Benutzeremail Dies ist keine sichere Verbindung

[Harry K]

Hallo, ich hoffe ich bin in der richtigen Rubrik.

Mein Problem ist der Zugriff von Benutzern funktioniert nicht.

Ein Benutzer wurde erstellt

der Benutzer erhält email mit Link mit IP

Doch bei Klick auf den Link Fehlermeldung

Dies ist keine sichere Verbindung

Zurück zur sicheren Website weißer bildschirm mit about:blank


Das Problem liegt beim Test-Benutzer. Ich selber kann Problemlos auf die DS216play zugreifen.

Was mache ich falsch?

Lieben gruß Harry

 

[Fusion]

Kannst du das mal bitte anhand des konkreten Falles ausschmücken? Damit man sieht mit welchen Links, URLs, etc da hantiert wird?
Die Meldung deutet erstmal darauf hin, dass eine Zertifikatswarnmeldung vorliegt, was meist auf nicht übereinstimmende Domain-Namen oder auf nicht im Browser-Trust eingetragenen Signaturen von (öffentlichen) CAs hinweist.

 

[Harry K]

Hallo Fusion.

danke für die schnelle Reaktion.

Folgendes steht in der mail:

Sehr geehrter Benutzer,

Willkommen bei Cloud!
Sie möchten vielleicht auf http://192.168.178.25:5000/ gehen, um Ihr persönliches Profil zu ändern.
(Wenn Sie keine Verbindung zum Server herstellen können, kontaktieren Sie bitte den Administrator.)

(Danach folgt Benutzername und PW in der mail)

 

[Fusion]

ok, und von wo wird dieser Link dann aufgerufen?
Aus dem LAN oder aus dem Internet?
Diese IP stammt aus einem privaten IP range für LANs, mit Sicherheit eine Fritzbox.
Dieser Link funktioniert deshalb auch nur im LAN.

Falls im LAN aufgerufen, bleibt die URL so erhalten , oder hast du die automatische Umleitung unter Systemsteuerung > Netzwerk > DSM Einstellungen gesetzt und der Link wird zu https und 5001?

 

[Harry K]

aufgerufen werden soll es übers Internet.
Korrekt, Router ist eine Fritzbox
DSM Einstellungen
allgemein
http: 5000, https: 5001
alle Haken gesetzt

Als IP wird im Browser
https://192.168.178.25:5001
angezeigt

 

[Fusion]

ok, zum Thema DS von extern gibt es hier etliche Threads, da kannst dich mal umschauen. Ebenso oben gibts ein Link ins Wiki wo man sich auch belesen kann.

Noch ausführlicher wäre schön gewesen.
"soll es" drückt einen Wunsch aus, sagt mir aber nicht, ob du es jetzt von intern oder extern hast versucht zu testen. Gehe ich jetzt mal von LAN aus, weil dein Bekannter von außen sonst einen Timeout hätte bekommen müssen.

Die erwähnte Umleitung ist wohl gesetzt, kannst aber genauso gut aussschalten, da du den DSM eigentlich nicht von außen zugänglich haben willst, unverschlüsselt schon gar nicht.

Punkte die für den externen Zugang bearbeitet werden müssen:
- Welcher Internet-Provider, welche Zugangstechnologie?
- Zugang via Quickconnect, dynDNS, oder eigener Domain (evtl. auch mit fester IP)?
- Portweiterleitungen im Router

 

[Harry K]

Sorry Fusion,
das DS ist wohl zu komplex für mich.
Ich habe einen Test-Benutzer eingerichtet.
ich weißnicht ob und wie es intern/extern getestet wird. Ich habe halt den Link in der mail angeklickt.
Jetzt habe ich bei den DSM-Einstellungen alle Haken rausgenommen. Die Porteinträge blieben noch.
Der Zugriff geht nun. aber ist das ein sicherer Zugriff vom Internet aus?

Den Timeout bekam meine Freundin die ich auch als Benutzer eingerichtet habe.


- Internet-Provider ist 1&1 Zugangstechnologie verstehe ich nicht
- Zugang habe ich selber über Quickconnect, dyndns ist auf der Fritzbox eingerichtet, eigene Domain habe ich versucht bei Strato einzurichten
- Portweiterleitungen im Router nicht gemacht

 

[Fusion]

Intern heißt, das Gerät von dem du den Link aus aufrufst steht im selben LAN/WLAN, wie die DS.
Extern heißt die Anfrage würde aus dem Internet über deinen Router ins lokale Netz gelangen.

ok, 1&1 also DSL oder VDSL. Sehr vermutlich Dual-Stack mit IPv4/IPv4. Beste Voraussetzungen für die Erreichbarkeit.

Die Haken http/2, windows und bonjour auf der Seite Netzwerk > DSM Einstellungen kannst du drin lassen.

Wenn du schon Quickconnect und dynDNS eingerichtet hast, dann vergiss diese email und die darin stehende Adresse einfach mal wieder.
Den Link kannst du z.B. in deinem eigenen Netzwerk benutzen über Port 5000, da brauchst du keine Verschlüsselung unbedingt.

Die Quickconnect Adresse kann z.B. jeder Benutzer der auf der DS eingerichtet ist benutzen.
Was ist unter Systemsteuerung > Quickconnect > Erweitert an Häkchen gesetzt (Relay und auto-Port settings)?
Persönlich würde ich beide rausnehmen und von Hand in der Fritzbox unter Internet > Freigaben > Portfreigaben eine Freigabe eintragen.
Danach sollte es immer noch möglich sein Quickconnect zu nutzen, allerdings ohne Datenumwege über Taiwan und ohne dass die DS automatisch Ports in der Fritzbox einträgt.

Da du auch dynDNS schon hast, solltest du nach setzen der Postfreigabe auch über die dynDNS Adresse und den Port Zugriff bekommen.

Wenn du bei Strato auch dynDNS hast, kannst du das Konto auch in der Fritzbox als dynDNS eintragen. Ein eventuell vorhandenes MyFritz Konto läuft dazu parallel.
Danach kannst du auch über deine Domain und den Port auf die DS zugreifen.
Wenn man es ohne dynDNS bei Strato machen will, muss man für eine Subdomain ein CNAME Eintrag in der DNS Verwaltung dort setzen der auf die vorhandene dynDNS Adresse zeigt (wichtig ist der Punkt am Ende des Namens nach dem ....de.)

 

[Harry K]

moin..... danke für die Info
DSL ist ob Dual Stack weiß ich nicht- die 7490 die von 1&1
ich habe bei http:/2 die Haken gesetzt
Bei Quickconnect sind die Einstellungen schon so gewesen
bei der Fritz welche Ports freigeben? 5000 und 5001
Auf der Fritz ist schon dyndns eingerichtet. Verstehe ich dich richtig dfas ich einen 2. Dyndns für die DS einsetzen kann? Habe den bei Strato dann, auf intern oder extern setzen

NACHTRAG:
Habe versucht über quickconnect meinen testbenutzer anzumelden
Sie dürfen diesen Dienst nicht benutzen
erhalte ich nach dem Login Versuch

 

[Fusion]

Wenn schon Portfreigaben für den DSM, dann nur 5001.
Zur Reduzierung möglicher bösartiger Besucherzahlen, weil die wissen auch was sich normal hinter 5001 versteckt, kann man die Portweiterleitung auch in eine Portumleitung wandeln, also nicht 5001 > 5001 sondern 34521 > 5001, oder gleich eine Weiterleitung auf einem anderen Port machen 34521 > 34521. Das nennt sich Portverschleierung (obscurity) oder Portverlegung auf einen nicht typischen Port. Du hast (fast) frei Wahl zwischen 1024 und 65535 einen zu wählen.
Im Fall der Portumleitung bleibt unter Netzwerk > DSM Einstellungen der Port auf 5001 und unter Externer Zugriff > Erweitert trägt man als https Port 34521 ein. Damit informiert man die DS über die Portumleitung von der sie sonst nichts mitbekommen würde.
Im Fall der Portweiterleitung 34521 braucht man unter Externer Zugriff > Erweitert nichts eintragen / leer lassen, aber unter Netzwerk > DSM Einstellungen ändert man den https Port auf 34521. Den http Port kann man auch ändern, muss aber nicht, der sollte eh nur via LAN (oder VPN) erreichbar sein

Am besten hat man den DSM, also die Schreibtischartige Oberfläche, eben nur im LAN oder via VPN im Zugriff. Das reduziert mögliche Angriffsfläche.
Aber schon mal nur https nach außen überhaupt zugänglich zu machen und vor allem sichere Passwörter zu verwenden (Minimum 10 Zeichen aus Groß/Kleinbuchstaben, Zahlen und Sonderzeichen) ist schon mal besser als nichts.

Nebeninfo: Wenn man die Zwangstrennung/Verschiebung auf Wunschzeit in der Fritzbox (Internet > Zugangsdaten > Verbindungseinstellungen) ausschaltet bzw auf dauerhaft halten stellt bekommt man zumindest bei VDSL der Telekom auch für längere Zeit diesselbe IP. Kann man ausprobieren, wenn man will.
dynDNS bezeichnet die Zuordnung von einem sprechenden Domainnamen zu einer sich ändernden IP des eigenen Internetanschlusses, also die des Routers.
Prinzipiell ist nur ein Gerät im eigenen LAN nötig um dies zu erledigen. Ebenso können diverse Namen bei verschiedenen Anbietern betrieben werden. Welches Gerät diese Updates macht ist egal, am Ende zeigen alle Namen auf die öffentliche/WAN IP des Routers.
In der Fritzbox ist man auf zwei Einträge beschränkt. Einmal den MyFritz dynDNS und einen weiteren den man eintragen kann unter Internet > Freigaben > dynDNS (war das glaube ich).
So habe ich das auch, MyFritz und Strato. Für welches Zielgerät ein dynDNS Namen dient ist dabei erst mal unerheblich. Die Unterscheidung an welches Gerät eine Anfrage geht wird dann in der Fritzbox anhand des Ports getroffen.
Jeder Port kann dabei nur an ein Gerät weiter/umgeleitet werden (bei IPv4, bei IPv6 ist es anders / flexibler). Ich betrachte jetzt mal nur IPv4. IPv6 bei Bedarf separat.

Hast du also z.B. sub.myfritz.net und sub.strato.de als dynDNS eingetragen landest du auf dem Router damit auf Port 80, da ohne Angabe immer von http ausgegangen wird.
Gehst du jetzt auf https und hängst den Port 5001 an (oder eben den Port den du oben gewählt hast) landest du mit beiden dynDNS auf der DS.
Also sowohl https:// sub.myfritz.net:5001 wie auch https:// sub.strato.de:5001 (Leerzeichen nur eingefügt, damit die URL nicht automatisch in einen klickbaren Hyperlink umgewandelt wird)

Um jetzt nicht den DSM öffnen zu müssen, kann man auch einzelne Dienste abgrenzen / separat erreichbar machen. Das geht unter Systemsteuerung > Anwendungsportal.
Dort kann man Aliase (sub.strato.de/dienst), benutzerdefinierte Ports (sub.strato.de:6001) und benutzerdefinierte Domains (sub2.strato.de) definieren, je nachdem, was einem mehr liegt oder gewünscht ist.
Eventuell ist dann der Port 80/443 weiterzuleiten.
Du kannst zum Beispiel auch mit einer Domain bei Strato bis zu 10 Sub-Domains anlegen, wenn nicht schon direkt domain.de als dynDNS Eintrag dient.
Hast man z.B. sub.domain.de als dynDNS eingetragen, kann man sub2.domain.de per CNAME (DNS Einstellungen) auf sub.domain.de zeigen lassen. CNAME zählt nicht als Subdomain bei Strato.
Durch den CNAME Eintrag wird sub2 dieselbe IP zugewiesen wie sub, ohne dass man einen weiteren dynDNS Eintrag machen müsste.

Das war jetzt nur mal ein kleiner Geschmack, weil ich hier auch keine Romane schreiben will. Soll eben zeigen, dass es viele Möglichkeiten gibt, die dich eventuell gerade erschlagen, aber auch, dass ein NAS eben mit Zeit-, Arbeits- und Lernaufwand daher kommt.

Du solltest dir überlegen welche Dienste du von wem und von wo nutzen können willst.
Dann kann man dir auch bei der Auswahl zwischen den obigen Möglichkeiten eine Empfehlung geben und auch Detailfragen klären.

 

[Harry K]

buff, das war viel Info auf einmal.........
okay meine Schuld da ich zu viele Optionen gewählt habe.
welche Option würdest du mir empfehlen?
Wenn:
- Zugriff übers LAN/WLAN im interne Netzwerk
- Zugriff aber auch extern von anderen Benutzern

Hattest du meinen Nachtrag noch gelesen?

 

[Fusion]

Zum Testbenutzer, das kann diverse Gründe haben.
Grundsätzlich ein Vorwort zur Rechteverwaltung.
Alle Benutzer am System gehören der Gruppe "Users" an. Daher empfielt sich diese Gruppe zu ignorieren und dort keinerlei Rechte zu verändern.
Für die Rechteverwaltung auf eigene Gruppen setzen (familie, freunde, backup, ...), da sind der Phantasie keine Grenzen gesetzt. Ich trenne da nach Personenkreisen und/oder Funktionalitäten.
z.B. habe ich eine "streaming" Gruppe, die rein lesend auf die Mediendaten zugreifen darf und sonst nichts.
Die Verwaltung in Gruppen macht sich bezahlt sobald mehr als ein Benutzer in der Gruppe ist. Deshalb habe ich mir das grundsätzlich angewöhnt.
Die Rechte eines Benutzers ändere ich nur, falls ihm seine Gruppenzugehörigkeiten noch zu viele Rechte gewähren und ich ihn noch weiter einschränken will.

Nur aus der Tatsache, dass sich der Testnutzer nicht anmelden kann, kann ich keinen eindeutigen Grund benennen.
Er könnte zum Beispiel kein Recht haben auf die Applikation "Desktop" oder eventuell, dass du in derselben Browser Session noch mit einem anderen Benutzer angemeldet bist.

Hinsichtlich Empfehlung zitiere ich mich mal selbst.

Du solltest dir überlegen welche Dienste du von wem und von wo nutzen können willst.
Dann kann man dir auch bei der Auswahl zwischen den obigen Möglichkeiten eine Empfehlung geben und auch Detailfragen klären.

Ich würde dir einfach jetzt ungern was ins Blaue empfehlen und es geht dann am Ende an deinen Anforderungen vorbei.

Für den Anfang, damit du mit irgendwas starten kannst (bedingt dann eventuell später einen Umbau, schöne Domainnamen, etc)
Nimm den Zugang wie ich ihn beschrieben habe bei "via Portverlegung" und dynDNS mit MyFritz und/oder Strato und immer via https.
Dann hast du grundlegend erstmal Zugang von innern und außen via sub.myfritz.net und sub.strato.de und den gewählten Port.
Das wäre dann von Innen wie außen was in die Richtung (eigene Ports wählen bitte) https:// sub.myfritz.net:34521 oder https:// sub.strato.de:34521 für den direkten DSM Zugriff.
Falls der Name im LAN/WLAN einen Timeout erzeugt musst du die dynDNS Namen noch unter Heimnetz > Netzwerkeinstellunge > dns Rebind Schutz in der Fritzbox eintragen.

Quickconnect kannst du parallel nutzen oder abschalten. Wenn dann aber ohne Relay und automatische Portweiterleitungen und Häkchen nur bei Diensten die du damit nutzen willst.

 

[Harry K]

oh man das ist viel input auf einmal.
ganz schön komplex die Nas von Synology.

was mich gerade verwirrt ist, das andere Benutzer auf die Benutzer-Verzeichnisse zugreifen können. Meiner Freundin ist der Zugang extern gelungen. Da sie blind ist hatte ich über Teamviewer sie beobachtet und unterstützt. Und festgestellt das sie auf mein Verzeichnis zugreifen kann. mich verwirrt auch home und homes.
Bei der Fritzbox hatte ich eine HD ans USB der Fritz angeschlossen und dort ein NAS eingerichtet. Dort konnte ich jedem Benutzer Verzeichnisse zuweisen auf denen er Zugriff hat. auch mit Rechte Lesen, Schreiben, lesen & schreiben.
Aber ich kann bei der DSM keine Verzeichnisse direkt unter Cloud erstellen. Also habe ich alles was NICHT Foto, Video und MP3 ist in das Verzeichnis home gepackt (ohne s)
Verzeichnis CloudStation

 

[Fusion]

Es gibt einen Gemeinsamen Ordner Homes. In diesem befindet sich für jeden Nutzer ein Home-Verzeichnis mit seinem Namen.
Ist der jeweilige Nutzer angemeldet bekommt er nur dieses Verzeichnis mit seinem Namen als "Home" in der File Station oder via Netzwerkfreigabe auf einem Rechner zu sehen.

Sieht ein Nutzer den Ordner Homes ist er entweder Mitglied in der Administrator-Gruppe, oder es wurde an den Berechtigungen für den Nutzer oder die Gruppe Users geschraubt.

Bei der Fritzbox ist das ganze ein Stück weniger komplex, weil auch der Unterbau und die Anforderungen nicht so komplex sind.

Was ist denn "direkt unter Cloud"? Ich bin noch blinder als deine Freundin in dem Zusammenhang, weil ich dein Gerät und deine Einstellungen nicht sehen kann und nur auf deine Beschreibung angewiesen bin und auch Begrifflichkeiten eventuell anders verwendet werden, als ich sie verstehe.
Die oberste Ordner-Ebene sind sogenannte "Gemeinsame Ordner", zu finden und einzurichten unter Systemsteuerung > Gemeinsame Ordner.
Den Gemeinsamen Ordner Homes und die darin liegenden Benutzer-Home-Order sind nur vorhanden, wenn der Benutzer-Home-Dienst aktiviert wurde.

Wenn du mit deinem Benutzer (Mitglied in der Admin Gruppe nehme ich an) angemeldet bist und Daten in deinen Home Ordner legst sind die nur für dich sichtbar und zugreifbar. Wenn du da an den Rechten geschraubt hast, damit dies auch andere sehen können, hast du dieses Konzept der privaten Benutzer-Home Ordner unterminiert.
Für Daten die zwischen benutzern/gruppen ausgetauscht werden sollen legt man weitere Gemeinsame Ordner an und vergibt für diese passende Gruppen/Benutzerrechte.

 

[Harry K]

bei den Berechtigungen steige ich nicht durch.
wie stelle ich wo, was am besten ein?


mit direkt unter Cloud meine ich unter file station
Cloud
chat
home
homes
etc

dort kann ich kein neues Haupt-Verzeichnis eröffnen. nur in den Verzeichnissen unter der Cloud, also unterverzeichnisse in den verzeichnissen (chat, home, homes etc)

ist es dann egal in welchem ordner man die geimeinsamen Ordner erstellt?? home oder homes.
gemiensame Musik dann im Music-ordner videos dann im videos-ordner?

 

[Fusion]

Wie gesagt, die Spalte links die du aufführst ist die Liste der "Gemeinsamen Ordner". Anzulegen in der Systemsteuerung, nicht in der File Station.
Den Ordner "Cloud" hast du dort ja auch schon angelegt, der kommt ja nicht von selber ........

Die Berechtigungen finden sich unter Systemsteuerung > Gemeinsame Ordner > Bearbeiten für den jeweiligen Gemeinsamen Ordner
In der File Station kommst du über Rechts-Klick > Eigenschaften zu den Berechtigungen.
Berechtigungen können vererbt werden, also auf alle Unterordner übertragen werden.

Sinnvoll ist es sich auf Papier mal zu überlegen welche Benutzer und Gruppen man braucht und welche Rechte diese haben sollen.
Danach arbeitet man sich von den Einstellungen der Benutzer/Gruppen und denen der Gemeinsamen Ordner von oben nach unten durch.
Falls nötig ändert man in der File Station noch die Rechte für Unterordner ab.

Das kann ich dir nicht abnehmen dich zu dem Thema mit der Synolog Knowledge-Base https://www.synology.com/de-de/knowledgebase (z.B. https://www.synology.com/de-de/know...w_to_manage_ACL_settings_on_your_Synology_NAS ) , dem Wiki http://www.synology-wiki.de/index.php/Hauptseite oder generell dem Thema ACL (Access Control Lists) zu befassen.

Ohne genaue Anforderungen gibt es eben kein "wie stelle ich wo, was am besten ein".

 

[Harry K]

sieht ganz so aus als hätte ich von vornherein schon massig fehler gemacht.
Den Ordner Cloud selber angelegt?!? Entstand dadurch das der Servername Cloud ist?!?
Muss ich die NAS formatieren und neu aufspielen?
Ich hatte ja die Daten von meiner FritzNAS auf die DSM kopiert ohne vorher Ordner anzulegen.......
oh mist konfus bin.......

 

[Fusion]

ok, dann ist cloud der Name des NAS und kein Ordner in der File Station. Das war aus deiner Auflistung eben nicht ersichtlich.
Die Aussage bleibt. Alle angezeigten Ordner in der ersten Ebene unterhalb von Cloud sind Gemeinsame Ordner, die man in der Systemsteuerung anlegt/einrichtet.

Falls du einen frischen Start machen willst, und du die FritzNAS Daten auch erneut auf die DS kopieren kannst, um einen definierten Ausgangszustand zu haben, kannst du die DS natürlich auf Werkseinstellungen zurück setzen.
Alle Einstellungen und Daten werden gelöscht.
https://www.synology.com/de-de/knowledgebase/DSM/help/DSM/AdminCenter/system_restoredefaults

Allgemeiner Einstieg in die Hilfe-Artikel.
https://www.synology.com/de-de/knowledgebase/DSM/help/DSM/MainMenu/get_started

 

[Harry K]

Ich habe nun die NAS neu aufgesetzt, da ich auf viele Verezeichnisse keinen Zugriff mehr hatte....
Der Servername ist Cloud. Und in der File Station habe ich keine Ordner. Liegt es daran, das ich am Anfang die App-Installationen übersprungen habe?

 

[Fusion]

Die Standard-Ordner audio, video, photo etc tauchen nur auf, wenn du die entsprechenden Anwendungen von Synology installierst. Genauso wie der Homes erst auftaucht, wenn der Benutzer-Home-Dienst aktiviert wird.
Neue Ordner auf der obersten Ebene wie gesagt via Systemsteuerung > Gemeinsame Ordner erstellen.
Die Gruppe users ignorieren und von Anfang an mit eigenen Gruppen arbeiten.