Diskstation von aussen mit einem PC erreichen der hinter einem Proxy ist. OHNE VPN

[Panther87]

Hallo an Alle.

Ich habe einige male gelesen wie im synology Forum den einen oder anderen geholfen wird. Ich habe eine ganz spezielle Frage an euch und vll weiß jemand eine Antwort. Die SUF habe ich bereits probiert aber hat nichts gebracht (nicht die gleiche Problematik). Falls es doch irgendwo ein Thread gibt dann bitte ich zu verlinken und diesen Thread wieder schließen.

Es geht um folgendes:

meine DS 212+ mit DSM 4.1 von einem PC zu erreichen der hinter einem Proxy steht der mir die 5000 und 5001 Ports sperrt.

PC----->Proxy(sperrt 5000 und 5001 "Problem")---->Internet-->Mein Router (5000 auf 80 und 5001 auf 443 bringt nix bis dahin komm ich ja nicht mal)-->DS 212+

(VPN Server habe ich bereits im Einsatz und von meinen Geräten aus (tablets, smartphones, Pcs) funktioniert alles super. Aber wenn ich an einem Firmen PC sitze kann ich natürlich keinen Adapter für openVPN installieren (keine Berechtigung) somit scheidet VPN aus.) <---vll gibts dazu ne Idee?(die nichts kostet)

FileStation, AudioStation, PhotoStation, Surveillance Station, ownCloud, sind alle mit SSL am laufen außer die WebStation die hat nur http(80). Alle sind aus dem Internet erreichbar also Ports bei meinem Router schon forwarded. Das Problem eben das die PhotoStation sowie Owncloud auf Port 443 erreichbar sind also keine Sperre durch den Firmenproxy aber FileStation, etc laufen auf Port 5001. Ich habe bereits versucht den Port in der DSM zu ändern aber er lässt mich nicht 443 eintragen weil der Port vom System reserviert ist. Ich dachte mir gut dann muss ich halt tiefer.

Die httpd-ssl.conf-user und httpd-ssl.conf für den "User Apache" habe ich angepasst und es hat auch funktioniert d.h Ich habe die Photo Station und den ownCloud auf Port 444 zum rennen gebracht aber jetzt kommt die Problematik. wenn ich den Root Apache httpd-ssl.conf-sys ändere und dann beide Apache Server mit /usr/syno/etc.defaults/rc.d/S97apache-sys.sh restart und /usr/syno/etc.defaults/rc.d/S97apache-user.sh restart neu starte überschreibt er mir die httpd-ssl.conf-sys undzwar mit den Werten aus der DSM die unter DSM Einstellungen http Dienste eingetragen sind. Wie kann ich verhindern das der httpd-ssl.conf-sys überschrieben wird..bzw wo befindet sich die Datei von der er beim restart schreibt. Sind das die Startskripte? /usr/syno/etc/rc.d?? Wobei das ja nur ein sym.Link ist zu /usr/syno/etc.defaults/rc.d und dort würde ich versuchen den Port im S97apache-sys.sh zu ändern: Bevor ich das durchführe würde ich gerne eure Meinung einholen.

GenerateConf()
{
	ADMIN_PORT=`/bin/get_key_value /etc/synoinfo.conf admin_port`
	if [ -z "$ADMIN_PORT" ]; then
		ADMIN_PORT=`/bin/get_key_value /etc.defaults/synoinfo.conf admin_port`
		if [ -z "$ADMIN_PORT" ]; then
			ADMIN_PORT="5000"
		fi
	fi
	ADMIN_SSL_PORT=`/bin/get_key_value /etc/synoinfo.conf secure_admin_port`
	if [ -z "$ADMIN_SSL_PORT" ]; then
		ADMIN_SSL_PORT=`/bin/get_key_value /etc.defaults/synoinfo.conf secure_admin_port`
		if [ -z "$ADMIN_SSL_PORT" ]; then
			ADMIN_SSL_PORT="5001"
		fi
	fi

	cp -f ${HttpdConf} ${HttpdConf}.$$
	if [ $? -ne 0 ]; then
		logger -p user.err -t `basename $0` "backup ${HttpdConf} failed."
		rm -f ${HttpdConf}.$$
		return 1
	fi
	sed -e "/^Listen/c\\Listen ${ADMIN_PORT}" \
	    -e "/^ServerName/c\\ServerName *:${ADMIN_PORT}" \
	    -e "/redirect.cgi?/c\\	RewriteRule ^/(.*)$ /usr/syno/synoman/redirect.cgi?${ADMIN_PORT}" \
	    ${HttpdConf} > ${HttpdConf}.$$
	if [ -s "${HttpdConf}.$$" ]; then
		mv ${HttpdConf}.$$ ${HttpdConf}
	fi

	cp -f ${HttpdSSLConf} ${HttpdSSLConf}.$$ hier wird ja die httpd-ssl.conf-sys überschrieben oder?
	if [ $? -ne 0 ]; then
		logger -p user.err -t `basename $0` "backup ${HttpdSSLConf} failed."
		rm -f ${HttpdSSLConf}.$$
		return 1
	fi
	
	sed -e "/^Listen/c\\Listen ${ADMIN_SSL_PORT}" \
	    -e "/^<VirtualHost/c\\<VirtualHost *:${ADMIN_SSL_PORT}>" \
	    -e "/redirect.cgi?/c\\	RewriteRule ^/(.*)$ /usr/syno/synoman/redirect.cgi?${ADMIN_SSL_PORT}" \
	    ${HttpdSSLConf} > ${HttpdSSLConf}.$$
	if [ -s "${HttpdSSLConf}.$$" ]; then
		mv ${HttpdSSLConf}.$$ ${HttpdSSLConf}
	fi

Vielen Dank für Eure Hilfe...Vll weiß jemand Rat.

Beste Grüße
Robert

 

[meagain]

Hallo Panther87

Wäre es nicht vielleicht einfacher irgend einen anderen Port zu verwenden, der vom Proxy durchgelassen wird und dann beim NAT des heimischen Routers einfach auf 5000 (oder 5001) zurück zu mappen?

Oder lässt der Proxy wirklich nur 80 und 443 durch?

 

[Panther87]

Gute Idee...aber

..Ich weiß leider nicht wie man darauf in der Firma reagiert wenn ich ein Port Scan versuche (wird wahrscheinlich gelogt) und alle Ports von 1-65500 einzeln auszuprobieren will ich auch nicht. 80 und 443 funktionieren definitiv. Vll hast aber ein Tipp welche normalerweise sonst offen sein sollten die ich versuchen könnte. Die Idee dahinter ist das ich die Surveillance Station bedienen will und zwar von überall aus...eben auch mit dem Browser in der Firma und das mit SSL.

Beste Grüße

 

[meagain]

Vll hast aber ein Tipp welche normalerweise sonst offen sein sollten die ich versuchen könnte

Vielleicht sind einige Standardports wie 22, 53, 1935 oder 5060 offen. Oder generell sehr hohe Portnummern (>50000).

Eventuell hilft die Liste der standardisierten Ports um mögliche Kandidaten zu finden

 

[Panther87]

Vielen Dank für die Idee. Ich werde es mal die Woche probieren. Schauen wir mal.

 

[goetz]

Hallo,
wenn Dir etwas an Deinem Job liegt dann lass die Finger davon. Du hast einen Vertrag über xx,x Wochenstunden für ein Entgelt von xxxx.xx€. Per Vertrag oder Betriebsvereinbarung ist die dienstliche Internetverwendung geregelt. Alles außerhalb dieser Vereinbarung kann eine Abmahnung/Kündigung zur Folge haben. Wenn die Admins nicht völlige Schnarchnasen sind bekommen die die regelmäßigen Verbindungen zu Deiner DynDNS Adresse auch mit.
Nimm Dein Smartfone/Tablet mit und erledige die wirklich notwendigen Dinge per 3G, ist immer noch verschwendete Arbeitszeit aber kein abuse des Firmeninternetanschlusses.

Gruß Götz

 

[Panther87]

Danke für die Ratschläge aber wenn meine Surveillance Station Alarm meldet dann will ich so schnell wie möglich ein Bild haben. Deswegen wäre das kein regelmäßiger Zugriff (Hoffentlich). Bis ich mit 3G ein Bild bekomme und die Sirene einschalten kann haben die "bösen Buben wahrscheinlich das Haus schon verwüstet. Das ist der Grund warum ich einen schnellen und sicheren Zugriff auf die DS brauche. Am PC wäre das gegeben wenn ich irgendwie den Proxy umgehen kann für die paar Minuten.

Beste Grüße