Synology Photos Freigabelink fehlerhaft

[KGBist2000]

Hi Zusammen,
habe gestern das update von DSM 6.2 auf DSM 7.1 gemacht. Indizierung und alles weitere ist soweit durch.

Alle Apps laufen soweit ok und sind eingerichtet.
Nun habe ich festgestellt, dass in der Foto-Station die Freigabelinks falsch gebildet werden. zum Setup:

Router (Freigegeben nur 80,443) -> ReverseProxy (RasPi) -> Diskstation
z.b.
dsm.domain.de -> Reverse Proxy (192.168.1.10:5000) -> Diskstation
drive.domain.de -> Reverse Proxy (192.168.1.10:10003) -> Diskstation
photo.domain.de -> Reverse Proxy (192.168.1.10:5080) -> Diskstation

Im DSM sind im Anwendungs-Portal die Einstellung die die subdomains definiert.

Synology-Drive:
- Egal ob ich über intern IP, die DSM Oberfläche oder über die subdomain drive.domain.de zugreife, werden immer die Freigabelinks korrekt erstellt mit drive.domain.de

Synology-Photos
- Egal wie ich zugreife, es werden fälchlicherweise die Freigabelinks dsm.domain.de:5001/.... erstellt.

Da Port 5001 von außen zu ist, funktioniert der Link nicht. Desweitere verstehe ich nicht, warum es nicht wie bei drive die EInstellungen der subdomain vom Anwendungsportal übernommen wird.

Habt ihr einen Tipp, was ich machen kann, damit es funktioniert und der korrekte Link generiert wird photo.domain.de?

 

[Benares]

Mit einem RasPi als Reverse-Proxy kenne ich mich nicht aus.
Aber Synology Photos selbst bildet die Links entweder mit der URL, mit der man gerade selbst verbunden ist, oder mit der, die im Anmeldeportal bei SP als Domain eingetragen ist.

Edit:
Aber aufpassen. Die Eintragung einer Domain im Anmeldeportal bewirkt auch die Erzeugung eines Reverse-Proxy auf der DS.

 

[KGBist2000]

Moin Benares,

danke für die schnelle Antwort. Das mit den ReverseProxy wusste ich nicht, jedoch hat es keinen Einfluss, denn ich habe den Reverse-Proxy außerhalb der DS und dieser zeigt auf die IP:5443.
Habe jetzt sogar im Anwendungsportal die subdomain rausgenommen.

Es ist egal, was ich mache und wie ich zugreife, es wird immer ein Freigabelink mit dsm.domain.de:5000 erstellt.

komisch ist, dass es ja bei Drive funktioniert. Interessat ist, dass auch die calendar links falsch sind. Also nicht calendar.domain.de, sondern auch dsm.domain.de.

Irgenwie habe ich das gefühl, dass das DSM kaputt ist.

 

[Benares]

Und was steht oben in der URL, wenn du den Freigabelink erstellst?
Ich fürchte, das liegt am kaskadierten Reverse-Proxy. Über welche URL kommst du aus Sicht der DS rein?

 

[Thonav]

Also bei mir funktioniert Dein Szenario einwandfrei. Vielleicht einmal ein paar Screenshots einstellen...

Ah - Benares ist ja schon im Thema

 

[Benares]

Hab grad noch eine Idee. Hast du im Anmeldeportal im Reiter "DSM" eine Domain drin? Wenn ja, nimm die mal raus. Das übersteuert einiges.
Mach das besser im Reiter "Anwendungen" für die Standard-Apps, den Rest im Reiter "Erweitert" als Reverse-Proxy, also auch den DSM.

Edit: Also z.B. so


Edit2:
oder meinetwegen auch über http, Port 80 auf http, localhost, Port 5000, wenn du die Gefahr liebst

Edit3:
Schau auch unter Externer Zugriff, Erweitert, dass dort nichts eingetragen ist.

 

[KGBist2000]

Hi Zusammen,
anbei die Screenshots bzw. aktuelle einstellungen. Ich konnte mit eurer Hilfe einen Teilerfolg erziehlen. Mit dem ich zwar leben kann, finde aber das Synology hier inkonsiquent ist. Bei Synology-Drive funktioniert ja das Setup in allen drei fällen un würft immer die Domain wie im AnwenderPortal konfiguriert.

@Thonav: Kannst du bitte deine nginx-config posten?

Im DSM selber, habe ich kein ReverseProxy aktiviert.

Einstellungen RasPi-Nginx-ReverseProxy:

# Synology-PhotoStation via reverse-proxy
# -------------------------------------------
server {
        listen 80;
        listen [::]:80;
        server_name photo.domain.de;

        # redict to https (only SSL)
        return 301 https://$host$request_uri;
}
server {
        listen 443 ssl http2;
        listen [::]:443 ssl http2;

        server_name photo.domain.de;
        ssl on;

        # Zertifikate letsencypte
        ssl_certificate /etc/letsencrypt/live/photo.domain.de/fullchain.pem;
        ssl_certificate_key /etc/letsencrypt/live/photo.domain.de/privkey.pem;

        include /etc/letsencrypt/options-ssl-nginx.conf;
        ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

        # Set global proxy settings
        proxy_read_timeout      360;

        client_max_body_size    1G;

        proxy_http_version 1.1;
        proxy_pass_request_headers on;

        proxy_pass_header       Date;
        proxy_pass_header       Server;

        proxy_set_header        Host $host;
        proxy_set_header        X-Real-IP $remote_addr;
        proxy_set_header        X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header        Accept-Encoding "";

        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";

        # forward to target
        location / { proxy_pass https://192.168.76.10:5443;}

        error_log /var/log/nginx/syno-photo-error.log;
        access_log /var/log/nginx/syno-photo-access.log;
}

Die Screenshots aus dem Anwendungs-Portal:


Folgendes ist noch konfiguriert:
Anwendungsportal -> DSM -> Domain -> leer
Externer Zugriff -> Erweitert -> Hostname -> dsm.domain.de ---> Damit geht nicht! Das war der Fehler.

Teilerfolgt (Aufruf über: photo.domain.de):
Externer Zugriff -> Erweitert -> Hostname -> leer




Weiterhin kein Erfolg (Aufruf: dsm.domain.de):
Im DSM -> Hautpmenü -> Synology Photos starten
in der Browser Adress-Leiste wird natürlich dsm.domain.de angezeigt. Freigabe-Links sind auf falsche Domain bezogen.



Weiterhin kein Erfolg (Aufruf: http://192.168.76.10):
Im DSM -> Hautpmenü -> Synology Photos starten
in der Browser Adress-Leiste wird natürlich 192.168.76.10 angezeigt. Freigabe-Links sind auf falsche Domain bezogen bzw. in diesem Fall auf die IP-Adresse.

Als Freigabelink wird folgendes angebote: http://192.168.76.10:5000/mo/sharing/....
Würde aus dem Netz nicht erreichbar sein.

---------------------------------------------
Zum Vergleich Synology Drive:
Erfolg (Aufruf: http://192.168.76.10):
Im DSM -> Hautpmenü -> Synology Drive starten
Freigabe-Link: https://drive.domain.de/d/f/....

Erfolg (Aufruf: http://dsm.domain.de):
Im DSM -> Hautpmenü -> Synology Drive starten
Freigabe-Link: https://drive.domain.de/d/f/....

Erfolg (Aufruf: http://drive.domain.de):
Im DSM -> Hautpmenü -> Synology Drive starten
Freigabe-Link: https://drive.domain.de/d/f/....

Hier der Nachweis für die Version mit interner IP:



Einstellung im auf Raspi-Nginx-ReverseProxy:

# Synology-Drive via reverse-proxy
# -------------------------------------------
server {
        listen 80;
        listen [::]:80;
        server_name drive.domain.de;

        # redict to https (only SSL)
        return 301 https://$host$request_uri;
}

server {
        listen 443 ssl http2;
        listen [::]:443 ssl http2;

        server_name drive.domain.de;
        ssl on;

        # Zertifikate letsencypte
        ssl_certificate /etc/letsencrypt/live/drive.domain.de/fullchain.pem;
        ssl_certificate_key /etc/letsencrypt/live/drive.domain.de/privkey.pem;

        include /etc/letsencrypt/options-ssl-nginx.conf;
        ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

        # Set global proxy settings
        proxy_read_timeout      360;

        client_max_body_size    1G;

        proxy_http_version 1.1;
        proxy_pass_request_headers on;

        proxy_pass_header       Date;
        proxy_pass_header       Server;

        proxy_set_header        Host $host;
        proxy_set_header        X-Real-IP $remote_addr;
        proxy_set_header        X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header        Accept-Encoding "";

        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";

        # forward to target
        location / { proxy_pass https://192.168.76.10:10003;}
}

 

[Benares]

Im DSM selber, habe ich kein ReverseProxy aktiviert.

Doch, hast du. Sobald du irgendwo im Anmeldeportal eine Domain einträgst, wird auch ein Reverse-Proxy auf der DS konfiguriert.
Mach's doch nicht unnötig kompliziert. Wozu der Reverse-Proxy zusätzlich auf nem Raspi?

 

[KGBist2000]

Wozu der Reverse-Proxy zusätzlich auf nem Raspi?

1. Weil ich die Raspi als erste Anlaufstellen im Netz habe, wenn man von draußen kommt (Will nicht, dass die DS direkt angesprochen wird).
2. Weil ich die config flexibel gestalten kann und die Einstellung fein vornehmen kann (im DSM bin ich davon abhängig von Synlogy anbietet)
3. Weil ich im nginx TCP-Streams verwende um bestimmte Anwendungen im Netz zu erreichen
4. Weil ich hier alle SSL-Zertifikate (DNS-01 - Challenge) abhole und auf die einzelnen Anwendungen im Netzwerk verteile
...

 

[Benares]

Ok, verständlich. Dann würde ich aber auf der DS gar nichts dazu konfigurieren, also nirgendwo eine Domain eintragen etc.

 

[KGBist2000]

doch muss ich leider, denn sonst zeigt Synology-Photos in den Freigabe-Links immer nur die interne IP-Adresse.

Kurzgefasst: Synology hat den use-case nicht bedacht und knüpft die Einstellungen im Anwender-Portal für die Bildung der Freigabelinks zusammen. Es hätte auch gereicht, wenn Synology irgendwo die Option anbieten würde, wo man die domain der Freigabelinks konfigurieren könnte. Dann müsste man nicht permanent über das Anwenderportal gehen.

Hatte dazu mal ein Ticket laufen bei Synology, haben die abgeleht mit dem Hinweis, dass es über das AnwenderPortal doch einzustellen ist.

 

[Benares]

denn sonst zeigt Synology-Photos in den Freigabe-Links immer nur die interne IP-Adresse.

Klar, s. #2. Wenn du also über die IP weiterleitest, kommst du auch auch Sicht der DS das über die IP rein. Probiere mal stattdessen photo.domain.de im Reverse-Proxy des Raspi.
Da hilft auch der Reverse-Proxy auf der DS nichts, den du implizit einrichtest, wenn du was bei Domain einträgst. Denn der müsste dann für die IP sein. Versteh doch.

 

[KGBist2000]

Im Raspi-NGNIX steht natürlich photo.domain.de, sonst würde man ja nie aus dem netz draufkommen.

Für Freigabe-Links
Stimm du hast recht, geht auch ohne, dass man im AnmeldePortal die domain angibt.

Für den App-Lancher
Dafür muss man es im AnmeldePortal konfigurieren. Woher soll sonst DSM wissen unter welchen domains die Apps erreichbar sind.

1. Hier ein Screenshot, wenn man im AnmeldePortal keine Domain hinternlegt.


2. Hinterlegt man im AnmeldePortal eine Domain, dann funzt auch der App-Launcher:

 

[KGBist2000]

Damit ist das thema geklärt... Danke für deine Hilfe. Es funzt nun so wie ich das haben will.

 

[Benares]

Häh? Was hat nun photo mit drive zu tun? Bleib mal bei einer App.
Ich denke, du hast das Prinzip eines Namens-basierten Reverse-Proxy noch immer nicht verstanden

 

[KGBist2000]

So wird es sein sagt der der die klicky-Proxy verwendet

Das hat nix mit dem Proxy zu tun.

Jede der Synology Apps hat einen App-Lancher. Dieser stellt in der Oberfläche Links zu den Anwendungen zur Verfügung. Man kann aus jeder App in eine andere wechseln. Siehe meine Screenshots.

 

[Benares]

Schön, dass du dein Problem dadurch lösen konntest