Workflow URL -> Reverseproxy

[zotac94]

Hallo zusammen

Ich habe eine Verständnisfrage. Ich habe mir einige Reverseproxy-Einträge erstellt, welche ich nur im internen Netz nutzen will, damit ich mir nicht die Ports der Applikationen merken muss und damit ich das Zertifikat für meine Domain auch intern nutzen kann, da gewisse Applikationen wohl darauf angewiesen sind..
Nun habe ich diese URLs natürlich nicht bei meinem Domainprovider registriert. Normalerweise mache ich einen CNAME Eintrag von sub.domain.com auf domain.com, wenn ich will, dass etwas aus dem Internet erreichbar ist.

Nun habe ich mich gefragt, wie die Weiterleitung funktioniert. Wenn man auf sub.domain.com geht, wird dies ja normalerweise vom DNS zu einer IP aufgelöst und man greift so darauf zu. Nun habe ich bei meinem internen DNS (pihole) definiert dass *.domain.com auf mein NAS weitergeleitet wird.
Wie klappt das genau, dass man nun von extern nicht auf diese URLs zugreifen kann, aber von intern schon? Das pihole macht ja auch nichts anderes, als DNS Anfragen von *.domain.com auf meine interne IP weiterzuleiten.
Die IP auf die man von extern zugreift, ist ja die selbe, egal ob man auf die Domain oder eine Subdomain zugreift. Blockiert dies der Domainprovider? Gibt es da auch Möglichkeiten, dass dies umgangen wird? Theoretisch braucht man ja nur die IP, welche man über eine DNS Abfrage von domain.com erhält und muss dann der Synology vorspielen, dass man von sub.domain.com her kommt. Oder ist dies nicht so einfach möglich?
Nicht dass ich mich in falscher Sicherheit wäge und schlussendlich gibt es doch Wege, wie man auf diese Domains zugreifen kann von Extern. Es geht mir auch nicht darum, dass das System absolut unhackbar sein soll (ich seh schon die Kommentare, dass ich meine Synology nicht ins Internet stellen soll ), sondern dass ich einfach keinen Denkfehler in meiner Konfiguration habe.

Liebe Grüsse aus der Schweiz

 

[plang.pl]

Also ich verstehe das so, dass du gerne wissen möchtest, wie du verhinderst, dass auf einen Proxy von extern zugegriffen wird.
Dazu gibt es im Reverse Proxy von DSM (und auch den meisten anderen) die sogenannten Zugangskontrollprofile. Da kannst du eines erstellen, welches nur den privaten Adressbereich deines Heimnetzes zulässt. Dieses dann den entsprechenden Proxies zuweisen.
Ruft man einen Proxy von einer nicht zugelassenen IP-Adresse auf (z.B. von extern), erscheint beim Synology RP eine Seite mit der Meldung "Es tut uns leid, die von Ihnen gewünschte Seite konnte nicht gefunden werden". Bei den allermeisten anderen Reverse Proxies kommt eine Errorseite "403 Forbidden"

 

[zotac94]

Das war genau das was ich gesucht habe! Danke dir vielmals.

Ich habe jedoch nun noch ein Problem in der Konfiguration..
Mein Netzwerk ist so aufgebaut, dass alle DNS Anfragen ausschliesslich über mein pihole laufen. Dieser fungiert ebenfalls als DHCP Server. Ebenfalls nutze ich Wireguard VPN, da ist auch der pihole als DNS hinterlegt. Nun möchte ich, dass alle internen IPs auf beispielsweise sub.domain.com Zugriff haben. Also habe ich folgendes konfiguriert in den Zugangskontrollprofilen:


192.168.1.0/24 ist mein normales internes Netz.
10.8.0.0/24 sind die IPs welche die Wireguard Clients erhalten.

Nun klappt der Zugang aus dem internen Netz. Von extern wird es blockiert. Soweit so gut. Aber sobald ich mich über Wireguard verbinde, kommt ebenfalls die Synology Fehlerseite. Ich hab auch nochmals überprüft, dass die IPs wirklich stimmen. Hier hat jemand ein ähnliches Problem, da steht aber leider keine Lösung drin:
https://www.reddit.com/r/synology/comments/bdpqaf/reverse_proxy_with_access_control_over_vpn/

So sieht die Config von Wireguard aus:


Ich habe auch bereits probiert, meine WAN IP in das Zugangskontrollprofil einzutragen, leider auch ohne Erfolg.


Eine zweite Frage wäre auch noch: Ich kann dann sobald das läuft, theoretisch auch einen Wildcard-CNAME bei meinem Domainprovider von *.domain.com auf domain.com machen, ohne Probleme, oder? Dann würde einfach bei den Hostnames, welche das Zugangskontrollprofil haben, die Synologyfehlerseite kommen von extern.


edit: Ich hab das Problem gefunden und konnte es beheben. Ich habe einen traceroute gemacht, als ich mit dem VPN verbunden war auf google.com. Dieser hat wie folgt ausgesehen:

Das pihole wird über 172.26.0.1 angesteuert. Dies ist das Netzwerk von der Wireguard Bridge in Docker. Also die Anfragen kommen über diese IP. Hab diese jetzt noch zugelassen im Profil. Jetzt klappts!

Jetzt bleibt nurnoch die Frage offen, ob ich mit ruhigem Gewissen die Wildcard Weiterleitung bei meinem Domainprovider machen kann und dann alles über diese Profile steuere.