Zugriffe aus die DiskStation die nicht sein sollten

[hueseyin-lutfi]

Hallo Peter,

ich habe deine Antwort und von Pupptemaster bis zum Ende gelesen gelesen. In beiden sah ich keine Anleitung, wie man die 22 in eine 5stellige Portnummer verlegen kann. Puppetmaster meinte lediglich, dass er das mit SFTP nutzt. Da weiss ich aber nicht, ob ich das mit dem Synchronisierungsdienst für die gemeinsamen Ordner per Internet auch nutzen kann. Ich wäre vollstens zufrieden, wenn diese Loginversuche von wem auch immer aufhören würde. Das ein Profi da was umgehen kann, ist mir schon klar.

Das was tops4u vorschlägt, hört sich einfach an. Weiss aber nicht, ob das wirklich so einfach geht und ob es funktioniert.

Gruß
Hüseyin

 

[Puppetmaster]

Für die Netzwerksicherung des DSM kannst du den Port nicht von 22 auf einen anderen umbiegen. Zumindest nicht über die Oberfläche. Dazu müßtest du - wie bereits von Peter beschrieben - unter die Oberfläche auf die Konsole und dort einige Änderungen an der Konfiguration vornehmen.
Das sollte allerdings nur jemand machen, der wirklich genau weiß, was er tut. Ansonsten hast du nachher evtl. ein sehr großes Problem.

Der Rat war also der, ein sehr starkes Passwort (lang, Groß- und Kleinschreibung, Sonderzeichen etc.) zu verwenden. Das wird dich nicht vor den Angriffsversuchen auf Port 22 schützen, wohl aber davor, dass es jemand mit dem Passwort schafft bei dir über diesen Port einzutreten.

 

[raimuell]

Hallo,
ich nutze auch port 22 für die Datensicherung (SSH) zu einer räumlich getrennten DS über das Inet. Wenn ich auf der Quell-DS den VPN-Server installiere und die Ziel-DS hinzufüge (http://www.synology.com/de-de/support/tutorials/523#t1), dann könnte ich doch port 22 am Router schließen, oder?

Grüße
raimuell

 

[hueseyin-lutfi]

Der Frage von raimuell schließe ich mich an. An VPN dachte ich auch. Würde das funktionieren?

 

[raimuell]

Na super, auf VPN muss ich die nächsten Wochen verzichten, habe schon die neue Fritz-Firmware: http://www.tomshardware.de/kabel-bw-fritzbox-update-vpn-telefonie,news-250211.html
Dennoch würde ich gerne allgemein wissen, ob das mit der NAS-NAS-Verbindung über VPN zwecks Datensicherung funktioniert.

Grüße
raimuell

 

[tops4u]

Also zumindest mit einem Router/Firewall aufgebaute VPN "Standleitung" sollte problemlos funktionieren. Ob und wie man das mit DS Bordmitteln auch so hinbekommt weiss ich nicht. Ich habe mit meiner Firewall auch eine stehende (7/24) VPN Verbindung zum Netzwerk meiner Eltern aufgebaut, und da geht halt einfach alles durch.

 

[Peter_Lehmann]

Hallo ...

ich habe das Gefühl, dass sich dieser Thread immer mehr nach [OT] bewegt.
Zur Erinnerung, das Thema (siehe Überschrift) lautet: "Zugriffe aus die DiskStation die nicht sein sollten"

Trotzdem noch ein paar (für mich) abschließende Bemerkungen dazu:

1.) Selbstverständlich kann man über ein (korrekt eingerichtetes) VPN so ziemlich jeden Traffic sicher von einem Netz zu einem anderen übertragen. Dafür gibt es ja VPN.
2.) Ich empfehle immer, als VPN-Endpunkt ein gesondertes Gateway (und wenn es der Router ist, oder ein VPN-RasPi) zu verwenden.
3.) Wer oder was hält euch davon ab, wenn es denn unbedingt das Syno-eigene VPN sein soll, dieses einfach mal zu testen? So ein VPN ist doch in max. einer Stunde eingerichtet - und auch wieder "abgebaut".
4.) Anscheinend kann euch niemand aus eigener Erfahrung sagen, ob es möglich ist, durch die Bearbeitung der sshd_config die ssh-Verbindung auch für das bewusste Backup-Programm auf einen anderen Port zu verlegen (obwohl ich davon ausgehe!). Wenn euch die (im Internet üblichen!) Spielmatzen-Angriffe wirklich so sehr stören (noch einmal: Ich akzeptiere dazu das Problem mit dem Ruhezustand der Festplatten!), dann loggt euch doch per Konsole ein, editiert die Konfigurationsdatei und probiert es aus. Wenn es nach entsprechender Änderung nur auf einem System (!) NICHT mehr funktioniert, dann ist das ein Indiz dafür, dass auf dieser einen Station der Port geändert wurde. Und wenn es nach der Änderung auf dem zweiten System dann wieder funktioniert, kann man das schon als "Beweis" betrachten, dass beide Stationen auf diesem ssh-Port arbeiten. Vergesst die Portweiterleitung in beiden Routern nicht! Und bitte, berichtet hinterher.
Aber wenn ihr schon einmal per Konsole im System seid, dann könnt ihr auch gleich den zweiten Schritt tun und den sshd sicher konfigurieren. Also Deaktivierung von Benutzername+Passwort und nur mit public-key. Anleitungen für die sichere Konfigurtion des sshd gibt es im Netz zuhauf!

Und noch einmal ganz deutlich: Ihr macht das völlig auf eigenes Risiko! Ich lehne jegliche Verantwortung dafür ab und veröffentliche deshalb auch keine Schritt-für-Schritt-Anleitung!
Eine derartige Konfigurationsänderung ist für einen Linux-Kundigen das "einfachste was es gibt", die Konsole ist unser Freund. Wer das für sich nicht behaupten kann, sollte besser die Finger davon lassen.


MfG Peter

 

[hueseyin-lutfi]

Hallo Peter,

ich finde nicht, dass wir uns vom Thread-Thema entfernt haben. Wir wollen ja ebenfalls das vermeiden, was der Thread-Eröffner ebenfalls wünscht. Und wenn das mit VPN funktioniert, ist das perfekt. Denn ich persönlich werde nicht an dieser ssh_config Geschichte rumschrauben. Dafür fehlen mir Wissen und Nerven. Ich teste jetzt die VPN und werde berichten, ob es funktioniert. Was meinst du unter Punkt 2 mit VPN-Endpunkt ein gesondertes Gateway? Aldo als VPN-Client nicht die Ziel-DS zu nehmen?

Gruß
Hüseyin

 

[JudgeDredd]

Besser ist es den Router den VPN Endpunkt managen zu lassen, oder eben ein RaspberryPI wie Peter schon beschrieben hat. Sicherlich könnte man auch einen Cisco VPN-Concentrator einsetzen und eine zusätzliche Firewall fürs entsprechende Subnet hernehmen, ist aber wahrscheinlich ein klein wenig oversized

 

[Puppetmaster]

Besser ist es den Router den VPN Endpunkt managen zu lassen, oder eben ein RaspberryPI wie Peter schon beschrieben hat.

Kann mir auch vielleicht nochmal einer erklären, was daran der Vorteil wäre? Das ist mir überhaupt nicht klar.

 

[hueseyin-lutfi]

Also ich habe soeben per VPN-Verbindung erfolgreich synchronisiert. Klappt hervorragend. Auf dem Quell-DS habe ich den VPN-Server installiert. Habe dort mit L2TP/IPsec den Server aktiviert. Auf dem Ziel-DS habe ich per VPN-Client ein Profil angelegt und per L2TP/IPsec eine Verbindung zum Quell-DS aufgebaut (per DDNS). Die Client-IP-Adresse, die mir der VPN-Server unter "Verbindungsliste" zeigt habe ich unter "Datensicherung und -wiederherstellung" unter "Synchronisierung von gemeinsamen Ordnern" als IP-Adresse bei "Speicherziel" eingetragen.

Folgende Fragen habe ich noch:

- Darf ich denn jetzt Port 22 auf dem Router schließen?
- Sollte ich lieber nicht den VPN-Client vom DS verwenden? Ich habe es ja testweise so eingerichtet.
- Ist die Methode L2TP/IPsec gut genug, oder lieber OpenVPN oder PPTP?

Gruß
Hüseyin

 

[Peter_Lehmann]

Ob das bewusste Backup- oder Sync-Programm über das Syno-eigene VPN funktioniert weiß ich nicht. Ich habe weder dieses Programm jemals genutzt, noch das VPN der DS. Deshalb kann und will ich dazu auch keine Aussage treffen. Ich will es auch nicht austesten. (Andererseits gehe ich davon aus, dass es funktionieren würde. So viel Vertrauen habe ich schon in ein kommerzielles Produkt. Ich habe ja auch nicht ohne Grund in meinem Punkt 3 etwas zum "selber austesten" geschrieben.)
edit: Danke an Hüseyin für Test und Berihterstattung!

Getrennter VPN-Endpunkt:
In Bereichen, in denen es um wirklich schützenswerte oder geheim zu haltende Informationen geht, wird immer zwischen dem "roten" Netz (dem mit den zu schützenden oder geheim zu haltenden Informationen) und dem "schwarzen" Netz (Internet, "offenes" Netz) ein gesondertes "dediziertes" Kryptogateway geschaltet. (SINA-Box, Genugate uvam.) Das bedeutet, dass sämtliche Verbindungen aus dem "roten" Netz immer und ausnahmslos über dieses Gateway laufen, bis sie dann wieder an ein geeignetes Gateway treffen, welcher die Verbindung annimmt, entschlüsseln kann und an ein ebenfalls "rotes" Netz übergibt.
Mir ist aus den genannten Bereichen kein Gerät bekannt, welches einen "Mischbetrieb" aus beispielsweise Fileserver und eben Kryptogateway durchführt. Je mehr Dienste auf einem und dem selben Gerät laufen, umso größer ist die Angreifbarkeit dieses Gerätes. (Ausnahmen sind natürlich VPN-Endpunkte auf Clients.)
An diese Gateways werden sehr hohe Anforderungen hinsichtlich Betriebssystem, aber auch Abstrahlsicherheit und Verhinderung des "Übersprechens" zwischen den beiden Netzen gestellt.
Das sind vereinfacht gesagt meine Gründe, warum ich (nach Möglichkeit und unter Beachtung von Sicherheitsanforderungen, Preis usw.) ein gesondertes VPN-Gate empfehle. Bei unseren kleinen privaten "Geheimnissen" ist das in der Regel ein dafür geeigneter Router (Fritz!Box) oder auch - ein sehr reizvolles Projekt! - ein RasPi mit Minimalbetriebssystem und openVPN oder auch IPsec-VPN (strongSwan).
Mir ist klar, dass meine persönliche und durch langjährige Tätigkeit in derartigen Bereichen geprägte Meinung keinesfalls von allen geteilt wird. Ich mache es auf jeden Fall so.

- Darf ich denn jetzt Port 22 auf dem Router schließen?

Klar doch, wenn du ssh sonst nicht mehr benötigst. Testen ... Du benötigst die Verschlüsselungsoption des Programms ja nicht mehr.

- Sollte ich lieber nicht den VPN-Client vom DS verwenden? Ich habe es ja testweise so eingerichtet.

Selbstverständlich kannst du, da es ja nachgewiesenermaßen funktioniert, dieses VPN nutzen. Es ist IMHO sicherer, ein kommerzielles Produkt ohne "darum herumzufummeln" zu benutzen, als Manipulationen vorzunehmen, bei denen du nicht 100%ig weißt, was du tust bzw, welche Nebenwirkungen das hat.

- Ist die Methode L2TP/IPsec gut genug, oder lieber OpenVPN oder PPTP?

Auch hier gilt die vorherige Antwort. Die geforderte Sicherheit hängt auch immer von den zu übertragenden Daten ab. Bei unseren privaten "Pillepalle-Geheimnissen" verlangt niemand von dir, dass du überhaupt verschlüsselst. Bei höher eingestuften Daten schon ... . Ich gehe davon aus, dass der Hersteller unserer Geräte schon ein gesundes Mittelmaß gefunden hat.

OK?

MfG Peter

 

[hueseyin-lutfi]

Also wenn ich Port 22 auf dem Router vom Quell-DS schliesse läuft die Synchronisierung leider nicht.

Was das VPN-Gateway angeht, habe ich eine Fritz!Box. Soweit ich dich verstehe, soll ich die VPN-Verbindung darüber zum VPN-Server aufbauen?

Gruß
Hüseyin

 

[Puppetmaster]

Danke Peter!

Damit bestätigt sich meine Vermutung, dass es einfach wieder besser ist, dedizierte Geräte für spezielle Dienste zu nutzen. Auch ich habe immer wieder Bauchschmerzen, wenn die DS für wirklich jeden Dienst herhalten soll, das ganze noch mit womöglich verschlüsselten Freigaben, dann aber doch wieder direkt am Internet...
Ein VPN auf der DS ist ganz nett, aber unter der von dir dargelegten Sicht, macht es sicherheitstechnisch schon Sinn, diesen "Schlüssel"dienst auszulagern.

 

[raimuell]

Danke fürs Testen hueseyin, ich hätte es gleich mit dem DS-VPN ausprobiert, bin aber wie oben beschrieben in Sachen VPN "lahmgelegt". Dann muss ich die permanenten Zugriffsversuche auf port 22 dulden, meine pw sind gut genug. Leidet eigentlich der ping darunter?

Grüße
raimuell

 

[Peter_Lehmann]

Hi Puppetmaster,

Ja, es ist immer wieder eine Gratwanderung zwischen den nachgewiesenen oder erwünschten Anforderungen und natürlich auch den eigenen Kenntnissen.
Deshalb würde ich auch nie dem ONU (nein, das ist kein Schimpfwort, sondern dürfte der Masse der Nutzer entsprechen!) komplizierte Manipulationen an den Internas eines kommerziellen Produktes empfehlen. Ich hätte da kein gutes Gefühl dabei.

Noch mal zum RasPi:
Auch wenn ich viele Jahre (und auch immer noch) einige VPN zwischen meinen Fritz-Boxen und den Netzen von Freunden und meinem Sohn betreibe bzw. mein Notebook und mein Smartphone darüber laufen lasse, so bastele ich schon etliche Wochen an meiner "SINA-Box für Arme". Selbstverständlich läuft das Teil schon mitunter viele Tage im Dauerbetrieb, und ich kann - da identische Schlüssel - durch kleine Umkonfiguration und Routing- sowie Weiterleitungsänderungen an der Fritz-Box schnell zwischen beiden VPN wechseln. Natürlich, ohne immer etwas am Client zu ändern.
Aber ich habe noch einige Ziele, die ich realisieren will, bevor ich vollends zufrieden bin:
Ich möchte das Betriebssystem auf der SD-Karte des RasPi völlig schreibgeschützt mounten und auch dafür eine SD mit Hardware-Schreibschutz betreiben. (So wie die SINA-Box von einer CD bootet.) Damit manipulationssicher und nach jedem Reboot garantiert sauber.
Ich möchte ein Standard-Iso herstellen, in welchem keinerlei Konfigurationsdaten gespeichert sind. Also ein reines Universal-Image.
Das bedeutet aber, dass ich einen weiteren USB-Stick mit sämtlichen Konfigurationsdaten und Zertifikaten (schreibgeschützte Partition!) und eine Partition für Logfiles darauf verwenden muss. Also die Logfiles als das einzige manipulierbare.
Dazu muss ich alles das, was im Betriebssystem und im strongSwan als Konfig- und Logdateien vorhanden ist, auf den USB-Stick verlinken ... .

Noch viel Arbeit = Hobby.

MfG Peter

 

[Arny]

... wie man die Platten aus dem System-RAID nimmt und das auch noch ohne, dass der DSM davon Wind bekommt,

na nix einfacher als das, man sollte jedoch diese Platte vorher unbedingt mit einer hochwirksamen Tarnfarbe behandeln. Das macht man schließlich bei U-Booten auch so ;-) !

Gruß Arny

und wozu sollte das denn nun gut sein? Meiner Meinung nach ist es doch völlig egal, ob der DSM das mitkriegt. Viel wichtiger wäre es wohl den RAID-Controller austrickxeln zu können ;-) !

 

[Puppetmaster]

Viel wichtiger wäre es wohl den RAID-Controller austrickxeln zu können ;-) !

Ja, wenn du den findest gibst du aber Bescheid, ok?

 

[Arny]

Ja, wenn du den findest gibst du aber Bescheid, ok?

... hm, das mag wohl schwer werden, denn der Controller will ohne DSM nicht!

Gruß Arny

verdammt interessant die Überlegungen der User die Sicherheit einer Synology DS anlangend, aber muß man sich nicht irgendwo fragen, ob das alles lohnt, bzw. ob es sinnvoll ist die arme DS mit derartig hochsicherheitsrelevanten Daten zu füttern?
Meine DS versorgt mich außer Haus auschließlich mit Musik und Filmen und da soll sich doch einklinken wer will, solange er meiner Maschine nicht funktional an den Kragen geht.

 

[Puppetmaster]

@Arny:

jeder hat so seine eignen Sorgen und Schmerzgrenzen.
Mir wäre es nicht recht, wenn meine privaten Videos und Fotos in fremde Hände geraten.