IP Sperre Firewall Ausland funktiniert nicht richtig

[petrie]

Hallo,

ich möchte meine DS214 gegen Zugriffe aus dem Ausland sperren. Habe dafür eine entsprechnede Regel in der Firewall erstellt.



Jetzt wollte ich es über einen VPN Dienst, der sich z.B. in Irland befindet testen. Geht aber nicht, die Seite bleibt immer frei.

Den Cache im Firefox habe ich schon gelöscht. Kann es ggf. sein, dass ich das Zuhause garnicht testen kann weil die Fritzbox das dierkt weiterleitet?

Habe ich da irgendeinen Denkfehler drin?

Gruß
petrie

 

[Tommes]

Ich kenn mich mit so einem VPN-Dienst nicht sonderlich aus, aber über ein VPN arbeitest du ja, als würdest du dich in deinem lokalen Netzwerk befinden und dein lokales Netzwerk ist ja in der DS-Firewall freigegeben.

Es macht auch keinen Sinn Deutschland zuzulassen (wobei ja dann alle Anderen Regionen gesperrt sein sollten) und Irland noch mal extra den Zugriff zu verweigern. Ich würde das also möglichst alles in eine Regel packen, alle gewünschten Regionen zulassen und alles andere verweigern. Ich hab das *hier* mal beschrieben...

Tommes

 

[petrie]

Ich kenn mich mit so einem VPN-Dienst nicht sonderlich aus, aber über ein VPN arbeitest du ja, als würdest du dich in deinem lokalen Netzwerk befinden und dein lokales Netzwerk ist ja in der DS-Firewall freigegeben.

Hier das das beschrieben mit der VPN: http://www.idomix.de/306-synology-diskstation-zugriff-fuer-laender-sperren-geoip-firewall

Es macht auch keinen Sinn Deutschland zuzulassen (wobei ja dann alle Anderen Regionen gesperrt sein sollten) und Irland noch mal extra den Zugriff zu verweigern. Ich würde das also möglichst alles in eine Regel packen, alle gewünschten Regionen zulassen und alles andere verweigern. Ich hab das *hier* mal beschrieben...

Ist mir schon klar, ich hatte Irland nur genommen damit ich das mal testen kann.

Wie hast Du das denn getestet?

Gruß
petrie

 

[Tommes]

Meine DS hängt aktuell nicht im Internet, ich hab dafür einen Raspberry Pi. Aber auch hier arbeite ich mit einer GeoIP Sperre. Wie hab ich das getestet...

Zum einen mit einem kleinen PHP-Script auf meinem Webserver, welches mir meinen eigenen Standort ausspuckt. Das Script hab ich von hier, bin mir aber nicht sicher ob das auf einer DS auch läuft.

Weiterhin hatte ich das Glück das sowohl T-Mobile als auch mein Arbeitgeber über ausländische Server verbinden, worüber ich dann die GeoIP Funktion testen konnte.

Ich hab mir das Video von iDomix mal angeschaut und ja, es sollte demnach auch über einen VPN-Dienst gehen. Tut es das nicht, stimmt wohl was in deinen Firewalleinstellungen nicht. Hab so einen VPN-Dienst noch nie benutzt, daher kann ich dazu nicht viel sagen.

Tommes

 

[petrie]

Habe es jetzt hinbekommen. Lag an einer falscher Einstellung der Firewall.

Einen Tipp noch, man kann ausländischen Zugriff auch gut hiermit testen: http://www.webpagetest.org/
Dort kann man einstellen, von welchem Ort aus zugegriffen wird.

Gibt es eigentlich auch ein Möglichkeit (Log File oder Email Benachrichtigung) wenn von außen jemand versucht auf die NAS zuzugreifen

Gruß
petrie

 

[Tommes]

Mir ist nicht bekannt, das gesperrte Zugriffe über GeoIP irgendwo protokolliert werden. Es ist imho schon schwierig genug auf der DS überhaupt ein aussagekräftiges Protokoll zu finden, welches Zu- und Angriffe auf den Webserver protokolliert. Es gibt natürlich die üblichen Verdächtigen, die erreicht man aber nur über die Konsole der DS. Anderseits hab ich mich damit noch nicht weiter befasst, da mein Webserver über einen Raspberry Pi läuft. Hier lass ich mir über logwatch täglich ein Protokoll per Mail zusenden, welches mir hübsch aufbereitet eine Übersicht aller Aktivitäten auf meinen Pi ausgibt.

Tommes

 

[Frosch710]

Hallo petrie,

du kannst die Zugriffe auf den Webserver der DS mitloggen, wird standardmäßig an NUL geschickt.
Mache ich bei meiner Web-DS, ist nicht uninteressant was da so passiert.
Wie das geht ist glaube in der Wiki gewesen.

Mit Telnet die httpd.conf-user bearbeiten.


cd /etc/httpd/conf
cp httpd.conf-user httpd.conf-user-backup (Backup erstellen)
vi httpd.conf-user
i
CustomLog /volume1/web/log/access.log combined (Zeile "CustomLog ..." suchen und ersetzen)
Esc
:wq

Verzeichnis log im Ordner web erstellen und Webdienst anhalten und neu starten.


Grüße vom Frosch

Edit: sicherheitshalber die Zugriffsrechte des log-Verzeichnisses für den http-User löschen.
Die Log-Auswertung geht am besten mit Excel oder ähnlichem.