DSM 6.x und darunter Internetzugriff einschraenken

[sebra]

Hallo,

ich besitze eine DS211 mit aktueller Firmware und bin auch sehr zufrieden damit.
Allerdings sehe ich ein gewaltiges Sicherheitsrisiko:
Die Audiostation über die Oberfläche des DSM ist sehr praktisch, um von fremden PCs unterwegs auf die heimische Musiksammlung per Webbrowser zugreifen zu können. Doch dafür muss ich im Router Port 5000 bzw. 5001 freigeben. Wenn ich diesen Port freigebe, kann man sich jedoch übers Internet als admin anmelden und alle möglichen Dateien sehen und sogar löschen (die nötigen Berechtigungen kann er sich ja selbst geben, falls man dem admin keine Lese-/Schreibberechtigungen gibt).
Gibt es eine Möglichkeit, dass ich von unterwegs zwar die Audio Station nutze, mich aber nicht als Admin im DSM anmelden kann?

(Ich finde keine Optionen, dem Admin die Anmeldung übers Internet zu verbieten oder die Audiostation über andere Ports bzw. unabhängig vom DSM erreichbar zu machen.
Selbst bei den Privilegieneinstellungen taucht der Admin nicht auf!!!)


Vielen Dank.

Gruß
sebra

 

[Super-Grobi]

Die Audiostation über die Oberfläche des DSM ist sehr praktisch, um von fremden PCs unterwegs auf die heimische Musiksammlung per Webbrowser zugreifen zu können. Doch dafür muss ich im Router Port 5000 bzw. 5001 freigeben. Wenn ich diesen Port freigebe, kann man sich jedoch übers Internet als admin anmelden und alle möglichen Dateien sehen und sogar löschen (die nötigen Berechtigungen kann er sich ja selbst geben, falls man dem admin keine Lese-/Schreibberechtigungen gibt).

Ja, da empfiehlt sich dann ein starkes Passort / https und der login Blocker sowie das regelmäßige checken der Logfiles bzw Mails.....

Gibt es eine Möglichkeit, dass ich von unterwegs zwar die Audio Station nutze, mich aber nicht als Admin im DSM anmelden kann?

Hast Du das schon mal mit einem anderen Account als dem Admin ausprobiert?

(Ich finde keine Optionen, dem Admin die Anmeldung übers Internet zu verbieten oder die Audiostation über andere Ports bzw. unabhängig vom DSM erreichbar zu machen.
Selbst bei den Privilegieneinstellungen taucht der Admin nicht auf!!!)

Der Admin ist der Admin, wenn ich dem irgendwas verbiete, wer soll es denn wieder erlauben?? Der Superadmin? Super-Grobi? (ja, das wär ne Möglichkeit...)

Grüße

 

[sebra]

Hast Du das schon mal mit einem anderen Account als dem Admin ausprobiert?

Natürlich kann ich auch mit einem anderen Benutzer auf die Audiostation zugreifen. Dazu muss natürlich der Internetzugriff auf den DSM freigegeben sein. Und damit ist es auch potentiell möglich, sich als admin anzumelden.
Wäre es nicht sehr hilfreich, wenn man die Audiostation unabhängig vom DSM benutzen könnte oder man zumindest einstellen kann, dass sich der Admin nur übers Netzwerk, nicht übers Internet anmelden darf?

Oder habe ich eine solche Funktion übersehen?

Edit: Auch in der Firewall finde ich nichts brauchbares. Dass man z.B. die Administration nur für eine bestimmte IP freigibt oder sowas in der Art.

 

[thedude]

Ums kurz zu machen, das was du suchst geht nicht. Wähle ein ausreichend starkes Passwort und aktviere die Login Sperre. Und eben wachsam sein, wie Grobi schon sachte. Eine DS mit wichtigen Dingen würde ich per Internet gar nicht erreichbar machen.

gruss
dude

 

[BavariaR]

Interessant wäre die Funktion dass man einstellen kann welche User sich über Internet anmelden können und welche nur Lokal, ggf das davon abhängig machen wie stark das Passwort ist. Pipifax Passwortstärke, nur lokal möglich, starkes Passwort auf Internet Anmeldung möglich.

 

[derlaie]

Interessant wäre auch VPN!!!!!
Ich habe mittlerweile alle Dienste (CloudStation, Owncloud mit Kalender und Kontakten) außer der Photostation nur noch über VPN erreichbar gemacht, sprich per Internet halt NICHT mehr erreichbar gemacht.
Photostation läuft bei mir mit eigener Nutzerverwaltung. Hier kann man also auch keine Passwörter ausprobieren (sowieso nicht wegen autoblock) oder abgreifen.

Außerdem kannst Du ja generell die Mindeststärke deiner Passwörter einstellen!

Gruß

Stefan

 

[lopo_ch]

Warum gehst Du nicht über das Applikationsportal und nimmst die Audiostation auf Port 8800 oder beliebig anderen Port?
Den 5000 würde ich auf gar keinen Fall übers Internet erreichbar machen.