Möglichst sicherer Zugriff auf NAS ohne VPN

[realklaus]

Hallo in die Runde,
ich setze mich seit zwei Jahren etwas mit einem Synology NAS auseinander (derzeit DS220j). Ich habe dort alle Daten meiner Familie drauf, inkl. Fotos, Arbeitsunterlagen, Steuererklärung, Geburtsurkunde, etc. Also durchaus auch sensible Daten (es existiert eine gute 3-2-1 Backup Lösung, auch geografisch getrennt). Vorher lagen die Daten in der iCloud, davon arbeite ich mich sukzessive runter. Bisher habe ich nur über Quickconnect auf die NAS zugegriffen. Im Zuge der Umstellung auf Synology Calendar und Contacts und auch der Schlüsselbundverwaltung (Passwörter) werde ich andere Wege gehen müssen, damit Geräte sich synchronisieren. Ich kann VPN Verbindungen nutzen, aber nicht immer. Auch andere Familienmitglieder sollen ohne VPN auf den Server zugreifen können. Eine Reibungslose Kalendersynchronisation ist für meinen beruflichen sowie Arbeitsalltag zentral.

Ich habe mir verschiedene Themen hier durchgelesen und mir angefangen Gedanken über IT Sicherheit zu machen, entsprechend auch die festgepinnten Themen. Ich bin mir aber nicht sicher, ob ich das richtig verstanden habe, bzw. alle Einzelheiten tief genug durchdrungen:

Sicherheit: Die sicherste Variante, auf meine NAS von außen zuzugreifen, ist über VPN. Danach kommt, mit einigen Einschränkungen, ein reverse Proxy, wenn ich es richtig verstanden habe. Die dritte Variante, einen Port (bspw. 5001 für Calendar) über den Router einfach freizugeben und an 5001 auf der NAS durchzuleiten, wie es von Synology selbst empfohlen wird, ist eher ungeeignet. Ist das soweit richtig?

Was ich bisher getan habe, um mit Variante zwei (Reverse Proxy zu arbeiten):

• Eine DDNS angelegt, über DSM Systemsteuerung>externer Zugriff: beispielname.synology.me inkl. Let's Encrypt Zertifikat für die Domain, IPv4 und IPv6 werden automatisch vergeben.
• Subdomains für verschiedene Anwendungen angelegt (Anmeldeportal>Anwendungen, bspw. audio.beispielname.synology.me und hierfür dann Ports eingetragen bspw. 8801 für Audio Station.
• Unter Anmeldeportal>Erweitert Reverse Proxy Regel für CalDAV formuliert (nur zum Test, der Kalender lässt sich auch als Anwendung konfigurieren):
  Quelle: calendar.beispielname.synology.me Port 443; Ziel: Feste-IP-NAS, Port 5001.
• Ich erzwinge überall HTTPS bzw. HSTS
• Das LE Skript wird auf alle Subdomains angewandt.
• Portweiterleitung auf dem Router (speedport3) von 443 auf NAS-IP (fest) und Port 443

Ich verwende sichere Passwörter für Router, W-LAN, NAS (2-FA), habe die automatische Blockierung und DoS-Schutz aktiviert. Der admin Nutzer der NAS ist deaktiviert, nur mein Nutzer hat Admin-Rechte. Meine Hauptfrage: passt das so, oder übersehe ich etwas?
Weitere Fragen, die sich mir stellen:
Muss ich bestimmte Ports (siehe Liste von Synology für die Anwendungen) freischalten oder ist das egal?
Unter Anmeldeportal>DSM ist der DSM Port mit 5001 angegeben. Ist das gut, oder sollte man hier etwas unkonventionelleres nehmen?
Muss ich Web Station installieren, da ich im Forum gelesen habe, dass Webstation die Weiterleitung der Ports von 443 an 5001 verhindert? Wie müsste ich Webstation dann einrichten? Bringt das was hinsichtlich Sicherheit?
Was kann ich sonst noch tun? (Geoblocking auf der NAS Firewall? Blockliste in der Firewall aktivieren? --> Wie lange ist sowas aktuell?)

Danke für Rückmeldungen! Bitte beachten, dass ich wenig bis kein Informatik/IT Verständnis mitbringe.
alex

 

[JohneDoe]

Hallo,

wenn du nicht so viel Erfahrung in IT hast und nur du bzw. Mitglieder deines Haushaltes Zugriff haben soll, dann würde ich VPN empfehlen. Schnell eingerichtet und keine Port sind offen. Port 5001 auf keinen Fall öffnen. Es ist bekannt, dass sich dahinter ein DSM befindet. Das heißt die Bots probieren das direkt aus.
Muss/Soll jemand drauf zugreifen der nicht in deinem Haushalt ist? Wenn ja, dann würde ich das über den Reverse Proxy machen. So wie du es beschrieben hast hört sich das gut an.
Eine Frage hätte ich da aber noch.

Der admin Nutzer der NAS ist deaktiviert, nur mein Nutzer hat Admin-Rechte.

Das heißt der User mit dem du unterwegs bist hat Adminrechte? Wenn ja, dann leg einen neuen User an. Dieser bekommt Adminrechte und dein User fürs normale arbeiten wird degradiert zu einem normalen User. Den Adminuser verwendest du dann nur, wenn du was konfigurieren willst.

Wie müsste ich Webstation dann einrichten? Bringt das was hinsichtlich Sicherheit?

Sie muss nur installiert sein. Dann greift die Umleitung nicht mehr.

Mit den Blocklisten kann ich dir nicht helfen. Die nutze ich nicht, weil mein Reverse Proxy Caddy ist und der in einer seperaten VM läuft. Da kann dir aber bestimmt jemand anders weiterhelfen.

 

[NSFH]

Mit der Ergänzung von @JohneDoe passt das!
Für das interne LAN brauchst du keine Ports umbiegen, 5001 zB kann also bleiben.
Alle Zugriffe über HTTPS noch mit 2FA absichern.
Firewall fehlt noch. Ich würde auch im internen LAN alles verbieten was nicht benötigt wird, extern sowieso.

 

[metalworker]

Hallo Alex ,

im großen und ganzen schon mal nicht schlecht .
Ich geb mal meinen Senf dazu.

Geoblocking ist definitiv zu empfehlen . Ich hab Dienstlich und Privat nur die Länder freigegeben die unbedingt sein müssen.
Das veringert schon mal Massiv die Angrifsvektoren .

Wenn du wenig IT Erfahrung mit bringst . Würde ich dir trotzdem nochmal an die Handgeben darüber nachzudenken was wirklich notwendig.
Synology Contacs und Calender sind in der Sicherheit nicht so das dollste.
Da ist die Frage ob es wirklich nen Mehrwert bringt wenn man eh nen Maildienst wie Apple oder Google verwendet.
Ich selbst öffne deswegen zumindest nicht extra ports.

Und dann der Passwortmanager. Ist eine Feine Sache den selbst zu hosten . Du must aber auch immer dran sein den auf dem Aktuellsten Stand zu halten.

Das einfach nur mit im Blick behalten.

 

[ctrlaltdelete]

Blocklist einrichten:

Beitrag im Thema 'Ständige Anmeldeversuche am DSM'

31. Jul 2022

1. Skript von HIER herunterladen
2. ggf. entpacken und an einem Ort auf dem NAS speichern, wo nur du Zugriff hast (damit niemand unbefugtes das Skript ändert).
   Wir gehen davon aus, dass das Skript jetzt hier liegt: /volume1/homes/JohnDoe/update_blocklist.sh
3. Jetzt gehst du zu Systemsteuerung ➜ Aufgabenplaner ➜ Erstellen ➜ Geplante Aufgabe ➜ Benutzerdefiniertes Skript
   
   
   
4. Einen beliebigen Namen vergeben und den User root auswählen (der ist ganz oben in der Liste)
   
   
   
5. Zeitplan einstellen (Empfehlung: 10min -...

• geimist

• 

 

[NSFH]

Via ReverseProxy spricht nichts gegen die Nutzung von Clouddiensten wie Calendar oder Contacts!

Passwortmanager habe ich inzwischen alle durch, auch selbst gehostete und nutze seit einiger Zeit nur noch das kostenfreie C2 Password.
Da immer und überall verfügbar für mich DIE Lösung.

 

[realklaus]

Danke euch allen für die Antworten – schön zu hören, dass ich mich dank das Forums grundsätzlich in die richtige Richtung bewege. Ich versuche mal der Reihe nach die angesprochenen Punkte zu adressieren und ggf. direkt Anschlussfragen zu formulieren. Zunächst allgemein, warum ich zusätzlich zum VPN eine andere Zugangsmöglichkeit brauche:

• es sollen zeitweise auch andere Personen, die nicht zum Haushalt gehören Zugriff auf bestimmte Bereiche im NAS haben
• ich arbeite mit drei Computern, 2x Stationär, einmal mobil, die ich mit der NAS und Synology Drive synchron halte. Mindestens einer davon ist in einem Netzwerk aktiv, aus dem ich mit VPN nicht raus komme
• Ich möchte keinen Mailing-Dienste, wie Google, Apple, o.ä. mehr nutzen und diese Firmen auch indirekt nicht über Arztbesuche o.ä. Dinge aus meinem Kalender informieren. Insbesondere nicht unter den aktuellen politischen Entwicklungen in dem Land, wo die meisten dieser Server stehen. Ich führe vier Kalender, ohne elektronische Kalender, die auf 4 Geräten dauerhaft synchron arbeiten, bin ich aufgeschmissen.
• Ich bin zwar IT Anfänger, aber durchaus gewillt, mich da intensiver mit zu beschäftigen. Ich werde kein Profi, denke aber, dass ich mit mit etwas mehr Zeit in die Lage versetzen kann ein (möglichst) sicheres System zu hosten.

Daher nicht nur VPN, sondern auch die reverse Proxy Variante. Nun zu den weiteren Punkten:

Port 5001 auf keinen Fall öffnen

Mache ich nicht. Es ist auf dem Router nur 443 offen, der an die NAS-IP und dort ebenso 443 weitergeleitet wird.

Das heißt der User mit dem du unterwegs bist hat Adminrechte? Wenn ja, dann leg einen neuen User an. Dieser bekommt Adminrechte und dein User fürs normale arbeiten wird degradiert zu einem normalen User. Den Adminuser verwendest du dann nur, wenn du was konfigurieren willst.

Ja, so mache ich es zur Zeit. Aber ich folge gern dem Tip. Kann ich den Adminuser dann auch so konfigurieren, dass dieser sich nur lokal vor Ort einloggen kann? Was wäre sonst der Vorteil?

Für das interne LAN brauchst du keine Ports umbiegen, 5001 zB kann also bleiben.

Ok, das ist gut. D.h. auch, dass ich mehrere Dienste anhand der Synology Portliste auf den gleichen Port legen kann? Bspw. Chat, Calendar, Notestation mit jeweils eigener Subdomain auf Port 5001?

Alle Zugriffe über HTTPS noch mit 2FA absichern.

Alle Accounts die Zugriff haben müssen sich mit 2FA anmelden (Systemsteuerung>Sicherheit>Konto>2FA: Für alle Benutzer erzwingen. Ist das gemeint, oder noch etwas anderes?

Firewall fehlt noch. Ich würde auch im internen LAN alles verbieten was nicht benötigt wird, extern sowieso.

Beide FW Router und NAS laufen, mit automatischer Blockierung, Kontoschutz, etc. Zukünftig dann auch mit Geoblocking und Blacklists. Danke @metalworker für den Hinweis zum Geoblocking und

Und dann der Passwortmanager. Ist eine Feine Sache den selbst zu hosten . Du must aber auch immer dran sein den auf dem Aktuellsten Stand zu halten.

Ja, das alles immer aktuell sein muss, versteht sich von selbst. Bin eh täglich an und in der NAS aktiv, daher ist das eigentlich kein Problem.

@ctrlaltdelete Danke für den Hinweis mit der Blacklist. Die Anleitung hatte ich schon im Forum gefunden und im Ursprungspost verlinkt. Dem Link zu GitHub entnehme ich, dass sich das Skript eine automatisch immer wieder aktuelle Liste holt und somit sich immer wieder selbst aktualisiert. Richtig?

Via ReverseProxy spricht nichts gegen die Nutzung von Clouddiensten wie Calendar oder Contacts!

Passwortmanager habe ich inzwischen alle durch, auch selbst gehostete und nutze seit einiger Zeit nur noch das kostenfreie C2 Password.
Da immer und überall verfügbar für mich DIE Lösung.

Danke auch hier für die abschließende Klarstellung. Ich denke, dann bin ich auf nem möglichst sicheren Weg für meine Nutzungszwecke und werde mit C2 auf jeden Fall ansehen.


Eine Frage noch zur Webstation: ist es gut diese zu installieren und die Umleitung damit zu blockieren? Bedeutet dass, dass ich über die DDNS nicht mehr auf die DSM Startseite komme, sondern nur noch die Subdomains aufrufbar sind?

Danke nochmals für die Unterstützung! Ich weiß das sehr zu schätzen.

Herzliche Grüße, alex

 

[*kw*]

@realklaus

Nur kurz um die Uhrzeit:

Admin oder User mit Adminrechten sollten nur bewusst eingesetzt werden. Da diese Rollen per se die umfangreichsten Zugriffsrechte haben, machen jegliche Einschränkungen keine Sinn, da sie durch andere gleichgestellte User bei Bedarf "ausgehebelt" werden können.

Von daher, mit den LogIn-Daten der betreffenden Admin/-user sensibel umgehen und für den Alltag "normale" User anlegen. Das sollte reichen.

FYI, schau mal in meinen Leitfaden, da gibt's noch Tipps und Hintergrüne

 

[ctrlaltdelete]

Und bitte keinen eigenen Mailserver:

MailPlus Server Beitrag im Thema 'Wo finde ich die 5 kostenlos mitgelieferten MailPlus Lizenezen zu meiner DS918+'

Sonntag um 13:11

Bist du dir sicher dass du dass machen willst?

Ja, leider verstehe ich die Frage nicht.

Weil, wenn du fragen musst wo die Lizenzen sind, du lieber nicht einen eigenen Mailserver betreiben solltest. Was DKIM, DMARC, SPF und BIMI ist, ist dir bekannt? Der Mailsever ist einer der Dienste, der die meiste Kenntnis voraussetzt. Und ohne eigene ECHTE öffentliche IP wird dass mit dem Versenden eh nichts. Wenn hier deine externe IP auftaucht dann wars dass mit dem Mails selber senden https://check.spamhaus.org/ . Ansonsten stelle dich darauf ein dass du immer wieder mit 40...

• heavy

• 
• 

 

[realklaus]

@*kw* Danke für die Erläuterung. Stelle ich so um.
Wo finde ich den Leitfaden?

@ctrlaltdelete ok, Danke. Dann vorerst kein eigener Mailserver für mich

 

[ctrlaltdelete]

Ja, tue dir das nicht an. Ich musste es mal beruflich machen und habe privat trotzdem keinen Mailserver, obwohl ich 50 Postfächer Family and Friends habe sowie die Grundvoraussetzung einer festen IP habe. Aber auch ich müsste mich da erst wieder auf den neuesten Stand bringen und es bedarf täglicher Pflege.

 

[*kw*]

Wo finde ich den Leitfaden?

Dick und rot in meiner Signatur!

 

[realklaus]

Dick und rot in meiner Signatur!

Jap. My Bad

 

[NSFH]

Wegen ReverseProxy:
Der funktioniert nur mit HTTPS (kein HTTP nutzen)
Daher bleiben alle Ports für Apps wie DSM oder Calendar so wie sie sind.
Durch den RP kommst du mit 443 in der Syno an und dort wird auf die originalen Ports verzweigt. Voraussetzung sind zB Subdomains. Anhand dieser erkennt der RP wohin er verzweigen muss.
Beispiel: Die Subdomain dsm.meinedomain.de ist bei deinem Domainprovider eingerichtet und deutet auf die Internet IP des Routers, kommt mit 443 in der Syno an und wird dort per Definition auf 5001 umgeleitet.

 

[realklaus]

Das habe ich soweit verstanden und auch umgesetzt (siehe Eingangspost) – oder?
Geöffnet ist nur 443 im Router, wird weitergeleitet an die Syno (ebenso Port 443). Je nach Subdomain wird dann der jeweilige Port adressiert. HTTP dürfte nicht mehr möglich sein, da HTTPS für alle Verbindungen erzwungen bzw. auf HTTPS umgeleitet wird.

 

[Benares]

Warum nicht auch Port 80 über den RP. Die Umleitung auf 443 kann man ja auch auch hinterher machen. Machen das inzwischen nicht fast alle Web-Server/Dienste so?
Probiert mal http://www.synology-forum.de/ (ohne https) oder ähnliche Seiten.

 

[realklaus]

Warum nicht auch Port 80 über den RP. Die Umleitung auf 443 kann man ja auch auch hinterher machen. Machen das inzwischen nicht fast alle Web-Server/Dienste so?

Wozu brauch ich Port 80? Das wäre doch HTTP, oder? Warum sollte ich über eine unverschlüsselte Verbindung Zugriff auf den Router gewähren?

 

[Benares]

Eben weil man es hinter umleiten kann. Wer denkt schon ans http oder https, wenn er eine URL in den Browser tippt.

 

[realklaus]

Ich denke schon daran und würde es auch den Nutzenden der Syno so mitgeben. Dann braucht es Port 80 nicht. Ein freier Port ist doch besser (sicherer) als zwei freie Ports – auch auf dem RP, oder nicht?

 

[Benares]

Klar, kannst du auch so machen. Ich wollte nur darauf hinweisen, dass es bei Web-Servern eigentlich normal ist, dass sie bei http auf https umleiten, wenn sie das können. Und bei aktiviertem HSTS, so wie ich es verstanden habe, probiert es ein Client auch künftig gar nicht mehr über http, selbst wenn man http tippt.