Bordi]

Wen der Angriff auf die VM gerichtet ist, wird es erstmal die VM treffen. Ist die VM down ist das Angegriffene Ziel besiegt und Last vom NAS. Du kannst eine überlast der HW verhindern, in dem du der VM nur ein Bruchteil an Rechenleistung & RAM zuschreibst. Beispielsweise 75% Leistung des ersten Kerns, und 2 von 16GB RAM für die VM. Allerdings lässt es sich auch ganz anders einrichten. Mit dazu gehört auch das man sich NICHT gegen DDoS Attacken schützt, und der VM mehr Leistung zugeschrieben bekommt, als das Muttersystem vertragen könnte.

 

[steje43]

Keiner dieser 4 Dienste gehört auf ein NAS -> behalten.

Wieso nicht? Gerade die laufen bei mir immer und das ja schon seit Jahren.

Warum gehören diese Dienste nicht auf einem NAS?

 

[Hafer]

Weil sie access von außen benötigen und damit eine Gefahr für die eigentliche Aufgabe eines NAS sind

 

[Bordi]

Korreckt, ein NAS (Network Attached Storage) ist ein im internen Netz angeschlossener Datenspeicher. ..ein Fileserver Backupserver o. Datencache (meinetwegen auch voll von Backups, Logs und co), und sollte entsprechen geschützt werden. Mit anderer Verwendung wird daraus eine Direct Attached Storage (DAS) ...was einer DX513 entspricht, oder ein Server der von aussen zugänglich sein soll, wie z.B. ein Mailserver. Eine Ausnahme sind Virtuelle Server sofern damit eine -möglichst auf Hardware-Ebene emulierte- Virtuelle Maschine, und kein virtueller Apache Host (LINK) oder ähnlich gemeint ist. Einem Virtueller Server -auch vServer genannt- welcher auch einer Virtuelle Maschine basiert, kann eigenständig und auch ausserhalb des Netzes agieren, ohne das Muttersystem in irgend einer weise zu gefährden. vServer "dürfen" abstürzen, ohne damit die eigentliche Hardware zu gefährden.

 

[steje43]

Korreckt, ein NAS (Network Attached Storage) ist ein im internen Netz angeschlossener Datenspeicher. ..ein Fileserver Backupserver o. Datencache (meinetwegen auch voll von Backups, Logs und co), und sollte entsprechen geschützt werden. Mit anderer Verwendung wird daraus eine Direct Attached Storage (DAS) ...was einer DX513 entspricht, oder ein Server der von aussen zugänglich sein soll, wie z.B. ein Mailserver. Eine Ausnahme sind Virtuelle Server sofern damit eine -möglichst auf Hardware-Ebene emulierte- Virtuelle Maschine, und kein virtueller Apache Host (LINK) oder ähnlich gemeint ist. Einem Virtueller Server -auch vServer genannt- welcher auch einer Virtuelle Maschine basiert, kann eigenständig und auch ausserhalb des Netzes agieren, ohne das Muttersystem in irgend einer weise zu gefährden. vServer "dürfen" abstürzen, ohne damit die eigentliche Hardware zu gefährden.

Und warum gibt es dann so viele Dienste die auf einem NAS laufen können, die über das Internet erreichbar sind?
Datenbackup verstehe ich, also ich habe drei DS´s, dann sollte ich eine für den Mailserver, Webserver nutzen und die andere als Datenbackup?
Hierüber habe ich noch nicht nachgedacht. Da ich die Ds213+ und die Ds216+ habe, könnte ich ja am besten die Aufgaben verteilen.

Zurzeit macht die Ds216+ alles, und die Ds213+ nimmt nur Backups von der DS216+ an, eine Ds211 steht noch im Keller und wird nur Sonntags für Backups wach.

 

[Bordi]

Und warum gibt es dann so viele Dienste die auf einem NAS laufen können, die über das Internet erreichbar sind?

Gute Frage. Ich versuch mich mal. Aufs gerate-wohl hin würde ich behaupten "weil es der Markt, der Wettkampf und nicht zuletzt auch der Privatkunde so verlangt?".

Sicher bin ich mir nicht, wie auch?

Um es genau zu wissen würde schon eine Studie benötigen, daher kann ich nur raten. Andererseits kann ich mir auch nicht vorstellen, dass sich einen DS1815+ mit NAS4free (Key Features) obendrauf erfolgreich vermarkten liesse. .. und gegen bekannt Mitstreiter bestehen könnte. ..obwohl es das empirischere NAS OS ist (das zusätzlich auf BSD basiert).

Oder würdest du anders Entscheiden?

Diese Annahme scheint mir auch deshalb naheliegen, da -egal um was es sich handelt- abseits der Profi Gilde, die Pragmatischen-Reinrasser selten gut ankommen. Da ist die Grün-Soziale Eierlegende Wollmilchsau mit Migrationshintergrund und Beauty Schleife weitaus beliebter.

Verdicts

If we had to award this group test to the distro with the biggest number of features...

Quelle: Linuxvoice

Dabei ist jedem seit längerem klar das mit steigender Anzahl "features", auch die Anzahl der Kompromisse zunimmt. Aber was soll's, ist ohnehin einen Typische Porsche Cayenne Diskussion.

Schlussendlich ist das alles Humbug, da jeder seine eigene individuelle Lösung zu finden hat. Und so kann es ja auch nicht schaden wen der Funktionsumfang etwas weiter ausgedehnt ist. Nur sollte man m.M. nach etwas aufpassen das nicht plötzlich alles zum NAS wird. Ansonsten laufen wir Gefahr dass nebst dem Verständnis auch Begriffe wie Mailserver, Webserver, Cloudserver, Applikationsserver und Co an Bedeutung verlieren, oder auf die Software reduziert werden.




PS: Angesichts dieser Entwicklung ist es sicherlich nur eine Frage der Zeit bis Pagani einen Windelbomber mit Charakter baut.
PPS: What NAS4Free is, and is not (Link)

 

[blurrrr]

Dabei ist jedem seit längerem klar das mit steigender Anzahl "features", auch die Anzahl der Kompromisse zunimmt. Aber was soll's, ist ohnehin einen Typische Porsche Cayenne Diskussion.

Sehr schön formuliert - kann man so nur bestätigen

 

[Hafer]

Und warum gibt es dann so viele Dienste die auf einem NAS laufen können, die über das Internet erreichbar sind?

• Der Nutzer soll selbst festlegen können, welche Risiken er auf sich nimmt.
• Freiheit kommt immer mit Verantwortung.
• Der Nutzer weiß um seine Verantwortung, weil er die Konsequenzen seines Handelns kennt.

Am Beispiel eines NAS kann man das komplette Dilemma liberaler Werte 'rauf und 'runterkonjugieren, wie schön.

 

[heavy]

• Der Nutzer weiß um seine Verantwortung, weil er die Konsequenzen seines Handelns kennt.

Also den Punkt möchte ich doch ein bisschen anzweifeln. Sonst würden nicht so viele leute um hilfe schreien nur weil ihr router nicht mehr in der Liste der DS steht.

 

[blurrrr]

Da kann man heavy nur zustimmen... Deswegen hatte ich ja auch den Thread "Vielleicht ein bisschen viel..." eröffnet... den Usern wird halt suggeriert, dass alles schön einfach ist und auch jeder z.B. "mal eben" einen eigenen Mailserver usw. betreiben kann. Das dem nicht so ist, mussten wohl schon viele feststellen, da u.a. auch schlichtweg oftmals das notwendige Hintergrundwissen fehlt. Ist natürlich schlussendlich völlig egal, weil die Dinger dann ja schon verkauft wurden...

Das muss ja auch nichtmals auf ein NAS bezogen sein, heutzutage finden viele den "technischen Schnickschnack" total super und nutzen die Möglichkeiten (z.B. Thema "SmartHome" oder die brüchtigten Sicherheitslücken namens "billige IP-Cams")... wenn man sich dann mal so manche Konstellationen anschaut (uralte Firmware, direkt via HTTP erreichbar, unverschlüsselt) und sich die Leute dann über so manch "komisches Verhalten" in Ihrem Netzwerk wundern (oder der Heizung, etc.) kann man da in keinster Weise von ausgehen, dass der User die Konsequenzen seines Handelns kennt. Der User weiss nur, dass er das hat, was er wollte, z.B. Steuerung der Heizung über das Internet, aber vermutlich wird ihm nie einer gesagt haben, dass es auch arge Konsequenzen mit sich bringen kann, denn dann hätte er vermutlich anders gelöst (oder nach einer Lösung gesucht) für ein Problem, von dem er vorher nichts wusste.

Die Hersteller sehen sich natürlich auch nicht in der "Pflicht" diesbezüglich explizit darauf hinzuweisen, denn da könnte es sein, dass der vermeintliche Kunde dann doch abspringt, da ihm die Thematik dann ggf. über den Kopf wächst, weil er schlichtweg von der ein oder anderen Thematik keine Ahnung hat. Auf der anderen Seite hat der Hersteller aber auch mit der Thematik "allgemein" nichts am Hut, womit das ebenfalls nachvollziehbar wäre. Ein Autohersteller weisst ja auch nicht darauf hin, dass man nicht jedes Schlagloch mitnehmen soll, weil es sonst zu Schäden am Auto kommen kann So habe ich es schon öfter erlebt, dass z.B. Inhaber von öffentlichen IPv4-Adressen in Kombi mit einer Fritz!Box dann doch die Smarthome-Steuerung (und sonstiges) einfach nach aussen freigeben, anstatt das einfach via VPN zu lösen, was die Fritzbox ja schon von Haus aus mit sich bringt. Auf der anderen Seite scheuen dann auch viele den "extremen" Aufwand, sich vorher via VPN einzuwählen... "Das muss direkt funktionieren, wenn ich die App aufrufe und ich will mich da nich erst so doof einwählen müssen....". Jut, jedem das seine, aber Bescheid wissen sollten die Leute natürlich schon. Von daher schiebe ich solchen Gewerbetreibenden (die es z.B. für wen einrichten) auch eine gewisse Informationspflicht in die Schuhe (auch wenn es gesetzlich nicht vorgeschrieben ist), aber man sollte die Leute auch nicht gradewegs ins Messer laufen lassen... kann man natürlich machen, wenn man auf - sagen wir mal - dubiose Art und Weise sein Geld verdienen möchte, aber naja... ich persönlich fände es besser, wenn entsprechend vor Ort bei der Installation auf die Risiken und Nebenwirkungen hingewiesen werden würde. Im besten Fall könnte man dann sogar ganz vernünftig noch ein wenig Geld mit der Implementierung einer vernünftigen Lösung verdienen.

EDIT: Nicht umsonst gibt es Artikel wie diesen hier...ist ja alles ganz einfach

 

[Hafer]

Also den Punkt möchte ich doch ein bisschen anzweifeln.

Andersrum besser?

• Der Nutzer ist nicht in der Lage, die Konsequenzen seines Handelns zu sehen.
• Zuviel Freiheiten überfordern den Nutzer.
• Um den Nutzer zu schützen, nehmen wir ihm seine Freiheiten.

Am Beispiel eines NAS kann man die komplette Tragödie totalitärer Werte 'rauf- und 'runterkonjugieren, wie schön.

 

[blurrrr]

[*]Der Nutzer ist nicht in der Lage, die Konsequenzen seines Handelns zu sehen.
[*]Um den Nutzer zu schützen, nehmen wir ihm seine Freiheiten.

Diese beiden Dinge kennt jeder Administrator aus der Praxis

 

[steje43]

Gut, dass ich diesenPost hier gelesen habe, Habe heute mehrmals drüber nachgedacht.

Klar, ist das viel schöner und einfacher alle benötigten Dienste auf einem NAS zu haben. Mein erstes NAS war eine DS 110, schnell wuchsen die Anforderungen, weil mir die Dienste sehr gefallen haben.
Also wurde die Ds110 durch die DS213+ ausgetauscht und diese lief bis 2016 mit vielen Diensten die man so benötigt und es wurden immer mehr.

Sei es der Mallsever oder Webserver, FTP Server etc. Ich hatte aber immer ein sehr schlechtes Gefühl, auch mit ziemlich sicheren Kennwörtern, auf dem NAS meine privaten Daten zu speichern.
Dachte immer an die Sicherheit, 100 Versuche am Tag sich an meinem NAS anzumelden ist die Regel! Dabei habe ich alles beachtet was zum Thema Sicherheit hier geschrieben wurde.

Dieses Jahr habe ich mir das die DS216+ gekauft, dachte alle drei Jahre mal ein Wechsel ist ja nicht schlecht. Die DS213+ habe ich noch, macht ab und zu mal ein Backup.

Nun überlege ich mir, die DS213+ wieder sinnvoll zu nutzen um dort meine privaten Sachen abzulegen. Diese sollte nicht mehr online erreichbar sein.

Wie kann ich eigentlich verhindern, dass man sie von außen erreichen kann? Die Ports zu DS 213+ sind alle geschlossen. Reicht das?

Eine Trennung der Daten ist echt sinnvoll.....

 

[blurrrr]

Leite nix von aussen nach innen weiter (kein Portforwarding) und wenn Du nicht willst, dass die alte DS überhaupt ins Internet kann, klau ihr das Standardgateway

Was die Trennung der Daten angeht, kann ich Dir nur zustimmen... meine DS hängt bei mir im LAN und darf auch nicht raus (ausser mal für Updates), ich setze kein QC oder ähnliches ein und ins Netz gehts eh nur via VPN. Für den Zugriff von aussen bzw. Austausch mit anderen, eine DS ins Gastnetz setzen (falls der Router, z.B. eine Fritz!Box) so etwas unterstützt.