Das NAS im WorldWideWeb - wie regelt ihr das?

Bei uns kann sich das jeder so wie er es will aussuchen. Entweder mit WG-VPN oder mit der QNAP App oder beides

Wie ich das regle? Ohne VPN gar nicht. Die ganzen NAS Kisten haben viel zu oft Sicherheitslücken. Und sind Einfallstore.

Mit der Wifiman App kannst du eh auch per Klick den VPN (Teleport) ins Heimnetz aktivieren. Das kann auch ständig an bleiben, so könntest du sogar deinen PiHole zu Hause am Handy unterwegs mit nutzen

Zitat von anton

Wie ich das regle? Ohne VPN gar nicht. Die ganzen NAS Kisten haben viel zu oft Sicherheitslücken. Und sind Einfallstore.

So auch bei mir.

Und außer mir darf niemand überall schreiben. Die User nur in ihren Home-Verzeichnissen und einzelne auch an anderen Stellen.

Ich nutze einen Reverse Proxy um auf die NAS zukommen. Nicht so sicher wie VPN aber besser als die ganzen Ports direkt ins Netz zu stellen. Für mich ein guter Kompromiß.

Zitat von kabelbruch

Ich nutze einen Reverse Proxy um auf die NAS zukommen. Nicht so sicher wie VPN aber besser als die ganzen Ports direkt ins Netz zu stellen. Für mich ein guter Kompromiß.

Das hatte ich auch mal überlegt, aber wo haste denn den Reverse-Proxy laufen? Ich sträube mich dagegen, den im Docker auf meinem Synology-NAS laufen zu lassen aus o.g. Gründen:

Zitat von anton

Die ganzen NAS Kisten haben viel zu oft Sicherheitslücken. Und sind Einfallstore.

Anfangs auf einer separaten Diskstation, die keine sicherheitskritischen Inhalte beherbergte. Aktuell tatsächlich auf der gleichen Diskstation, auf der die Anwendungen auch sind. Ich nutze den DSM-eigenen Reverse Proxy. Habe zusätzlich die Firewall auf der Diskstation aktiv und blocke alles ausser 443 inkl Geofiltering (akzeptiere nur Verbindungen aus Deutschland).

franzbertbua Moin

Frage, um welchen NAS geht es bei dir. Dann kann man gezielter helfen.

Mfg

Zitat von anton

Mit der Wifiman App kannst du eh auch per Klick den VPN (Teleport) ins Heimnetz aktivieren.

So mache ich das...

franzbertbua

Ok allgemeiner Natur geht das nur über andere Geräte wie einem Router, Server (via Portfreigaben), DynDNS oder VPN, wobei ich da auch nur VPN bevorzugen würde, auch da gibt es diverse Möglichkeiten. Wie du siehst, allgemein ist das zu weit ausgeholt.

Zum Thema Synology.

Da kann man gezielter was erwähnen oder empfehlen.

Du solltest als erstes alles auf deiner UNIFI Umgebung alles gesichert haben, ich rede also die richtigen Firewalleinstellungen und so nutzen, denn das ist essentiell. Ich gehe davvon aus das es bei dir auf jedenfall so ist.

Dann gibt es ja in der der Synology die zweite Firewall. Die stellst du ein das alles worauf keine Regel zutrifft, verweigert wird. Dort lässt du dann durch die Firewall nur das durch was du wirklich brauchst. Dazu kann ich dir die Videos von Idomix empfehlen.

Klingt zwar doppelt gemoppelt ist aber auch doppelte Sicherheit. Einmal die Firewall deines Unifisystems und dann die Synology Firewall.

Du solltest auch mal drüber nachdenken die Ports der der Synolgy für DSM und so, entsprechend zu ändern. Die Standardports 5000 und 5001 sind zu bekannt und unsicher. Appropo Ports, für deine Anwendungen die du dan brauchst damit deine Frau nur eine App nutzen brauch entnimmst du auf der Seite von Synology. Dort stehen ja die benutzten Ports für die Anwendungen, soweit ich weiss kannst du da auch eigene Ports verwenden.

Solltest du aber nicht mit Ports arbeiten wollen, dann kannst du das ganze auch über die Relayverbindung machen. Das nennt sie Quickconnect.

Dazu brauchst du keine Ports freigeben, sondern nur diese Verbindung in der App einrichten und los gehts.

Deswegen fragte ich, welchen NAS du benutzt, wie du siehst gibt es da unterschiedliche Wege.

mfg

Also Reverse Proxy. Einige Router/Firewalls können das auch. Habe geschäftlich ne Lancom UF-60. Die bietet das auch

Ich löse das jetzt per WireGuard Server, der auf meinem UDR läuft und das klappt super.

Jeder Client ist bei mir separat (IPhone, IPad, freundin…) um den WG Zugriff eindeutig zuzuordnen.

Ist im iPhone nur ein zusätzlicher Klick aber dafür ein Mehrwert an Sicherheit und Performance.

Das bekommt die Frau auch problemlos hin 😉

Zitat von franzbertbua

drum die allgemeine frage wie ihr das löst, da ich dann vielleicht ne variante seh die mich auch anspricht. weil grundsätzlich hab ich glaub ich so gut wie alle möglichen sicherheiten eingestellt, welche mit dyndns gehn, ohne den schnellen und vorallem simplen zugriff einzugrenzen. und vpn muss man ja immer schaun, ob die verbindung eh noch aufrecht ist.

Also bei mir steht Alles, was öffentlich erreichbar sein soll (und auch nur das), jeweils in einer echten DMZ (daher nix exposed host). Somit gestaltet sich der Zugriff von außen so einfach, wie bei jeden x-beliebigen Webserver (natürlich mit Authentifizierung) und die LANs sind dennoch maximal geschützt.

Dyndns -welches übrigens keinerlei zusätzliche Sicherheit bringt- muss ich dabei auch nutzen, da ich nur über dynamische IPs verfüge. Reverseproxys (Nginix und IIS - welche übrigens nur einen marginalen Sicherheitsgewinn bringen) nutze ich auch, dies allerdings deshalb, weil ich jeweils nur über eine öffentliche IP verfüge, jedoch mehrere Dienste veröffentlich will. Hier sortieren dann die Proxys nach dem zugreifenden FQDN und leiten an den zuständigen Dienst weiter.

Zugriffe auf die Ressourcen im LAN selbst (welche ja fürs Homeoffice erforderlich sind) werden über VPN abgesichert. Als Einwahl-VPN über IPsec für Apple- und über SSL für Windowsclients und zusätzlich als IPsec Site-2-Site als LAN-Kopplung zwischen den Standorten. Gut - das Alles braucht man für Privat aber kaum.

Warum möchtest du kein Quickconnect nutzen, das ist von der Sicherheit eigentlich nix anderes...

Da bei mir leider aktuell auf meinem CloudKey-Gen2 Wireguard noch nicht so einfach zu installieren ist wie auf den neueren Kisten, nutze ich bei mir DynDNS mit meinem pers. Zugang. Zusätzlich zum Username/Passwort ist auf jedem Benutzerkonto auch noch 2FA installiert.

Nein alles gut, klar mit Backup und alles gibt es auch andere Möglichkeiten, und ich bezog mich nur darauf so einfach wie möglich das am besten deine Frau nur eine App öffnen muß, da ist dann aber schnell der Kreis sehr klein sowas zu regeln.

Dann bleibt tatsächlich am besten eine VPN verbinung zwischen eurem Mobielgerät und deinem Netzwerk, damit bist dann auf der sicheren Seite.

mfg