Port 80 ist closed - und ich weiß nicht warum...

[Clamsy]

Hallo,

ich habe eine Kuriosität, und weiß nicht mehr weiter.

Ausgangslage:
1.) Ich habe diverse URL's mit Reverse-Proxy an Docker gebunden
2.) Diese URL's werden mittels DDNS geupdatet, so dass von überall aus Zugegriffen werden kann.
3.) Die Firewall-Regel ist in der Synology eingerichtet, dass http (80) und https (443) erlaubt sind.
4.) ich bin vor Kurzem vom IPv4 auf IPv6 gewechselt, da ich nun auf Glasfaser bin und einen DualStack habe. Somit keine eigene IPv4 mehr
5.) Auf der FritzBox sind die Ports 80 und 443 für IPv6 auf die Synology geroutet.
6.) Im DNS-Rebind-Schutz sind meine Domänen eingetragen

Die Webseiten sind alle erreichbar !!! Egal von wo. Das ist wunderbar und so soll es ja auch sein.

Und jetzt kommt es...

Die SSL-Zertifikate können nicht mehr erneuert werden, hier kommt die Meldung:

Schalte ich die Firewall auf der Synology aus, dann funktioniert Let's Encrypt wieder. Somit sagt es mir eigentlich, dass ein Fehler in den Firewall-Regeln besteht und der Port 80 wohl blockiert wird.
Aber das besondere ist, wenn ich jetzt ein Prüftool verwende, wie z.B. https : // port. tools / port-checker-ipv6 (Sorry, die URL musste ich so splitten, sonst wird mein Beitrag nicht freigegeben :-( ) Dort trage ich meine IPv6 der Synology NAS ein und prüfe den Port 80. Hier wird mir gesagt, dass der Port nicht erreichbar ist --> Und das egal ob die Firewall aktiv oder ausgeschaltet ist.

Ich habe die Firewall wie von Marius Hosting erklärt eingerichtet. https : // mariushosting . com / synology-how-to-correctly-set-up-firewall-on-dsm-7
Hier habe ich die Basis-Konfiguration (dynamische IP) gewählt, und die Optionalen Einrichtungen für Docker.

Jetzt verstehe folgendes nicht:
1.) Warum werden die Webseiten korrekt erreicht, wenn doch der Port 80 oder 443 angeblich nicht verfügbar ist?
2.) Warum funktioniert Letsencrypt mit der Firewall Regel nicht? Was muss ich zusätzlich freigeben?

Danke schon mal.
Clamsy

 

[Benares]

Schalte ich die Firewall auf der Synology aus, dann funktioniert Let's Encrypt wieder.

Denk dran dass die LE-Server, die das HTTP-Challenge prüfen, in USA stehen. Hast in deinen Firewall-Regeln irgendeine Art von Geo-Blocking drin?

 

[Clamsy]

Nein, das habe ich nicht.

 

[Benares]

Zeig bitte mal einen Screenshot deiner Regeln.

 

[Clamsy]

Bei den "verweigern" habe ich alles angehakt und bei Webserver und https die Ports 80 und 443 nicht den Haken gesetzt, somit nicht verweigert.

 

[Benares]

Mmh, setz vielleicht mal eine Zulassen-Regel für 80,443 für alle an die 3. Stelle und sperre in der letzten alles. Das müsste ja das gleiche sein.

 

[Clamsy]

OK, das funktioniert. Warum das andere nicht funktioniert ist mir irgendwie suspect. Aber egal, jetzt läuft es.

 

[dil88]

Ich hatte übrigens vor ein paar Tagen mit etwas anderer Konfig das gleiche Problem. Ich hatte Port 80 und 443 allerdings auf die Länder Deutschland und USA beschränkt, da ging es auch nicht. Ohne Firewall ging es dann. Ich werde beim nächsten Mal ohne Beschränkung der Länder testen, will das aber nicht als Standard lassen.

 

[TheGardner]

"Theoretisch" müsst ihr bei 80 und 443 nicht immer so ängstlich sein. Ich habe seit 25 Jahren bei mir diese Ports weltweit offen und bisher keinerlei Probleme damit gehabt. Ja, das soll nicht heißen, dass jetzt jeder so vorgehen soll. Man muss halt wissen, was oder wofür der eigene Webserver erreicht werden soll und wenn es am Ende nur um deutsch(-sprachiges) Publikum geht, dann reicht natürlich auch ne GEO-Block Regel, die Deutschland zulässt (und für Let's Encrypt wird halt noch US zugelassen).
Ich wollte mit meinem Beitrag nur mal die Gewichtung darlegen, über die mancher Laie hier stolpert, weil die weite Annahme besteht, dass "man ja ACH so vorsichtig sein soll" wenn man sein NAS nach außen hin freigibt. Ja - man sollte immer vorsichtig sein, aber das hat auch seine Grenzen bzw. sollte man eher genau wissen, was man freigibt und wie man das auch überwacht.

Auch ist es für jeden besser, wenn sie/er bei den Firewall-Regeln jede Anwendung in einer "eigenen" Regel benutzt. Das hilft bei der Übersicht und man behält so in der Regel auch den Überblick. Hier einmal -zu Nachahmungs- und Info-Zwecken- meine Regeln:


Die Reihenfolge staffelt sich praktisch nach der SourceIP, d.h. erst steht all das, was immer zugelassen ist und danach kommen die Regeln mit Einschränkungen, bis zum Schluss alles andere verweigert wird (Punkt bei Deny access).
Also:
1. alles was über VPN kommt - erlaubt
2. der ganze eigene Streaming/DLNA Shais in den eigenen 4 Wänden - erlaubt
3. der Port 8030 eines Docker Containers für die eigenen 4 Wände - erlaubt
4. jedweder Fileservice, Netzlaufwerke auf und zu anderen Rechnern in den eigenen 4 Wänden, einschließlich aller VPN angeschlossenen anderen Fritzboxen/Haushalte - erlaubt
5. SFTP und SSH von und zu anderen Rechnern in den eigenen 4 Wänden, einschließlich aller VPN angeschlossenen anderen Fritzboxen/Haushalte - erlaubt
6. Regel 5 noch mal (bei Bedarf) für spezielle Länder - erlaubt
7. NAS-DSM Zugriff, welcher für weltweiten Zugriff benutzt werden soll in einer Regel - erlaubt
8. ReverseProxy, http und https (Port 80 und 443) Webserver welche weltweiten Zugriff benutzt werden zusammengefasst in einer Regel - erlaubt
9. FTPS Service (Port 21 und passiv), welche weltweiten Zugriff benutzt werden zusammengefasst in einer Regel - erlaubt
10. spezielle Anwendung (über Reverse Proxy) welche tägliche geschäftliche Sperren (z.B. socialmedia) auf Arbeit umgeht - erlaubt
11. die Rückmeldung eines Pings vom NAS (ICMP Protokoll) - erlaubt