Hyper Backup Entferntes NAS als Backup einrichten

[plang.pl]

Korrekt. Vorausgesetzt der entsprechende Anschluss ist überhaupt von extern erreichbar (Stichwort CGNAT)

 

[Klassikfan]

Das ist er sicher. Mein Bruder betreibt dort seit einiger Zeit einen kleinen Server für seinen Club...

 

[plang.pl]

Na dann.
Nur, dass es mal erwähnt wurde: Nicht den Standard-DSM Port ins Netz hängen, Geoblocking in der DS Firewall nutzen + sichere Passwörter + noch besser: 2FA nutzen.

 

[Klassikfan]

Na dann.
Nur, dass es mal erwähnt wurde: Nicht den Standard-DSM Port ins Netz hängen,

Welcher wäre das denn?

Ich will die DS ja auch aus der Ferne warten können.
Und 2FA sollte problematisch sein, wenn ich die DS als Sicherungsziel benutzen will. Denn dann müßte ich den Vorgang ja wohl jedesmal manuell betreuen. Es soll aber programmiert nach Zeitplan automatisch erfolgen.

 

[plang.pl]

Dann musst du dir (was du ohnehin machen solltest), einen separaten Backup-User anlegen, der KEINE Admin Rechte hat und bei dem 2FA dann halt aus ist. Der sollte aber auch nur so viele Rechte wie nötig haben (was übrigens immer gilt) - nur Zugriff auf Hyper Backup Vault und sonst nix.
Nur weil du die DS aus der Ferne warten willst, musst du noch lange nicht den Standardport nehmen. Entweder du nimmst einen Port im hohen fünfstelligen Bereich, damit nicht gleich jeder Portscanner weiß, dass da eine DS im Internet hängt oder du nutzt einen Reverse Proxy und lässt alles über Port 443 laufen.
Zusammengefasst: Port 5000/5001 nicht exposen

 

[Klassikfan]

Ok.... klingt logisch.

Und wie stelle ich eine Verbindung über einen "erfundenen" Port her? Den müßte ich ja in der DS erst einrichten, oder?

 

[plang.pl]

In der DS musst du gar nix einstellen. Du musst nur nach extern im Router einen anderen Port vergeben. Zum Beispiel der Router lauscht nach extern auf Port 50555 und gibt das intern an Port 5001 der DS weiter. Hyper Backup Vault an der DS lauscht ja auf Port 6281. Den musst du auch weiterleiten.
Du kannst es natürlich auch an der DS verstellen, musst du aber nicht.

 

[maxblank]

Bringt doch nix, den Port zu verlegen, außer trügerische Sicherheit, da ein Portscanner den binnen Sekunden oder Minuten findet.
Da gehört ein VPN dazwischen. Falls nicht gewünscht ist, dass der komplett auf das andere Netzwerk greift, dann in dem Fall direkt aufs NAS. Das geht sehr gut mit Tailscale, falls vom NAS unterstützt.

https://www.synology.com/de-de/dsm/packages/Tailscale

 

[Monacum]

Tailscale läuft dann aber über deren Server, muss man sich auch drüber im Klaren sein.

 

[ottosykora]

also eigentlich ist ein DDNS nur einer öffentlichen IPv4 zugewiesen, also einem Anschluss bei IPv4 und einem bestimmten Gerät

 

[plang.pl]

trügerische Sicherheit

Ich unterstelle einfach mal, dass es besser ist, einen High Port zu exposen als den Standard DSM Port. Klar wäre VPN die bessere Wahl.

 

[maxblank]

Solange es dem Benutzer bewusst ist, kann es kurzfristig besser sein.

 

[Klassikfan]

Welches Protokoll soll ich im Router für die 6281er Freigabe (Hyper Backup Vault) angeben? Https?

 

[Klassikfan]

Hm.... Hab mal einen ersten Test gemacht mit dem Ziel-NAS in meinem Netzwerk. Der Aufruf des Gerätes über Synology-DynDNS funktioniert.
Soweit so gut. Beim Test, ein Backup einzurichten, stoße ich jetzt aber auf ein ernsthaftes Problem. Ich kann zwar den Zielserver (Servername oder IP Adresse) mittels DynDNS benennen, aber wenn ich auf "Anmelden" gehe, ruft das Programm die Anmeldeseite des falschen NAS auf!

Es scheint standardmäßig nur die DynDNS-Seite mit dem Port 5001 zu gehen Aber Port 5001 ist in meinen Router an das Quell-NAS vergeben! Und ich kann nirgendwo den Port des richtigen NAS angeben! Versuche ich, die Dyn-DNS-Adresse mit dem richtigen Port bei Zielserver einzugeben, wird die Eingabe nicht akzeptiert.

 

[Thonav]

Du solltest dann für die Ziel DS den Port auf xxxx1 wechseln und musst dann natürlich diesen Port auch auf die gewünschte DS weiterleiten. Auch der 6281 muss natürlich auf die richtige DS weisen.

 

[Klassikfan]

Hab ich verstanden.
Ich hab auch einen 5stelligen Port für den externen Aufruf der DS via DynDNS eingestellt. Das klappt auch, also dynDNS:xxxx1


Das Problem ist, daß Hyper Backup beim Einrichten des Datensicherungsziels als Serveradresse nur die DynDNS ohne Portnummer akzeptiert, und beim Aufrufen der Anmeldeseite für die Authentifizierung stur die 5001 an die DynDNS anhängt. Und somit lande ich auf dem falschen NAS.

 

[Thonav]

Beim Authentifizieren zeigt sich aber doch die DS, deren DynDNS Du eingegeben hast. Da solltest Du keinen Port benötigen.

 

[Klassikfan]

Das Problem ist, daß ich momentan Quell- und Ziel-NAS im selben Netzwerk habe. Die DynDNS wird dann beim Aufrufen der Anmeldeseite offenkundig zur öffentlichen IP des Routers aufgelöst, und durch die von HyperBackup ohne mein Zutun angehängte Portnummer 5001 lande ich auf dem falschen Gerät.

In meinem Browser geht dann zum Anmelden ein kleines Zusatzfenster auf. Dort kann ich als Zieladresse die (korrekte) DynDNS mit :5001 und eine lange kryptische Zeichenreihe sehen. Und manuell kann ich da nichts ändern.


Das heißt meines Erachtens aber eben auch, daß im Fall, daß die Portnummer 5001 im Zielsystem bereits vergeben ist, ich keine Chance habe, das entfernte Backup einzurichten bzw. später aufzurufen

 

[Thonav]

Verstehe ich richtig, dass Du Dich nicht in dem Netzwerk aufhältst? Falls ja, warum dann nicht per IP Adresse von Quell- zur Ziel-DS?

 

[Klassikfan]

Wie gesagt, den Port hängt Hyper Backup an die Url an. Nicht ich.


Momentan sind beide NAS, Quelle und Ziel hier bei mir im selben Netz. Ich will das hier einrichten, das Backup aufspielen, bissl ausprobieren, und dann das fertige NAS meinem Bruder schicken, der denn das Gerät nur noch an sein Netzwerk hängen und die nötigen Ports in der Fritze einrichten soll.

Und auch wenn er im Moment eine statische IP hat, weiß ich nicht, ob er das zukünftig noch haben wird. Es soll also auch bei einem Wechsel des ISP noch funktionieren. Deshalb der Versuch über DynDNS.