Sicherheit NAS/Cloud Synology über UDM-Pro

Wenn es möglich ist, auf das NAS nur per VPN zugreifen und keine Portfreigaben verwenden oder zumindest einen Reverse-Proxy verwenden und die Firewall situationsgemäß konfigurieren.

Hallo Eckart ,

NAS und Internet haben wir die Tage erst in einem anderen Threat diskutiert:

Thema

Das NAS im WorldWideWeb - wie regelt ihr das?

Mal ne Rundfrage, da ich seit langem wieder Mal den externen Versuch des Zugriffs auf mein NAS hatte.

Grundsätzlich soll das NAS extern zugänglich sein. Am Besten simpel wie aktuell mit DynDNS und App oder per Browser.
Zu Beginn hatte ich schlichtweg den Standard-Admin Account deaktiviert und nach 3 Fehlversuchen nen automatischen Block drin von ein paar Tagen. Da ich aber gestern Abend wieder mehrer Anmeldeversuch hatte (eh nur mit „admin“ also grundsätzlich keine Gefahr), habe ich heut…

franzbertbua

7. Januar 2023

Ob Du nun eine FRITZ!Box oder ein Gerät aus dem Hause Sophos oder C.I.S.C.O. vor das NAS hängst: das macht das NAS leider nicht sicherer.

Zitat von skippa78

Wenn es möglich ist, auf das NAS nur per VPN zugreifen und keine Portfreigaben verwenden oder zumindest einen Reverse-Proxy verwenden und die Firewall situationsgemäß konfigurieren.

Dem kann ich sonst nur zustimmen.

Frage. Muss der NAS denn aus dem Internet erreichbar sein?

Du kanst aber auch einstellen das nur Anfragen aus D bearbeitet werden...

mfg

Zitat von skippa78

Wenn es möglich ist, auf das NAS nur per VPN zugreifen und keine Portfreigaben verwenden oder zumindest einen Reverse-Proxy verwenden und die Firewall situationsgemäß konfigurieren.

Naja, das macht recht wenig Sinn, wenn das Teil einem größeren und dann noch wechselnden Personenkreis zugängig sein soll, so wie das bei einer Hilfsorganisation der Fall sein wird. Man kann dann nicht erst für jeden einen VPN-Zugang anlegen und dann auch noch darauf vertrauen, dass dieser nicht mißbraucht wird (man wähnt sich ja sicher).

Jedenfalls bleibt einem dann nichts weiter übrig, als das Teil öffentlich in I-Net zu stellen und mit entsprechender (gern mit Multifaktor) Authentifizierung abzusichern. Auf das Teil drauf gehören dann auch nur und ausschließlich die Daten, welche der Sache dienen und ganz, ganz wichtig, dass Teil selbst hat gefälligst in einer (echten) DMZ zu stehen.

Auf diese Weise betreibe ich selbst seit meheren Jahren zwei Hosts, welche völlig offen im i-Net stehen und per FQDN für jeden erreichbar sind (sobald man den FQDN kennt), übermäßige, oder gar erfolgreiche Angriffe konnte jedoch ich noch nicht feststellen (da sieht es bei VoIP schlimmer aus). Der Datenabgleich mit den Daten im LAN erfolgt dann firewallgeschützt durch automatische Replikation, die Verwaltung ebenso geschützt mittels RDP. Der Zugang für Dritte (und der denen gewährten Rechte) wird durch den Versand von Freigabelinks geregelt - berechtigte Nutzer haben ein eigenes Konto mit (sieh vor) entsprechender Authentifizierung.

Hast du die dsm ports mal geändert und den Standard Administrator durch einen eigenen Administrator ersetzen, Gruppen und Nutzer anlegen den Rechte zuteilen und Firewall einrichten das wären erst mal zwingend notwendig. Mfg

Vielleicht wäre NextCloud bei einem Cloud Anbieter besser für Euch?

Oder die 15 Leute machen einen VPN ist doch easy und schnell erledigt.

Denke Sicherheit und Datenschutz haben Priorität.

Zitat von Eckart

Würde man dafür eine zusätzliche Firewall (Gerät XY) vor die UDM-Pro setzen und dazwischen das NAS?

Dies wäre die Bastellösung, schöner wäre eine Firewallappliance, welche einen dedizierten DMZ-Port besitzt. Im Prinzip also so:

Technisch gesehen ist beides das Gleiche.