DSM 6.x und darunter Zertifikat erstellen klappt nicht

[update-freak]

Hallo zusammen,

habe aktuell Schwierigkeiten mein Zertifikat mit Let's Encrypt meines Synology NAS zu erneuern.
Ich bekomme in den Einstellungen die Meldung: Verbindung zu Let's Encrypt konnte nicht hergestellt werden.
Port: 443 ist in der Fritzbox freigegeben
Bin unter mein_code.spdns.org:5001/ angemeldet (mein_code ist eine Abkürzung für die richtige Kennung).
Als Domainname gebe ich mein_code.spdns.org an.

Hat jemand eine Idee woran das liegen könnte?

 

[luddi]

Hat jemand eine Idee woran das liegen könnte?

Ja... du musst natürlich auch den Port 80 zur Diskstation hin öffnen.

Gruß
luddi

 

[update-freak]

Genau das war der richtige Hinweis. Jetzt funktioniert es.
Vielen Dank für die schnelle Antwort!

 

[ShadyBas]

Hi, ich hänge mich mal hier dran um einen neuen Thread zu vermeiden.

Wollte mich als NAS-Noob jetzt ein wenig in das Thema Sicherheit und externer Zugriff einlesen. Als erstes fiel mir auf, dass ich wohl ein Zertifikat brauche, um z.B. über https auf die DS zuzugreifen.

Bin also nach dieser Anleitung vorgegangen:
https://www.youtube.com/watch?v=Cwl4qmS8rtM&vl=de

1) In meinem Unifi Security Gateway die Ports 80 und 443 freigegeben (hoffe ich zumindest. Noch nie gemacht, auf jeden Fall musste ich da die freizugebenden Ports eingeben. Bei "Weiterleitung zur IP" war ich mir nicht sicher, aber hab mal unterstellt dass ich da die IP von meinem NAS eingeben muss.

2) DDNS mit Hostnamen xxxx.synology.me erstellt und auf die Frage, ob ich direkt ein LetsEncrypt Zertifikat erstellen will, "ja" angeklickt.

Jetzt habe ich also unter Sicherheit->Zertifikat ein vermeintlich funktionierendes Zertifikat, wie in dem Video.

Wenn ich jetzt aber die IP des NAS mit :5001 am Ende aufrufe, bin ich zwar direkt in der DS, aber die Verbindung ist oben lt. Chrome Browser immer noch "Nicht sicher".

Und wenn ich meine Domain aufrufen will, (https://xxxx.synology.me) passiert gar nichts. Es lädt eine Weile und dann bekomme ich die Meldung:
Die Website ist nicht erreichbar. Die Antwort von xxxxx.synology.me hat zu lange gedauert.

Was mache ich falsch? Das Video habe ich 1 zu 1 befolgt und es ist ja auch nicht kompliziert. Kann mir nur vorstellen, dass irgendwas mit der Portfreigabe nicht stimmt. Aber eigentlich habe ich da 5000,5001,80 und 443 zur IP meines NAS weitergeleitet.

 

[Benares]

Das Zertifikat gilt vermutlich nur für xxxx.synology.me und nicht für ip-des-nas oder sonstwas. Wenn du im Router 5001 auf 5001 weiterleitet hast, probier mal https://xxxx.synology.me:5001

 

[ShadyBas]

Ändert leider nichts. Auch da bekomme ich die Meldung
"Die Website ist nicht erreichbar. Die Antwort von xxxxx.synology.me hat zu lange gedauert."

Portweiterleitung in meinem Unifi Security Gateway sieht so aus, Beispiel Port 5001. Bei "Weiterleiten an IP" habe ich dann natürlich noch die IP vom NAS (192.168.1.xx) eingegeben.

 

[Benares]

Probierst du es von "innen" oder (z.B. per Handy) wirklich von außen? Ersteres setzt einen Loopback-fähigen Router voraus, z.B. Fritzbox.
Löst "nslookup xxxx.synology.me" wirklich auf deine aktuelle, externe IP auf?
Klappt es mit http://xxxx.synology.me:5000 wenn du temporär auch mal Port 5000 weiterleitest?

 

[ShadyBas]

Ports 5000, 5001, 80 und 443 sind gerade alle auf. Alle einzeln so wie oben im Screenshot. Zugriff mit xx.synology.me klappt weder von innerhalb (LAN/WLAN) noch von außerhalb (Handy mit ausgeschaltetem WLAN).
Egal was ich probiere. http:, https:, :5000 oder :5001 dahinter, nix...

nslookup zeigt:
Server: ubnt
Address: 192.168.1.1

Nicht autorisierende Antwort:
Name: xxxxx.synology.me
Address: 94.xx.xx.xxx

 

[Benares]

und? Stimmt de IP?

 

[ShadyBas]

Das ist die IP, die im DDNS Eintrag in der Diskstation->Systemsteuerung->DDNS steht, ja.
Das einzige was klappt, ist QuickConnect. Aber das ist ja keine Dauerlösung und ich will wissen, wo mein Fehler bei DDNS liegt

 

[Kurt-oe1kyw]

DSM > Systemsteuerung > Externer Zugriff > Register DDNS > da musst du eine Zeile sehen können in der Spalte Hostname da muss dein ddns eintrag stehen also irgendwas.synology.me UND in der Spalte externe Adresse da muss deine öffentliche IP Adressen vom Router eingetragen sein, die Spalte Status MUSS grün "Normal" anzeigen.
Kannst du diese Zeile mit den korrekten Werten sehen bei dir?

Wenn du von extern, zB von deinem handy aus eintippst h**p(s)://IP_der_angezeigten_externen_adresse wohin leitet dich dein handy dann?

Bitte auch Einloggen in deinen Synology Account:
https://account.synology.com



Kannst du dort im Menü "Meine Geräte" deine Diskstation sehen mit ihrer Seriennummer, deiner QC ID UND in der Spalte DDNS MUSS deine ddns stehen mit grüner Ampel davor UND in der Spalte IP muss wieder deine öffentliche IP angezeigt werden, Kannst du das dort sehen?

 

[ShadyBas]

Ja, im Register DDNS sieht das alles gut aus. Wie in dem von mir verlinkten Video-Tutorial und auch anderen div. Tutorials. Externe Adresse... keine Ahnung. Ist halt die, die auch bei nslookup auftaucht. Fängt mit 94. an.

Wenn ich http://94.xxxxxxxxx aufrufe, bekomme ich nach ewigem Laden wieder ""Die Website ist nicht erreichbar. Die Antwort von xxxxx.synology.me hat zu lange gedauert." Egal ob von intern oder von extern, zB mit mobilen Daten - Smartphone.

Auf der Synology Seite sehe ich auch alles so, wie es aussehen muss. Grüne Ampel etc. Die IP ist wieder die gleiche aus nslookup und DDNS Register-Eintrag

 

[Kurt-oe1kyw]

Kannst du von deinem PC im Webbrowser bitte Eintippen h**ps://www.wieistmeineip.de und schauen ob da diese 94.xxxxxxxxx angezeigt wird, also deine öffentliche IP,
falls ja dann bitte im handy (via LTE Netz!) im browser eintippen h**ps://diese_angezeigte_IP:5001 ENTER du solltest dann deine DSM Oberfläche sehen.

Wenn du nur h**p://94xxxxxxxxxxxxxx eingibst dann kann er auch nichts anzeigen ausser du hast eine webseite auf deiner DS laufen oder die Photostation die hört auf :80
Ansonsten muss da kommen "Antwort hat zu lange gedauert" du rufst ja auch "ins leere".
Wenn du aber noch :5000 :5001 für https eingibst dann rufst du auf ein "Ziel" in deinem Netzwerk, in dem Fall die DSM Oberfläche.

 

[ShadyBas]

Ja, die IP wird da auch angezeigt. Und nein, es klappt trotzdem nicht. Nicht mit :5000 hinten oder :5001. Nicht mit http:// vorne und auch nicht mit https://

Keine Ahnung, bin langsam ratlos. Ist wohl doch zu hoch alles und ich kann das Ding nur intern nutzen... schade

 

[Benares]

Ich verstehe noch nicht ganz, wie dein "Unifi Security Gateway" überhaupt ans Internet angebunden ist (ich kenne das Gerät nicht). Macht es doppeltes NAT?
Welcher Router ist davor? Welche Portweiterleitungen sind dort definiert?

 

[ShadyBas]

Bin bei Deutsche Glasfaser.

Die haben beim Hausbau den NT (quasi das Modem) gestellt. Daran habe ich den USG, der ein reiner Router ist ohne Modem, ohne Switch und ohne WLAN.

An dem USG habe ich dann ein Unifi Switch (24er), von dem aus die ganzen Räume hier im Haus mit LAN-Dosen versorgt sind. Außerdem für WLAN jeweils einen Unifi Access Point im EG und OG an der Decke.

Ports habe ich im Moment 80, 443, 5000, 5001 freigegeben. Sollen ja alle notwendig sein für die DiskStation.

 

[Benares]

Hört sich logisch an. Aber da müssen dir andere helfen, die diese Unify-Technik besser kennen. Sorry.

 

[synfor]

Das wird wohl eher an DS-Lite liegen.

 

[ShadyBas]

Was genau ist damit gemeint? Also stimmt da was nicht von Deutsche Glasfaser aus?

 

[synfor]

https://www.google.com/search?q=DS-Lite