DSM 7.2 Umzug auf DS224+ und Wechsel von DSM 6.2 auf DSM 7.2

[xelarep]

Hallo zusammen,

es ist mal wieder soweit - nach ein paar weitern ruhigen Jahren und dem bevorstehenden Supportende von DSM 6.2 stand mal wieder ein Hardware Upgrade an.
Ich bin gerade dabei eine DS224+ neu unter DSM 7.2 aufzusetzen und von einer DS-216+II unter DSM 6.2 weg zu migrieren. Ist dann jetzt meine 4. Diskstation
Wenn ich dann mit allem durch bin wird die DS-111 in den Ruhestand geschickt, und die DS-216+II unter DSM 7.2 neu als Backup System aufgesetzt.

Klappt soweit alles ganz gut, hab die meisten Dinge schnell wieder gefunden, bzw. teste noch neue Funktionalitäten.
SVN + PhotoStation gibt es nicht mehr - das war mir vorher bekannt, da muss ich mir noch was überlegen, bzw. migreren. Mein GitLab werde ich unter wahrscheinlich unter Docker / Container Manager neu aufsetzen.

Womit ich noch etwas hadere, bzw. noch etwas Input bräuchte:

Ich habe bisher per Subdomain mit CNAME Eintrag, DynDNS + Reverse Proxy "nach Hause telefoniert". Lästig war dabei immer das Let's Encryt Zertifikate erneuern - speziell wenn Subdomains dazu kamen/wegfielen. Wildcard habe ich irgendwie nie an den Start bekommen.

Ich habe daher mal mit dem Synology eigenen DDNS / *.meinedomain.synology.me / Reverse Proxy + UPnP Routerconfig auf meine Fritz 7590 "gespielt".
Das ist sehr angenehm. Außerdem bekommt man da auf einfachste Weise ein Let's Encrypt Wildcard Zertifikat. Dafür gebe ich auch meine eigene Subdomain-Landschaft auf, bzw. werde das ggf. auf Weiterleitungen umstellen.

Nach "draussen" gehen inzwischen eigentlich nur noch Synology Drive, Calendar, vereinzelt FileStation und dann halt der Photostation Nachfolger. Den Rest mache ich inzwischen nur noch per VPN - ist ja auch alles einfacher geworden.

Gibt es von euch irgendwelche Bedenken, Tipps, Hinweise auf Fallstricke was ich in dem Szenario beachten sollte? Sonstige Hinweise für einen DSM 7.2 Neuling?

Viele Grüße,
Alexander

 

[Benares]

Synology-DDNS ist wirklich vom Aufwand her das einfachste, was die Verlängerung der Zertifikate anbetrifft, sogar mit Wildcard-DNS und Wildcard-Zertifikat. Über UPnP solltest du deine Firewall aber nicht konfigurieren, mach das besser auf der Fritzbox selbst. Versuche wirklich alles über Port 443 (https) zu schleußen und auch nur diesen freizugeben, mit dem Reverse Proxy geht das ja ganz gut. Besser noch, mach einfach alles über VPN und öffne gar keine Ports.

 

[xelarep]

Aah, danke, stimmt! Das ist mir gestern gar nicht gleich aufgefallen, dass da ggf. mehr Ports geöffnet werden, als es braucht. Da muss ich nochmal reinschauen. Ja, ich hab bisher (auf der alten DS) weitgehend alles über Port 443 und Reverse Proxy + dezidierte Regeln gemacht.

Zusatzfrage - kommt mir gerade noch in den Sinn:

Ich hab auf der alten DS Webstation unter dem Apachen laufen lassen, und dann mit .htaccess nur interne IPS zugelassen (z.B. für mein manuell angelegtes DokuWiki)
Geht das inzwischen irgendwie eleganter - mir schwirrt da gerade was wie Exclusiver Docker Container und per Anwendungsportal nur intern erreichbar im Kopf herum?!

 

[ctrlaltdelete]

dito

 

[plang.pl]

weitgehend alles über Port 443 und Reverse Proxy + dezidierte Regeln gemacht.

So macht man das auch, wenn mans richtig machen will.

Geht das inzwischen irgendwie eleganter

Du kannst einen Reverse Proxy für Anwendungen erstellen und jedem ein anderes Zugangskontrollprofil zuweisen.

 

[xelarep]

Zugangskontrollprofil war das Zauberwort, danke das hatte ich mir in DSM 6 irgendwie nie angeschaut

BTW: Synology Photos wird jetzt doch der Nachfolger meiner Photo Station. Inzwischen sind ja doch noch ein paar mir wichtige fehlende Features dazugekommen (dark mode, Orte/Karte). An den Rest werden ich und meine wenigen User sich gewöhnen

Bin ich die nächsten Tage erst mal beschäftigt

 

[xelarep]

Puh, das ist ja fast richtige Arbeit Inzwischen bin ich mit meinem Umzug aber weitgehend durch

Was gab es alles zu lernen, bzw. neu oder wieder zu entdecken

• die Webstation ist mit ihren Portalfunktionen, Profilen jetzt deutlich flexibler für mich zu handhaben
• dennoch habe ich auf Empfehlung einen Nginx Proxy Manager in einer VM aufgesetzt, alleine die automatische Zertifikatserneuerung (wenn sie funktioniert...) ist dann ja schon eine Wohltat - und gute Ergänzung zum NPM
• der Umzug Photostation zu Synology Photos war doch nicht so schlimm wie ich dachte, da ist ja doch noch einiges an Features nachgelegt worden, was es zu Beginn nicht gab (Rechteverwaltung, Orte/Karten, usw.). Gefällt mir inzwischen ganz gut. Für ein paar Dinge (Portfolio) habe ich schon Ideen mit Tags
• mein Docker-Gitlab war am schnellsten umgezogen - der neue Container Manager ist gar nicht mal so schlecht
• SVN und WebSVN konnte ich ebenfalls in einen Docker verfrachten. WebSVN hatte sich zwar anfangs geziert, aber nach einer intensiven Diskussion mit ChatGPT kam ich auf den richtigen Weg
• Hyper Backup hat mich wegen verschlüsseltem Volume veralbert, konnten wir in einem anderen Thread klären
• Schade, dass my Synology Drive nur mit Neuabgleich installieren kann - kostet etwas extra Zeit.
• Kalender Export/Import: check
• MariaDB Export/Import: check
• konnte durch den NPM + Webstation nun besser den Zugriff von aussen regeln, bzw. schützen, das meiste mache ich heute sowieso per VPN, aber alles geht dann halt doch nicht

Was übrig bleibt

• es fehlen noch die letzten Ordnerabgleiche mit den neuen Freigaben
• eine neue Time Machine Sicherung für die Macs
• die restlichen Backups (erstmal temp. USB, dann C2, später auf die neuaufgesetzte DS216+II)
• Festplattentausch (die grösseren und neueren Platten sind derzeit noch in der alten DS, vor dem neu Aufsetzen wird der SHR durchgetausch - fast wie damals(tm)
• auf YouTube ist noch eine interessante Methode zur Zertifikatswarnungsunterdrückung im lokalen Netz an mir vorbei gerauscht
  das ist unter https://notthebe.ee/blog/easy-ssl-in-homelab-dns01/ auch schön zusammengefasst. Leider hab ich's noch nicht ganz zum Laufen bekommen - bei meinem DNS Eintrag bei NameCheap klemmt noch was - Zertifikate konnte ich schon installieren

Wollte ich einfach mal teilen, damit ich's beim nächsten Umzug in ein paar Jahren wieder finde

 

[ctrlaltdelete]

Klasse, freut mich!!!

 

[xelarep]

• auf YouTube ist noch eine interessante Methode zur Zertifikatswarnungsunterdrückung im lokalen Netz an mir vorbei gerauscht
  das ist unter https://notthebe.ee/blog/easy-ssl-in-homelab-dns01/ auch schön zusammengefasst. Leider hab ich's noch nicht ganz zum Laufen bekommen - bei meinem DNS Eintrag bei NameCheap klemmt noch was - Zertifikate konnte ich schon installieren

Und wieder ein Stück weiter: das Ganze funktioniert, wenn man in der Fritz!Box (also in meinem Fall...) entsprechende DNS-Rebind-Schutz Einträge für die innere Domain und Wildcard Domain anlegt (also meinedomain.me und *.meinedomin.me) tolle Sache!

Merke: bei der Erstellung eines Backup des dann herunterfahrenen Ngingx Reverse Proxies kann man ganz schlecht auf der inneren Domain weitermachen - ich hätte ja fast ewig auf die Ausschaltmeldung der VM gewartet