Sicherer Datei-Zugriff von aussen?

[Elador]

Hallo zusammen,

Ich habe zur Zeit den VPN-Server auf meiner DS212 laufen und nur den pptp Port auf meinem Router auf die DS weitergeleitet. So kann ich ja theoretisch von überall auf die DS zugreifen, was mit dem iPhone auch perfekt funktioniert. So wie ich das verstehe, ist diese Lösung so ziemlich die sicherste.

Nun habe ich aber 2 Probleme damit:

-Auf meinem Firmenrechner kann ich keine VPN-Verbindung zur DS herstellen. gnome-network-manager erlaubt mir zwar das erstellen einer pptp-Verbindung (nur pptp, kein OpenVPN), aber er kann keine Verbindung zur DS herstellen ("...fehlgeschlagen..." - leider werden keine Details angezeigt).
Ich nehme an, die Firma sperrt ausgehende VPN-Verbindungen?

-Um von der Uni aus Internet zu haben, muss ich mich selbst zuerst in deren Cisco VPN einloggen. Ich habe das jetzt noch nicht ausprobiert, aber ich denke nicht dass ich durch diese Verbindung jetzt nochmal mit pptp in mein Heimnetz tunneln kann? Sozusagen VPN-in-VPN?


Nun ich möchte schon ohne grössere Umwege auf die Daten auf meinem NAS zugreifen. Ich bin aber sehr sehr sicherheitsbewusst und möchte auf keinen Fall irgendeine Türe in mein Heimnetzwerk und/oder NAS öffnen. Was habe ich für Optionen?

-Auf meinem Router den NFS-Port öffnen, dann kann ich vom Arbeits-Linux direkt die Shares meiner DS mounten - sehr bequem. Aber wie steht es da um die Sicherheit? (Nachdem ich zB http://tldp.org/HOWTO/NFS-HOWTO/security.html gelesen habe, graust es mir davor).

-WebDAV? (Selbe Probleme wie bei NFS? Ich habe mich nie damit beschäftigt).

-HTTPS/SSH?

-Die "Windows shares" (CIFS/SMB) Ports auf dem Router weiterleiten, Linux kann ja die auch mounten. Aber das klingt nach genau einem Sicherheitsloch?

-FTP kommt nicht in Frage (plain-text passwortübertragung...). Evtl SFTP? Unterstützt die DS sowas? Ist aber auch nicht ganz so praktisch wie NFS/SMB

-DSFile/Filestation oder wie das heisst, per Web zugänglich machen und den Port auf meinem Router weiterleiten. Das wäre einigermassen sicher, bzw so sicher, wie Synology halt programmieren kann? Aber sehr unbequem, da man Dateien nur per Browser austauschen kann...


-Irgendeine der oben genannten Varianten, aber in der Firewall von der DS festlegen, dass für NFS/CIFS nur Verbindungen von *FirmenSubnet*-IPs angenommen werden? Mit dem flauen Gefühl, dass dann immerhin "nur" jeder in meiner Firma potentiell auf meine Daten kommen könnte?

- ...?

Wie seht ihr das? Wie soll ich das machen? Ich habe keine ultra-sicherheitskritischen Daten auf meinem NAS, ABER das NAS ist mein Backup von allem was mir lieb ist (Fotos, Arbeiten, ...), und ich bin da sehr sehr sicherheitsbedacht!

 

[Trolli]

Die Ports für NFS und SMB/CIFS sind tabu.

WebDAV (über https), File Station (über httfs) und FTPES (über SSL/TLS) kann man machen. Sicherheitstechnisch halte ich diese Wege alle für durchaus vertretbar.

 

[jahlives]

Wenn OpenVPN nicht in Frage kommt, dann würde ich einen Zugriff via ssh machen (z.B. als Windows Tool WinSCP verwenden). ssh bietet neben eine Verschlüsselung auch die Möglichkeit der Zertifikatsauthentifizierung. Das stellt sicher, dass BruteFore Attacken, wie sie bei Passwort-Logins möglich sind, nicht machbar sind. Hast du denn auf dem FirmenPC nicht die Möglichkeit OpenVPN zu installieren resp installieren zu lassen?

 

[Trolli]

...wobei BruteForce Attacken ja auch durch Aktivierung der Autoblock-Funktion ausgeschlossen werden können.

 

[Elador]

Ok, danke erstmal.

Ich nehme mal an man kann kein OpenVPN client ohne root/sudo-rechte installieren. Sonst würde das gehen, falls openvpn nicht auch geblockt ist.

Filestation über https wäre nur über den Browser wenn ich das richtig verstehe?

Wie siehts aus mit WebDav über https, das scheint mir noch eine gute Lösung zu sein? Wenn nicht sogar die beste?

SSH mit Zertifikaten klingt auch sehr gut. Aber wie mache ich dann filesharing? Und kann ich das im DSM-GUI einrichten? Wollte es egtl vermeiden, gross auf der Shell rumzubasteln.

 

[Matthieu]

SSH ohne Zertifikat geht ohne Eingriffe ins System, Stichwort für den DSM lautet "Terminal".
Seit den ganzen Zertifikat-Diskussionen und den gefälschten Zertifikaten bin ich da ein wenig vorsichtig. VPN durch VPN hört sich interessant an, bin mal gespannt wie das ausgeht.
Und ja, FileStation bedeutet nur Browser.

MfG Matthieu

 

[jahlives]

...wobei BruteForce Attacken ja auch durch Aktivierung der Autoblock-Funktion ausgeschlossen werden können.

nicht die autoblock-Funktion schliesst die BruteForce aus, sondern nur die Komplexität vom "Geheimnis" (Passwort oder Schlüssel) ;-)
Damit man die Sicherheit eines PW mit der eines Schlüsels vergleichen kann, müsste das PW mindestens 1024bit lang sein, was afaik der default Länge von ssh Schlüsseln entspricht. Da sich das aber niemand merken könnte sind die Chancen ein "normales" PW zu brechen um Welten grösser als einen Schlüssel zu knacken

@Elador
jap OpenVPN wird root Rechte bzw sudo benötigen um installiert werden zu können. Sprich doch mal mit dem Admin bei euch, vielleicht lässt er sich dazu bringen dir ein OpenVPN zu installieren und einzurichten. Mit OpenVPN würden dir alle Protokolle der DS zur Verfügung stehen, auch ohne entsprechende Portweiterleitung