Business Verbindung mit DDNS

[loopingLouie]

Hallo zusammen,

seit Tagen versuche ich die Verbindung des BfB Agenten per DDNS Namen hinzubekommen.
Sprich, BfB läuft auf dem NAS, DDNS ist eingerichtet, ich komme auch sowohl von außerhalb meines Netzwerks als auch von intern per Namen XYZ.synology.me auf mein NAS drauf. Zertifikat ist eingerichtet über LetsEncrypt. Https, 5001 funktioniert auch.

NUR: Wenn ich den BfB Agenten auf einem Client installiere, und dort XYZ.synology.me eingebe, meinen User und PW dann kommt immer die Fehlermeldung, "Internetfehler. Überprüfen Sie Ihre Internetverbindung. Wenn das Problem weiterhin besteht, wenden Sie sich bitte"
Gebe ich die IP ein, geht es! (Natürlich mit dem Hinweis, "nicht sicher.. bitte verwenden sie den Domainnamen vom DDNS..." In diesem Hinweis kommt sogar zusätzlich, dass er meinen XYZ.synology.me erkennt! Sprich er sagt, "Bitte melden Sie sich über eine Domain an, für die XYZ.synology.me ausgestellt wurde."

Könnt ihr mir sagen was der von mir haben möchte??? Ich finde die Lösung nicht...

VG

 

[maxblank]

Hallo @loopingLouie und Willkommen in Forum!
Welchen Port hast du denn für ABB weitergeleitet? Dort würde ich ansetzen.

Das müsste der Port 5510 sein.
https://kb.synology.com/tr-tr/DSM/help/ActiveBackup/activebackup_business_requireandlimit?version=7

Grüße
maxblank

 

[plang.pl]

5001 funktioniert auch.

Nur mal nebenbei: Den Port 5001 hängt man nicht ins Internet!

Ansonsten bin ich bei @maxblank

 

[loopingLouie]

Perfekt! Ja, das war die Lösung! Danke dir!
Ich hatte nur 5001 freigegeben und da ich per Browser auf das NAS kam habe ich nicht vermutet, das da noch ein zweiter Port im Hintergrund drauf wartet freigeschaltet zu werden.
Der 5010 ist rein für die ANwendung, 5001 für den https zugriff, habe ich das richtig verstanden?

Danke nochmal für die schnelle Hilfe!

 

[plang.pl]

Ja hast du richtig verstanden.
Aber nochmal: Den 5001 bitte nicht im Router öffnen!

 

[loopingLouie]

@┤plang.pl danke dir!
Soryy, ich bin mit den Ports noch nicht ganz im Thema! Lese mich da grade ein!
Wieso gebe ich 5001 nicht frei?
Das hatte ich bei der DDNS Einrichtung gelesen, dass der freigeschaltet werden muss, um von extern auf das NAS zu kommen um eben nicht mit dem (unsicheren) Quick Connect arbeiten zu müssen.

Kannst du mich aufklären?

 

[plang.pl]

QuickConnect ist deutlich sicherer, als den 5001er aufzumachen.
Da weiß jeder, der nen IP Scan macht, dass da ein Synology NAS von einem unerfahrenen Anwender hängt. Da wird dann ordentlich Brute-Force betrieben. Oder du hast ne Sicherheitslücke, da sind instant mehrere hundert Leute auf dem NAS.
Für sowas lieber VPN nutzen. Wenn es unbedingt ohne VPN sein muss, dann alles über Port 443 mit Reverse Proxy UND
-sichere Passwörter + 2FA
-GeoBlocking
-Blockscript

 

[loopingLouie]

Ach okay! Gut, ich habe natürlich neben user, pw auch 2fa übers Handy, so einfach kommt man da per BruteForce nicht drauf, denke ich.. danke für den Hinweis!
Ich wollte vermeiden, dass ich bei Quick-Connect die Verbindung über Synology-Server auf mein Nas aufbaue und daher lieber direkt auf das NAS gehen, darum habe ich das mit dem 5001 gemacht. Synology hat das ja auch so in der Anleitung stehen. Hätten die ja mal drauf hinweisen können, dass das auch nicht so save ist...
Also deaktiviere ich den wieder und mache doch alles über VPN.

Dort kann ich das DDNS und das Zertifikat ja dann genau so gebrauchen wie bei dem Zugriff über die Portfreigabe von 5001.

Vielen Dank für eure schnelle Hilfe!

 

[loopingLouie]

Was mir noch einfällt, können die nicht genauso den 5010 scannen und attackieren wie den 5001?

 

[plang.pl]

Ja, aber der wird nicht so leicht gefunden, weil die eher nach Standardports für Admin UIs gucken.
Wenn VPN möglich ist, würde ich alles nur darüber machen bzw. mache das bei mir auch so. VPN über den Router und ansonsten nix freigegeben.

 

[loopingLouie]

Okay! Vielen Dank!
Wenn du sagst VPN über den Router, würdest du also eher etwas nehmen, was direkt auf den Router aufsetzt, anstatt z.B. OpenVPN auf dem Synology einrichten und diesen als VPN Server nutzen?

 

[plang.pl]

Nein, definitv lieber den Router nutzen. Ein VPN-Einstiegspunkt hat nix auf dem File-Server verloren.

 

[loopingLouie]

Gut, ich bin 1 Schritt weiter und 1 zurück
Wireguard habe ich auf dem Router konfiguriert. Läuft. Auf dem Smartphone auch! Geht.

Den 5001 habe ich geschlossen.
Jetzt klappt natürlich mein Aufruf über den Browser zb am Handy nicht mehr. Sprich XYZ.synology.me:5001 geht nicht, klar. Wenn ich die 5001 weglasse, leitet der mich statt auf mein NAS auf meinen Router. Da kann ich mich anmelden. Geht also. Wo sage ich dem denn jetzt, dass ich aber zum NAS will und nicht zum Router, wenn ich den Port 5001 entfernt habe?

Sorry für die Anfänger fragen, aber ich versuche mich durchzuboxen...

Gleiches gilt für DS File App auf dem Handy, die ruft auch die Struktur nicht mehr auf vom NAS und läuft in einen Fehler.

 

[plang.pl]

Du kannst dem DDNS sagen, dass er auf die interne IP auflösen soll. Bild siehe hier: https://www.synology-forum.de/threads/ddns-intern-nutzen.127599/

 

[maxblank]

Den 5001 habe ich geschlossen.
Jetzt klappt natürlich mein Aufruf über den Browser zb am Handy nicht mehr. Sprich XYZ.synology.me:5001 geht nicht, klar. Wenn ich die 5001 weglasse, leitet der mich statt auf mein NAS auf meinen Router. Da kann ich mich anmelden. Geht also. Wo sage ich dem denn jetzt, dass ich aber zum NAS will und nicht zum Router, wenn ich den Port 5001 entfernt habe?

Wenn die VPN-Verbindung steht, nutze einfach die interne IP vom NAS ggfls. mit Port.

 

[loopingLouie]

Ja das geht, danke! Zwar ohne Zertifikat wegen der IP, aber mit Namen aufrufen ist dann jetzt leider nicht mehr möglich, es sei denn wie plang sagt wenn ich einen weiteren internen DNS aufsetzen richtig?

Wie bekomme ich das DSFile jetzt noch zum laufen?

 

[plang.pl]

Du kannst entweder den DDNS direkt auf die interne IP biegen oder einen DNS-Server nutzen.

 

[loopingLouie]

Okay, weiß noch jemand, was ich beim filsds eintragen muss damit er funktioniert? Oder ist die Lösung mit dem DNS Server auch fürs fileds nötig?

 

[plang.pl]

Da gibst du entweder die IP des NAS an oder halt den DDNS.

 

[loopingLouie]

Okay, IP geht, ddns geht nicht.
Aber danke für den Tipp!!
Schöne Weihnachtstage euch allen.