DS920+ - sichere Veröffentlichung für Fotos, Kalender etc. gesucht

[droopy987]

Moin zusammen,
ich plane, meine DS 920+ nun auch übers Internet zu veröffentlichen, um einfacher mit der Familie und mit Freunden Bilder zu teilen und gemeinsame Kalender usw. einzurichten etc. Aktuell nutze nur ich per VPN (Fritzbox), um von unterwegs zugreifen zu können. Nun möchte ich es aber auch erweitern, sodass "jeder" Zugriff hat.

Da ich IT-mäßig beruflich unterwegs bin, ist die technische Umsetzung kein Problem. Ich tu mich gerade nur schwer, für DS die richtige Art der Veröffentlichung zu wählen, um das Ganze möglichst sicher zu machen. Ich hätte ein paar Ideen, die ich gerne hier einmal kurz mit euch diskutieren möchte.

Aktuelles Szenario:
DS hängt an Unmanaged Switch, Uplink vom Switch an Fritzbox, Fritzbox geht ins Internet und Fertig. Aktuell DS nicht öffentlich freigegeben, Einwahl per VPN auf die Fritzbox und von dort aus dann weiter auf die DS.

Plan1:
Nun könnte ich natürlich einfach die entsprechenden Ports der DS an der Fritzbox freigeben, DDNS einrichten und das wars. Damit habe ich aber irgendwie Bauchschmerzen, wenn quasi die DS für jeden erreichbar ist und man sich dann in meinem LAN befindet. Klar macht das Port-Forwarding die Fritzbox und eben nur für die bestimmten Ports, aber irgendwie habe ich dabei ein schlechtes Gefühl. (Es sei denn, ihr nennt mir noch Dinge, die mein Gefühl beruhigen... ;-)

Plan2:
Ich nutze das zweite LAN-Interface der DS und gebe diesem eine zweite IP im LAN. Dann würde man darüber die Veröffentlichung der jeweiligen Dienste machen und hätte in gewisser Weise eine Trennung zu dem "normalen" LAN-Interface. Gefällt mir aber auch nicht so wirklich, weil man sich ja theoretisch auch immer noch ìm LAN befindet.

Plan3:
Ich nutze das zweite LAN-Interface und packe dieses in ein eigenes VLAN, um eine logische Trennung zum LAN hinzubekommen. Eigentlich wahrscheinlich die sinnvollste Lösung (ist dann ja quasi wie eine DMZ), aber dann bräuchte ich einen Router o.ä. der das kann. Der Switch, den ich jetzt habe, kann zwar tagged und untagged Pakete weiterleiten, aber es muss ja auch von der Fritzbox unterstützt werden. Die Fritzbox kann ja von Haus aus keine VLANs, wenn ich das richtig auf dem Schirm habe.

Ich möchte es möglichst sicher haben, um beruhigt die DS nach außen zu veröffentlichen. VPN dafür ist keine Option, da ich ja "mal eben schnell" Bilder mit externen Leuten teilen möchte.

Wie seht ihr das? Was sollte ich tun, um dies umzusetzen? Ich bin über Meinungen und weitere Lösungsansätze sehr denkbar.

Vielen Dank Viele Grüße!

 

[plang.pl]

Folgende Maßnahmen kann ich zur "Absicherung" beitragen, die mir spontan einfallen:
-Ports im hohen fünfstelligen Bereich durchreichen und keine Standardports verwenden
-das DSM-Interface nicht nach außen freigeben, sondern für gebrauchte Dienste einen separaten Port im Anmeldeportal eintragen
-automatische Blockierung einrichten (bei mehrfach falscher PW-Eingabe)
-Geoblocking der DS-Firewall nutzen
-auf jeden Fall mit Zertifikaten und SSL arbeiten
-VLANs/DMZ ist natürlich auch nicht verkehrt (kann die Fritte tatsächlich nicht)
-ich weiß nicht, ob ich es erwähnen muss: starke Passwörter verwenden
-den Admin-Benutzer so einrichten, dass er sich nur mit internen IPs anmelden kann

Alternativvorschlag:
Die Dateien, die freigegeben werden sollen in einen bestimmten Ordner der DS packen. Dann via CloudSync nach z.B. OneDrive syncen und von dort aus einen Freigabelink erzeugen/bereithalten

 

[ctrlaltdelete]

Ich habe es über den Reverse Proxy der DS gelöst mit Subdomains für die Dienste die ich freigeben will. Starke Passwörter, Einstellungen der Firewall, sich selbstständig aktualiserende IP-Blocklist und 2FA für die DSM-Anmeldung.

 

[Hondo]

eine vDSM instanz welche deine externen Verbindungen annimmt wäre noch eine Option alle Daten und das Internet zu trennen

Sonst eben Router wechseln auf was mit mehr Möglichkeiten (z.B. Draytek), oder deinem LAN noch einen Router bzw openSense vorschalten

Die Fritte kann zwar vermutlich das Gast-Lan auf einem separaten Port ausgegeben (zwecks Vlan), aber ich hab da meine Zweifel ob man dort einen externen Zugriff hinbekommt

 

[plang.pl]

Selbst wenn das geht, kann man dann auf die DS vom normalen LAN/WLAN aus nicht mehr zugreifen

 

[Hondo]

hat doch 2 Lan Ports, einer lokal, einer für die VMM/das exponierte vDSM
die Frage ist höchstens ob man dann an das vDSM nur über den externen Zugriff kommt und ob der Router das gebacken bekommt den traffik zu lenken ohne wirklich das Internet und damit die Anbindung zu involvieren

Notfalls kann man aber sicher auch einfach das Lankabel mal umstecken wenn man große Datenmengen übertragen muss

 

[RReinhard]

Wie wäre es denn, wenn Du ein Gastnetz in der FB einrichtest und dort dann die 2.te LAN-Schnittstelle anbindest, die Du dann ausschließlich für die VDSM verwendest. So wären die Zugriffe von Außen ebenfalls nicht mehr auf dein privates Netzwerk. Und wenn Du das dann noch mit der Firewall in der VDSM eingrenzt, wäre das natürlich auch hilfreich. Auf dem Host könntest Du die Firewall dann so einstellen, dass ein Zugang vom Gastplan untersagt ist. Um dann aber die Bilder von dem Host auf die VDSM zu bekommen um diese auch von unterwegs aus zu verwenden, müsstest Du evt. einen Ordner vom Host in die VDSM einbinden.(Sofern das unbedingt nötig ist?)
Und das kannst Du dann mit einem Reverse-Proxy noch weiter absichern, wenn diese dann nur auf deine VDSM zeigt.

 

[Fusion]

Meines Wissens kann die Fritzbox keine Portfreigabe in das Gastnetz.

 

[plang.pl]

Geht tatsächlich nicht. Gerade getestet. Das Gerät lässt sich zwar auswählen, scheitert aber dann mit dem Fehler "Ziel liegt nicht im Heimnetz"

 

[droopy987]

Hallo zusammen,

danke erstmal für eure zahlreichen Rückmeldungen. Ich komme leider erst heute dazu, zu antworten. Sorry!

​

Ich habe es über den Reverse Proxy der DS gelöst mit Subdomains für die Dienste die ich freigeben will. Starke Passwörter, Einstellungen der Firewall, sich selbstständig aktualiserende IP-Blocklist und 2FA für die DSM-Anmeldung.

Ja, die Idee hatte ich tatsächlich auch schon. Macht es denn Sinn, für den Reverse QProxy das zweite LAN-Interface zu nutzen? Diesem Interface könnte man ja eine zweite IP aus dem LAN geben, aber dann nur für diese an der Fritzbox die Weiterleitung etc. aktivieren. Somit hätte man immerhin noch eine "gewisse" Trennung zu dem Interface, welches ich im LAN sonst benutze. Wäre vielleicht noch ein bisschen weiter gedacht.

Geht tatsächlich nicht. Gerade getestet. Das Gerät lässt sich zwar auswählen, scheitert aber dann mit dem Fehler "Ziel liegt nicht im Heimnetz"

Das ist natürlich schade, dass es nicht geht. Das wäre ja sonst genau das, was man bräuchte, um die Netze auch zu trennen. Also um es wirklich zu trennen, bräuchte ich dann doch einen Router. Muss mir mal überlegen, ob mir der Aufwand wert ist...

Aber sonst bleiben mir ja bei meinem derzeitigen Konstrukt nicht mehr viele Möglichkeiten...Oder?

 

[ctrlaltdelete]

Ja, die Idee hatte ich tatsächlich auch schon. Macht es denn Sinn, für den Reverse QProxy das zweite LAN-Interface zu nutzen? Diesem Interface könnte man ja eine zweite IP aus dem LAN geben, aber dann nur für diese an der Fritzbox die Weiterleitung etc. aktivieren. Somit hätte man immerhin noch eine "gewisse" Trennung zu dem Interface, welches ich im LAN sonst benutze. Wäre vielleicht noch ein bisschen weiter gedacht.

Ich verstehe den Nutzen davon nicht, die FB routet doch sowieso nur auf die DS, so wie eingestellt.