DSM 7.2 Tagebuch Umbau NAS DS918+

[Ronny1978]

Vorwort

Wie bereits in der Community versprochen, möchte ich euch meinen Umbau des NAS DS918+ beschreiben bzw. lasse euch an meinen Erfahrungen teilhaben und vielleicht nimmt es auch dem einen oder anderen Neuling die Angst vor größeren Aufgaben.

WARUM?

Ich habe 2018, als ich mich mit meinem Arbeitskollegen unterhalte habe, das Interesse an einem NAS gefunden. Meine Filme lagen bisher auf 5 verschiedenen USB-Festplatten. Somit war das Anschauen

• Nur im Wohnzimmer möglich
• War in Kodi recht mühsam

Außerdem lagen die Fotos auf meinem Laptop und noch einmal gesichert in der Cloud. Also war die Entscheidung gefasst ein NAS zu kaufen. Ich habe die Entscheidung aber nicht über das Knie gebrochen, sondern mich intensiv mit den Herstellern, Synology, QNAP, WD und ASUSTOR auseinandergesetzt. Mir einen Plan gemacht, was ich eigentlich mit dem NAS machen UND was ich mit dem NAS in 5 Jahren machen möchte. Dann noch die derzeitigen Kapazitäten mal summiert und alles aufgeschrieben und vergleichen. Klar ist ein NAS keine Lebensentscheidung und klar ist nix in Stein gemeißelt, aber ich wollte die FÜR MICH bestmögliche Entscheidung nach dem Preis-Leistungs-Verhältnis treffen. Alles zusammen hat die Entscheidungsfindung ca. 3 Monate gedauert, weil ich schon „im Kopf“ vorgeplant hatte, wie auch die Einrichtung laufen soll. Alles in allem war es ja doch eine Investition von ca. 900-1000 Euro (NAS + Festplatten). Und solange ich keinen Esel im Keller stehen habe, der Dukaten sch… kann, muss ich jedenfalls schon bei 1.000 Euro überlegen, was ich will und tut.

Und für Neulinge VOARB: Die Stromkosten müsst ihr mit einrechnen, wenn ihr die Investition mit einem Cloudspeicher vergleicht. Auf lange Zeit ist der Cloudspeicher mittlerweile wahrscheinlich preiswerter, ABER warum doch ein NAS:

• Die Daten liegen bei mir und nur bei mir.
• Kapazitätsengpässe können relativ leicht beseitigt werden.
• Man ist nicht auf die Internetleitung angewiesen. Weder auf Stabilität, Funktionalität und auch nicht auf irgendwelche Down-/Uploadraten.

WAS HABE ICH GEKAUFT?

Nach reichlicher Überlegung, ist es eine DS918+ mit 4x 6TB Seagate Ironwolf geworden. Die Datensicherheit vom DSM, die Möglichkeiten und die doch einfache Bedienung am Anfang haben zur Entscheidung beigetragen. Da auch natürlich die Fotos von unseren Kindern und auch geschäftliche Daten meiner Frau lagern, war für MICH die Entscheidung auf ein RAID 6 gefallen, also die Ausfallmöglichkeit von gleichzeitig 2 Laufwerken. Ob die Entscheidung richtig war und ob ich heute genauso entscheiden würde? Dazu später mehr.

WAS WOLLTE ICH MACHEN?

Neben der Datensicherheit, war natürlich auch die Entscheidung für die DS918+ dahingehend getroffen, weil 4-Bay -> was also ein RAID 6 überhaupt erst möglich macht, die Möglichkeit NvME zu verbauen und der „relativ“ starke Prozessor – für damalige Verhältnis. Folgende Szenarien wollte ich durchführen:

• Filme auf mehreren Geräten im Haushalt abspielen.
• Eine virtuelle Win 10 Maschine, um das Buchhaltungs- und Bankprogramm für meine Frau nutzen zu können.
• MariaDB für meine Filmdatenbank aus KODI.
• Synology Drive Server und Synology Photos, um meinen Onkel mit anbinden zu können.
• Weitere VM für Home Assistant
• Docker für Unifi Controller
• Später Digital Zeiterfassung mit Kimai für die Angestellten meiner Frau.
• ecoDMS und ecoMailz als Container

Die Win10 VM war schon recht träge und durch die begrenzte Verfügbarkeit von RAM war ich natürlich auch etwas beschnitten. Etwas mehr Performance erhoffte ich mir durch einen Lese-/ Schreibcache. Naja, das war mehr oder weniger von Erfolg gekrönt. Danach habe ich die 2 NVME als Pool/Volume eingebunden. Aber logischer Weise bleibt ja der Prozessor der, der er ist. Also suchte ich nach neuen Ideen und bin auf Proxmox gestoßen. Dort einen Mini PC mit i7 und 64GB RAM gekauft und was soll ich weiter sagen: Eine „Waffe“. Also habe alles von der DS918+ runtergeholt was ging:

• VM Win 10 jetzt Win 11
• VM Home Assistant
• Unifi Controller läuft jetzt als LXC
• Jellyfin läuft als LXC
• MariaDB läuft als LXC
• VM Home Assistant
• Surveillance Station wird jetzt durch die Reolink Integration von Home Assistant ersetzt

Somit dient die DS918+ als Datenspeicher für alles und folgende Apps sind auf der DS918+ übrig geblieben, mangels Alternative:

• Audio Station -> etwas besser als Jellyfin
• Synology Photos -> etwas besser als Jellyfin
• Synology Drive Server -> ich hab noch keine Zeit für Nextcloud gehabt
• Hyper Backup
• evtl. kommt noch Active Backup for Business dazu

Ihr seht, vieles kann und hat der Proxmox Server ersetzt. Aber die DS918+ ist dennoch ein wunderbares Gerät. Also hatte ich folgende Ideen:

Umbau

• RAID 6 weg -> „Verschwendung“ -> nicht einen Fehler in den 5 Jahren
• Bond der 2 Netzwerkschnittstellen auflösen, aber über die OpnSense die Verteilung auf die 2 NICs steuern, in dem ich die in getrennte Netze packe.
• 1x RAID 1 mit 2x 4TB SSD für das DSM, die Apps und die wichtigen Daten
• 1x RAID 1 mit 2x 16TB HDD für Backups und die Filme

Somit sparen die SSD Strom und sind schneller bei den kleineren, TÄGLICHEN Daten und die HDDs bieten genügend Platz für die Filme und die Backups von Proxmox und Home Assistant. Außerdem „springen“ sie nur noch an, wenn Filme über Jellyfin geschaut werden oder ein Backup läuft. Sonst sind sie im Ruhemodus, was auch wieder Strom sparen hilft. -> Derzeit 15 Watt weniger, was ich so beobachten kann.


Ablauf des Umbaus

• VORHER Einstellungen speichern und den Ablauf den Umbaus AUFSCHREIBEN!!! bei mir waren es 9 Seiten in WORD -> so geht es schneller und man vergisst nix
• Backup ALLER Daten auf eine externe 14TB HDD: 29.05.2024 – 31.05.2024
• Backup aller Daten AUßER Filme auf eine 6TB HDD 02.06.2024
• Backup der Filme auf 3. externer 5TB USB HDD
• Finales Backup der Daten und Filme auf der 14TB Platte am 08.06.2024 (17:30 Uhr – 18.00 Uhr)
• Quick Connect deaktiviert, DDNS gelöscht, Synology Konto getrennt und NAS aus dem Online Konto bei Synology gelöscht
• NAS heruntergefahren
• Nvme’s ausgebaut
• 4x Seagate Ironwolf 6TB HDDs aufgebaut
• 2x WD Red 4TB SSD eingebaut und NAS gestartet: Es ist 19:00 Uhr
• DSM 7.2 installiert
• Alternatives Aminkonto eingerichtet. Standard-Adminkonto DEAKTIVIERT.
• Updates eingespielt ab 19:13 Uhr in 2 Schritten
• 2x 16TB HDDs installiert und Speicherpool 2 eingerichtet 19:30 Uhr
• Freigabe Ordner angelegt bis 19:48 Uhr
• Einstellungen, Benutzer bis 00:17 Uhr
• Stand 09.06.2024 08:18 Uhr – Wiederherstellung läuft noch
• Die ersten Benutzer sind auf 2FA umgestellt. Für diese Benutzer wurde bereits das DSM blockiert. Es ist nur noch Zugriff auf File / Audio und Photo über den Reverse Proxy der Firewall verfügbar.
• Apps installiert und die Berechtigungen gesetzt
• Rücksicherung der Daten die dringend sind -> Schuldaten der Kinder, Daten für das Geschäft meiner Frau und die Homes Ordner *1

*1: Hier der erste kurze Schock: Ich konnte die ...hbk auf den gesicherten Festplatten in der Filestation nicht öffnen. "Fragen Sie Ihren Administrator". Erst Reaktion meinerseits -> "sch...." -> aber ruhig bleiben und Nachdenken. Über HyperBackup gibt es bei der Wiederherstellungskonsole unten den Hinweis:



Dort klicken und man kann die zuvor gesicherten Daten wieder herstellen. Nachdem die wichtigsten Daten wiederherstellt waren, habe ich die großer Wiederherstellung der Filme angeschoben und bin ins Bett. Kleine Erkenntnis: Die Freigegebenen Order können ruhig schon angelegt werden. Die Daten bei Wiederherstellung werden in den richtigen Ordner gelegt, solange der auch gleich heißt.

MEINE Einstellungen für Ordner / Benutzer / Sicherheit

Hier geht es nun um MEINE Einstellung, bei denen ich denke, dass diese zu mindestens halbwegs sicher sind. Ich möchte mein NAS für bestimmte Dienste im Internet bereitstellen und habe als Firewall eine OpnSense.

• Benutzer bekommen NUR den Zugriff, den sie unbedingt brauchen!!! Das gilt für Ordner wie auch für Apps.
• Gruppen habe ich wie folgt angelegt: Administratorgruppe, Familie, Server und User extern. Hier muss man gut überlegen, dass man sich "kein Bein stellt"
• ALLE Nutzer die Personen sind und auf das NAS zugreifen, müssen die 2FA nutzen -> ALLE!!!
• kein Benutzer darf mein erstelltes Passwort ändern
• kein Benutzer, außer mir mein Admin-Konto, darf DSM nutzen
• HyperBackup sollte entsprechend eingestellt werden
• Snapshot Replication nutzen und entsprechend einstellen
• auf der OpnSense ist Crowdsec installiert
• auf der OpnSense ist HAProxy als Reverse Proxy installiert -> somit muss ich überhaupt keine Ports öffnen, außer den für den Drive Client und es läuft alles über Lets Encrypt Zertifikate
• ALLE Ports für DSM und die Anwendungen abändern
• Umleitung zu https aktivieren
• Benachrichtigungen einrichten
• ich lasse mich bei Updates nur informieren, wann und ob ich die einspiele, entscheide ich!!!
• die 2 NIC haben getrennte Adressen und ich kann somit über die OpnSense steuern, welche Anwendung auf welche Netzwerkschnitte zugreift -> setzt aber einen Router voraus, der auch VLAN kann!!!
• Unbedingt bei Sicherheit - Konto den Kontoschutz aktivieren. Ich habe eingestellt: 3 Logins / in 10 Minuten / Kontoschutz aufheben 999 Minuten bzw. 3 Logins / in 10 Minuten / Kontoschutz 240 Minuten
• und automatische Blockierung -> 3 Logins / in 10 Minuten -> KEINE Aufhebung -> ABER ACHTUNG BEI NUTZUNG Reverse Proxy!!! WICHTIG FÜR NEULINGE!!! Nutzt ihr einen Reverse Proxy, wird bei Falscheingang automatisch die IP Adresse des LAN NICs gesperrt -> heißt bei mir 192.168.1.1 . Das muss man wissen. Umgehend kann man das, indem man sich mit der internen IP des PCs/Laptops statt der Subdomain anmeldet und den Schutz wieder aufhebt. Ich lasse meine "unbedarften" Nutzer das Passwort auch in Chrome oder Firefox abspeichern. Warum? Es wird auch dort verschlüsselt, sie haben keine Adminrechte UND sie müssen sowieso 2FA nutzen!!!

HINWEISE und ungelöste Probleme (Tipps von euch gern gesehen)

• die Blockliste der Länder bringt in meiner Konstellation auf der Synology NICHTS -> Warum? Wenn ich den Reverse Proxy auf der OpnSense nutzen, kommt alles über das Netz des jeweiligen NICs. Das heißt, die Anfragen kommen über 192.168.1.1. Daher macht die Länderblockliste auf der Synology keinen Sinn. ABER ICH HABE AUF DER OPNSENSE eine Geoblockliste!!! Ich könnte hier spezielle Dienste für die einzelnen NICs sperren, aber da ist der Aufwand höher und ich hätte fast keinen wirklichen Nutzen davon.
• Die App Audiostation auf dem Smartphone(s) geht über die Subdomain Adresse wunderbar. Die File Station App nicht. Warum nicht? Kein Ahnung. Im Reverse Proxy ist alles korrekt auf den separaten Port der File Station "umgebogen". Gebe ich die Subdomain im Browser ein, funktioniert es wunderbar. In der App auf dem Smartphone geht es nur mit der IP der DS918+ und dem Port.
• Da ich nicht mit Portzusatz in der Domain arbeite, kann ich leider den Hardwaretoken (Yubikey) nur bei DSM nutzen. Bei der Filestation oder Drive Station geht nur 2FA OTP. Stört mich das: NEIN. Ist es schade? JA. Aber ich nutze die 2FA OTP ebenso über den Yubikey. Also alles gut.
• Das NAS bzw. der Name des NAS wird in Windows 11 in der Netzwerkumgebung NICHT MEHR angezeigt. Das mit den alten Einstellungen und dem altem NAS "DS918" war es normal zu sehen. SMB Einstellungen habe ich mehrfach geprüft, mehrfach den WS Discovery Dienst aus und wieder eingeschalten. Ich vermute, dass es hier irgendwas mit den Anmeldeinformation (Windows Anmeldeinformationen) zutun hat. Habe aber noch nichts entdecken können. Vielleicht hat ja jemand von euch einen Tipp?
• Ich habe mein separates Lets Encrypt Zertifikat für den Synology Drive Server importiert und bei der Anwendung hinterlegt. Dennoch meckert er im Client rum, dass das SSL Zertifikat nicht stimmt. Ideen eurerseits?

Ich weiß, es war viel Text und hoffe, ihr hattet dennoch etwas Spaß beim Lesen. An die Neulinge: Vorbereitung ist alles. Und ruhig auch hier in der Community Fragen zur Installation UND zur Nutzung stellen, BEVOR EIN NAS GEKAUFT UND INSTALLIERT IST. Es gibt hier großartige Forummitglieder, die sehr gern helfen und großartiges Fachwissen haben. Zum Beispiel:
@Benie , @alexhell , @dil88 , @maxblank , @ctrlaltdelete , @plang.pl ,@*kw* , @Benares , @metalworker , @Jim_OS um nur einige zu nennen.

Macht euch Gedanken, was ihr JETZT mit dem NAS machen wollt, wie viel Datenbedarf ihr JETZT habt und in 5 Jahren!!! Das wird leider häufig unterschätzt und man beginnt nach 2 Jahren wieder mit einem neuen NAS. Und macht euch auch Gedanken über eine Backupstrategie nach der 3-2-1 Regel. Oft ist hier was von 20TB, 30TB an Daten und mehr zu lassen. Aber oft wird auch NICHT gesichert, weil keine Backupstrategie für diese großen Datenmengen existiert. Ein RAID, egal welches, ist KEIN BACKUP. Und hier gilt auch der Spruch aus der IT: "Kein Backup, kein Mitleid"!!! Bitte bedenkt auch dies. UND VORALLEM!!!

Der Ton macht die Musik. Wenn ihr Hilfe möchtet und Fragen stellt, denkt bitte auch an die richtige Wahl des "Tons". Oft vergessen hier einige gewisse "Kniggeregeln" und vergessen anscheinend, dass sie Hilfe suchen. Beim falschen Ton ist auch mal ganz schnell Schluss mit Hilfe. Und sollte euch geholfen werden können - auch von EXTERN, wie zum Beispiel dem Synology Support - dann vergesst euch auch mal nicht zu bedanken und die Lösung kurz mitzuteilen, auch wenn ihr selbst die Lösung gefunden habt. Nur so helft ihr auch Anderen, die vielleicht nur mitlesen oder über die Suchfunktion stöbern.

 

[plang.pl]

ich hab noch keine Zeit für Nextcloud gehabt

Wenn es nur um Sync geht, kannst du dir auch mal Syncthing anschauen. Ist etwas komplexer, aber ich finde das ist ein geiles Tool.

Active Backup for Business dazu

Oh ja. Das ist in meinen Augen das Beste, was Synology je auf die Beine gestellt hat. Die Dateiserver-Sicherung kombiniert mit der zentralen Verwaltung + Bare-Metal Backup inkl. Screenshot Verification und Boot im VMM gibt es in der Form meines Wissens in keiner anderen App.

Ansonsten zu deinen Fragen:
-ich würde die Synology komplett aus der Blocking-Geschichte rausnehmen und alles über die pfsense machen, wenn man schon eine hat
->ich denke, dass die alles kann, was du brauchst
-zum Thema DS File und RP: Ist das unter iOS? Unter Android klappt das bei mir mit der Subdomain und Port 443 einwandfrei, unter iOS keine Chance
-greifst du auf den Drive-Server auch mittels dem DNS-Namen zu?
->falls ja: Wildcard Cert (über acme) ist ja vorhadnen, oder? Das kann ipv64 ja

So mal das, was mir auf die Schnelle zu der "Lektüre" einfällt. Ansonsten vielen Dank für Deine Worte und den ausführlichen Erfahrungsbericht!

 

[maxblank]

Sehr gut geschrieben und vielen lieben Dank. Zu deinen offenen Punkten mache ich mir Gedanken und schreibe bei Gelegenheit meine Gedankengänge auf, aber nicht mehr heute…

 

[Ronny1978]

Bare-Metal Backup inkl. Screenshot Verification und Boot im VMM gibt es in der Form meines Wissens in keiner anderen App.

Ich glaube den Proxmox selbst kann es aber nicht sichern. Die restlichen LXC und VMs vom Proxmox werden gebackupt per NFS auf die DS geschoben.

zum Thema DS File und RP: Ist das unter iOS? Unter Android klappt das bei mir mit der Subdomain und Port 443 einwandfrei

Nein, ist Android. Wie gesagt: Audiostation und Synology Photos unter Android und Subdomains geht einwandfrei. Mal sehen, ich den Fehler noch finde. Vielleicht liegt es aber nur an MEINEM Handy. Bei meiner Frau habe ich es noch nicht probiert. Aber derzeit geht es halt über VPN (Wireguard auf meiner OpnSense). Ich denke, dass passt auch und vielleicht sogar noch eine Nummer sicherer.

aber nicht mehr heute…

Alles gut. "Zeit ist relativ" : Albert Einstein. Ich mache heute Abend eh nix mehr.

falls ja: Wildcard Cert (über acme) ist ja vorhadnen, oder? Das kann ipv64 ja

Ich nutze derzeit die Subdomains von der STRATO Domain meiner Frau als Subdomains für die Dienste. ipv64 nutze ich derzeit in der OpnSense nur als DynDNS Dienst. Ich hatte gedacht, dass ich auf der OpnSense beim ACME Plugin mit *.TLDmeinerFrau.de und der DNS Challenge von IPv64 das Wildcard Zertifikat erzeugen kann, aber ich habe es leider nicht hinbekommen.
Derzeit arbeite ich - leider - noch nicht mit einem Wildcard Zertifikat, sondern mit Einzelzertifikaten für jede Subdomain und der http Challenge. Das geht im Moment wenigstens. Für Tipps bin ich dankbar, da die - doch zahlenreichen - Anleitungen aus dem WWW mich noch nicht zum Ziel geführt haben.

vielen Dank für Deine Worte

Ich danke euch für das Wissen bzw. die Wissensvermittlung, was ich mir durch mittlerweile aneignen konnte. Ohne dieses Forum, hätte ich den jetzigen Schritt nicht gewagt.

 

[plang.pl]

Ja, Proxmox selbst geht leider nicht. Für Proxmox VM Backups setze ich aber ehrlicherweise lieber auf den PBS, der als VM auf der DS läuft. Zumindest für die Bare-Metal Backups. Die wichtigsten Daten der VMs sichere ich mit der AB4B Dateiserver Sicherung weg und von der DS aus zusätzlich in die Cloud.

Aber derzeit geht es halt über VPN (Wireguard auf meiner OpnSense). Ich denke, dass passt auch und vielleicht sogar noch eine Nummer sicherer.

Achso. Das heißt, du willst den RP öffentlich erreichbar machen? Bei mir ist gar nix erreichbar im Netz. Nur per WireGuard (FritzBox).

Bezüglich Cert: Du brauchst halt ein Cert, dass zu der Domain passt, mit der du Drive ansprechen willst. Aber das denke ich weißt du. Noch ein Hinweis: Drive Client über die Subdomain ist nicht möglich. Der Port für den Client ist hardcoded und nicht änderbar (6690).

 

[Ronny1978]

Das heißt, du willst den RP öffentlich erreichbar machen?

Ich will nicht, ich habe... Ja, es gibt sichere Methoden, dass weiß ich. Aber es muss halt auch praktikabel für die externen User sein. Wireguard wird bei der Fritzbox von meinem Bruder UND bei meinem Onkel nicht unterstützt. Hier habe ich keine Lust erst in 2 VPN Router zu investieren, damit die auf meinen Jellyfin Server kommen.

Du brauchst halt ein Cert, dass zu der Domain passt, mit der du Drive ansprechen willst.

Das Zertifikat mit xxxx.ipv64.net habe ich im DSM importiert und spreche im Drive Client auch diese Domain an. Intern ist die Umleitung in Unbound aktiv. Dennoch kommt die SSL Warnung. Du hast recht und ich weiß, dass 6690 FIX ist. Mal sehen, vielleicht komme ich das noch raus.

Ich werde einfach mal probieren, was passiert, wenn ich ein Zertifikat erstelle (zum driveclient.TLD.de) und eine Konfiguration im HAProxy laufen lasse, die dann intern auf Port 6690 zielt. Mehr, als das es nicht geht, kann ja nicht passieren, oder?

Für Proxmox VM Backups setze ich aber ehrlicherweise lieber auf den PBS

Das habe ich noch vor zu "bauen".

der als VM auf der DS läuft

Das würde ich erstmal nicht wieder wollen. Mal sehen. Aber ich finde schon eine Lösung.

Dennoch schon einmal danke für deinen Support und deine Tipps.

von der DS aus zusätzlich in die Cloud.

Hier nutzt du Hetzner? Derzeit nutze ich die C2 mit 100GB. Aber das wird schon knapp.

 

[alexhell]

Das würde ich erstmal nicht wieder wollen.

Bei mir läuft der PBS auf meiner 220+ ohne Probleme. Ich hab ihn auch nur nachts zum Backup an. Ansonsten ist er die meiste Zeit aus. Du kannst den PBS auch als VM in deinem PVE installieren

 

[Ronny1978]

Danke auf dir @alexhell . Ich denke, ich probiere es erst einmal auf dem Proxmox selbst und versuchen dort ebenso die DS als NFS Speicher einzubinden. Hat aber keine Hektik. Derzeit läuft ja schon ein Backup der VMs und LXCs, aber eben nicht versioniert sondern als Fullbackup und halt ohne Backup des Proxmox VE selbst.

 

[alexhell]

Das Vorgehen die DS einzubinden ist das gleiche. Also egal ob der PBS auf deiner DS oder PVE läuft.

ohne Backup des Proxmox VE selbst

Das geht, jedenfalls soweit ich weiß, nicht über die GUI sondern nur über CLI. Aber das ist auch nur ein Befehl

 

[Uwe96]

Wofür die MariaDB? bei Yellifin/Emby ist das doch für Kodi gar nicht mehr nötig. Und hat ja auch nur Nachteile.

 

[Ronny1978]

Wofür die MariaDB?

Für Kimai2 und für Home Assistant. Da brauche ich die MariaDB. Ich möchte die eigene Datenbank von Home Assistant nicht nutzen. Ist aber nur meine Meinung!!!

Kodi gar nicht mehr nötig

Richtig. Auf dem MiniPC im Wohnzimmer läuft die Datenbank selbst drauf und die restlichen Geräte bedienen sich der Datenbank auf dem Jellyfin Server.

Und hat ja auch nur Nachteile

Welche denn?

 

[Uwe96]

z.B. dass jeder Klient die selbe Kodi Version haben muss. Und wenn Maria wozu dann Jellifn?

 

[Ronny1978]

Hallo Uwe,

danke für deine Info. Vielleicht habe ich mich nicht detailliert ausgedrückt. Die MariaDB im Proxmox LXC wird NUR von Kimai2 und Home Assistant genutzt. FRÜHER habe ich die auf für meine Kodi Datenbank genutzt, weil mein Himedia Q5 Pro nicht genügend Platz hatte und abgestürzt ist. Jetzt wird die MariaDB nur für die oben beschriebenen Applikationen Kimai2 und Home Assistant genutzt.

Auf dem Mini PC im Wohnzimmer läuft einen eigene Kodi Datenbank drauf. Diese wird auch NUR DORT GENUTZT. Den Jellyfin Server im LXC des Proxmox VE nutzen ALLE ANDEREN Geräte im und außerhalb des Netzwerkes:

- 3 FireTV Sticks
- 2 Media Player auf den Laptops
- und 3 externe Nutzer über meinen Reverse Proxy

Ich hoffe, ich konnte etwas Klarheit reinbringen. MariaDB im LXC MUSS sein, aber nicht für KODI und nicht für Jellyfin.

 

[Ronny1978]

Das Zertifikat mit xxxx.ipv64.net habe ich im DSM importiert und spreche im Drive Client auch diese Domain an. Intern ist die Umleitung in Unbound aktiv. Dennoch kommt die SSL Warnung. Du hast recht und ich weiß, dass 6690 FIX ist. Mal sehen, vielleicht komme ich das noch raus.

Ich werde einfach mal probieren, was passiert, wenn ich ein Zertifikat erstelle (zum driveclient.TLD.de) und eine Konfiguration im HAProxy laufen lasse, die dann intern auf Port 6690 zielt. Mehr, als das es nicht geht, kann ja nicht passieren, oder?

So, ich zitiere mich mal selbst .

1. Ich habe jetzt noch einmal das vorhandene UND GÜLTIGE LE Zertifikat xxxx.ipv64.net - welche im ACME Plugin der OpnSense erzeugt wurde in DSM importiert und als Standardzertifikat markiert und für alle Dienste hinterlegt. Im Unbound meiner Firewall und im Adguard auf Proxmox habe ich einen Umleitung auf die IP der DS drin. Heißt: Wenn statt normal über den Reverse Proxy subdomain.TLD.de per 443 jetzt https://xxxx.ipv64.netort aufrufe (egal ob Port vom DSM, Fileserver, Driveserver, usw.), kommt wunderbar die mit dem LE zertifizierte Seite.

Nutze ich die GLEICHE Domain im Synology Drive Desktop Client kommt eine SSL Warnung. Wieso? Sorry - ich scheine hier zu blöd zu sein. Was mache ich denn falsch???

2. Ich habe es leider nicht geschafft im HA Proxy einen 2. öffentlichen Dienst zu erzeugen und den Port 6690 per TCP über den Reverse Proxy zu schicken. Tatsächlicher Server ist mit 6690 angelegt. Bedingung und Regel ist angelegt. Separate Subdomain mit LE Zertifikat ist angelegt. Backendpool ist angelegt. Aber ich bekomme es einfach nicht hin. Im Drive Desktop Client kommt "Netzwerkfehler....".

Wenn ihr noch Tipps für mich habt, bitte gern. Ich wäre euch sehr dankbar. @ctrlaltdelete : Ich glaube, du warst schon einmal an einem Thema beteiligt, wo es allerdings im Ngnix ging und das "umbiegen" von Synology Drive (6690) entweder gar nicht ging oder sehr umständlich.

Wie gesagt: Für Tipps wäre ich sehr dankbar. Idealer Weise natürlich mit einem OpnSense/HA Proxy Setup . Ansonsten werde ich mich bei Gelegenheit mal noch um die 2-3 "Nebenkriegsschauplätze" kümmern.

 

[ctrlaltdelete]

Drive geht nicht über Proxy, da brauchst du eine Portforwarding im Router von Port 6690. Ich habe bei mir nur 443 und 6690 offen.

 

[Ronny1978]

Hallo @ctrlaltdelete ,

danke für deine schnelle Info. Schade eigentlich, da ja eigentlich TCP Layer 4 auf dem Reverse Proxy gehen müsste. Aber ich glaube, da macht Synology evtl. einen Strich durch die Rechnung. Das "blöde" ist ja auch, dass der abgehende Port des Drive Clients nicht annähern was mit 6690 zu tun hat. In meiner OpnSense wird der Quellport mit 51xxx angezeigt.

Naja, dann bleibt es halt beim Weiterleitung des Ports.

 

[Ronny1978]

da brauchst du eine Portforwarding

Ich habe mal ein Feature Request bei Synology gestellt. Ich glaube zwar nicht, dass das hilft, aber freundlich nachfragen kann man ja mal.