Hyper Backup Vault Remote Hyper Backup - keine Verbindung möglich

[zotac94]

Hallo zusammen

Aktuell macht ein Freund von mir ein Backup auf mein NAS übers Internet. Nun wollte ich noch einen zweiten onboarden. Ich habe eine eigene Domäne (kein Synology DDNS oder Quickconnect) und einen Custom Port fürs DSM. Komischerweise kann er sich nicht verbinden. Über den Browser mit dem Custom Port kommt er jedoch normal auf die Anmeldeseite.
Laut Synology müsste der Port 5001 seit DSM 7.2 trotzdem geöffnet werden, da die erste Authentifizierung über diesen Port läuft. Also habe ich nun vorsichtshalber 5000, 5001, 6281 und meinen Customport sowohl in der lokalen Firewall freigegeben, als auch im Router zur Synology geforwarded.
Die Settings sind 1:1 dieselben, welche bei meinem Freund eingerichtet sind, welcher bereits bei mir täglich erfolgreich backupped - Als Servername meine Domain, Übertragungsverschlüsselung Ein und als Port 6281. Trotzdem kommt jedesmal das angehängte Fenster.

Hat jemand eine Idee, an was es sonst noch liegen könnte?

edit: Wohl das gleiche Problem wie die Leute hier, aber leider haben sie auch keine Lösung:
https://community.synology.com/enu/forum/1/post/161671

 

[plang.pl]

Hast du ein ECC oder RSA Zertifikat auf der DS?
Steht was im Protokoll-Center? Wenn nicht, kannst du mal die Logs von Hyper Backup via ssh prüfen: /var/log/synolog/synobackup.log bei dir und die /var/log/synolog/synobackup_server.log beim Kumpel.

 

[zotac94]

Es ist ein LetsEncrypt Zertifikat. Da steht RSA/ECC. Im Protokollcenter steht leider nichts. Leider steht auch weder im synobackup, noch im synobackup_server Log etwas.

 

[plang.pl]

Welche Hyper Backup und Hyper Backup Vault Version genau? Welche DSM Version?
Löst bei ihm die Domain richtig auf?

 

[zotac94]

Alles jeweils auf dem neusten Stand, beide auf DSM 7.2.1. Hyper Backup & Vault auf 4.1.0.
Bzgl Auflösung bin ich nicht ganz sicher, wie ich das herausfinde innerhalb von Hyper Backup. Jedenfalls kommt er über den Browser normal auf die DSM Loginmaske. Wenn wir es in Hyper Backup direkt mit der öffentlichen IP von mir probieren, verhält es sich gleich wie mit der Domain.

 

[plang.pl]

DSM 7.2.1 Update 4?
Ok. Dann scheint die Auflösung zu passen. Du kannst mal unter cmd mit dem Befehl telnet testen, ob die Ports tatsächlich offen sind. Oder mit der Powershell. Da kann ich dir auch gleich den Befehl sagen: Test-NetConnection IP -Port PORT

 

[zotac94]

Gute Idee. Ich habs aus seinem Netz und noch aus einem unabhängigen Netz (Online Telnetdienst) probiert. Folgendes Fazit:
Custom DSM Port: geht bei beiden
6281: geht bei beiden
5000/5001: geht bei beiden nicht

Ich hab auch schon vorübergehend die Synology Firewall deaktiviert und nochmals probiert. Ohne Erfolg. Die Ports sind auch richtig auf dem Router freigegeben: TCP 5001 (& 5000) extern an 5001 (& 5000) intern an meine Synology. Genauso wie alle anderen geöffneten Ports.

Kann es allenfalls sein, dass das Paket irgendwie bei meinem Router hängenbleibt und gar nicht zur Synology kommt aus irgendwelchen Gründen? Aber soweit ich weiss, gibt es ja auf der Synology keine Firewalllogs, oder?
Oder muss irgendwas auf dem Port laufen, damit der Telnet erfolgreich ist? Hab testweise noch den Port 8888 freigegeben und der Telnet war ebenfalls nicht erfolgreich.

edit: Ich habs nun hingekriegt. Ich hab den Standart DSM Port wieder auf 5001 gewechselt. Nun hats geklappt. Nach der Anmeldung konnte ich den Port wieder anpassen und das Backup läuft noch.

 

[plang.pl]

Super. Nach deinen geschilderten Ergebnissen wäre das tatsächlich mein nächster Vorschlag gewesen, die Ports auf 5001 / 5000 zu setzen. Das ist echt dumm. Schon alleine, dass der DSM Port offen sein muss, wenn man sich per HyperBackup anmelden will, ist nicht so geil. Dass er dann aber auch noch auf Standard sein muss, naja. Mein DSM-Port ist bei meiner 218+ und 720+ auf 5500/5501 umgestellt. Dort musste ich das nicht machen, ich konnte mich dennoch per Hyper Backup anmelden. Aber die beiden DSen sehen sich quasi "nackt", weil beide Router per Site 2 Site VPN verbunden sind. Bei einer Portweiterleitung sehen die DSen ja nur die Ports, die weitergeleitet sind.

 

[Benares]

Das ist ja echt blöd, scheint aber ab DSM7 so zu sein (s. hier)

 

[plang.pl]

Ohweh. Ich würde mir für so einen Fall dann einen Reverse Proxy erstellen, der von extern 5001 auf den veränderten DSM-Port weiterleitet. Die Weiterleitung im Router nur dann aktiv setzen, wenn gerade gebraucht.

 

[maxblank]

Wird auch nur einmal zur initialen Einrichtung benötigt, wenn ich das richtig in Erinnerung habe.

 

[Benares]

Stimmt, das könnte natürlich sein. Die Benutzer-/Passwort-Eingabe sieht ja aus wie eine DSM-Anmeldung. Danach kann man 5000/5001 evtl. wieder abschalten. Trotzdem aber irgendwie blöd gemacht.

 

[plang.pl]

Ja klar, danach kann man das wieder abschalten. Braucht man tatsächlich nur zur initialen Anmeldung.
Dennoch doof, v.a. weil das in keinem KB-Artikel bezügl. der Hyper Backup Einrichtung in der Art erwähnt wird.