Beiträge von doitbig

Zitat von kleinp

Klingt nach einer Portfreigabe Deiner NAS.

Nimm die bitte raus. Kein Gerät sollte via Portfreigabe frei im Internet hängen.

Es gibt immer Lücken in NAS-Systemen, die ausgenutzt werden.

Bei QNAP z.B. ist das noch gar nicht lange her.

Bitte ausschließlich per VPN oder Reverse-Proxy ins Netz hängen....

Die Zeiten, als man mit ruhigem Gewissen Geräte (NAS, Kameras etc.) per Portforwarding ins Netz hängen konnte, sind seit locker 10 Jahren vorbei...

Frag mal die Jungs von Homematic / CCU3.

Da werden regelmäßig Boxen gekarpert...

Alles anzeigen

Habe ich auf lange Sicht auch vor, eine VPN/Reverse Proxy und Firewall Regeln einzurichten, wenn ich mal einen Moment Zeit finde mich damit zu beschäftigen

Zitat von kleinp

Deswegen ist es immer schlecht, 2 Firewalls zu betreiben...

Gut, dass Du es gefunden hast

ja war damals eine kleine Überreaktion auf die Login-Attacke und hatte soweit auch ganz gut funktioniert bis ich es vergessen hatte. War ja auch soweit stimmig, wenn ich nicht gerade im Urlaub bin braucht niemand auf meine NAS außerhalb von Deutschland zugreifen, was die Angriffsfläche stark reduziert

lol ich habs endlich herausgefunden woran das lag

wie schon erwähnt hatte ich mal zeitlang Probleme mit Port Scanning und Login Versuchen von irgendwelchen Scammern gehabt, weswegen ich die Standard Ports fürs Login änderte aber auch die Firewall im Synology NAS aktivierte und folgende Regeln eingestellt habe:

heißt auch IPs aus USA (wo wahrscheinlich die ganzen Port Testing Webseiten und Let's Encrypt sich befinden) werden geblockt.

Hab Firewall deaktiviert und danach funktioniert wieder alles perfekt Meine Güte was für eine Odysee das war

Zitat von iTweek

Hast du zufällig eine Fritzbox o.a um mal zu testen ob udm/modem schuld ist?

nope, hab nur das modem. hatte extra das von Zyxel gekauft weil es problemlos im Bridge Modem betrieben werden konnte ohne zu mucken und hatte bisher auch 0 Probleme gemacht

Zitat von razor

Nein, den Port-Forward von 80 --> 6010 und 443 --> 6011.

Habs probiert und so umgestellt:

Folgende Fehlermeldung:

dann nochmal anders rum umgestellt:

und kriege das:

bzw. nach dieser Umstellung komme ich gar nicht mehr aufs NAS drauf

unter https://www.yougetsignal.com/tools/open-ports/ wird Port 6011 und 433, egal in welcher Konstellation, stets als closed angezeigt

Zitat von Tnuocca

Hallo doitbig.

Welche DSM Version ist bei dir aktuell im Einsatz?

DSM 7.1.1-42962 Update 1

Zitat von razor

Sieht bei mir so aus:

Ist das auch das Ziel, was Du erreichen können möchtest?

Dass der Login auf anderen Ports als den Standard 5000/5001? Eigentlich ja, hatte mal eine Zeit lang Login-Versuche von chinesischen IPs die das mit den Standard Ports probiert haben, hab dann Logins von solchen Ländern geblockt und Ports geändert und seitdem ist Ruhe.

Zitat von iTweek

Ja ist ja logisch…

Er leitet auf port 6011 weiter

Auf dein nas lauft nichts auf port 80 oder 443

Einmal ändern auf 80 und 443 dann sollte es gehen

Alles anzeigen

du meinst bei Login Portal den Port auf 80 und 443 ändern? Ich probiers mal aber irgendwie ist das auch kurios, es kann doch nicht er Sinn der Sache sein permanent Ports hin und her zu ändern nur für Zertifikatserneuerung?

Zitat von razor

Was hast Du denn unter DSM --> Systemsteuerung --> Externer Zugriff --> Erweitert konfiguriert?

Hab dort nichts speziell eingetragen

dafür bei Control Panel -> Login Portal

dort kommen diese non-standard ports her

Zitat

wer oder was ist denn für das DNS bei Dir zu Hause zuständig?

Hast Du auf dem NAS einen Reverse-Proxy laufen?

kein reverse proxy, aber so wie ich verstehe macht das NAS Dynamic DNS über die spdyn.de webseite.

Zitat von iTweek

Hm okey. Komisch habe auch telekom und fritze (BM) und usg. Habe auch div ports offen und zeigt bei mir als open an.

Hm

Okey andere versuch wenn du die regel „abschaltest“ also port 443 kommts du noch da drauf?

Port 80 und 443 Regel ausgemacht. Tests mit handy:

domain eingetippt -> connection timed out

http://domain eingetippt -> connection timed out

domain:80 eingetippt -> connection timed out

domain:443 eingetippt -> connection timed out

domain:6011 -> NAS login Seite wird angezeigt

Zitat von iTweek

Im controller app. Deine unifi geräte dann usg -> rechte seite müsste es stehen

hier ist was ich dort sehe:

und unter settings->Internet

Zitat von iTweek

Bekommts du ipv4 oder 6? Wenn 6 versuch mal zu deaktivieren

gute Frage, wo check ich das? Wenn ich aufm Heimrechner "ipconfig" in CMD ausführe, wird mir nur eine IPv4 IP angezeigt

Zitat von iTweek

Also dann macht usg die pppoe zugang. Richtig?

yep genau, PPPoE und Telekoms Einwahldaten sind im USG selber eingetragen

Zitat von iTweek

Wie ist dein netzwerk?

Fritzbox und dann usg?

habs im ersten Post geschrieben: Zyxel Modem im Bridge Modus->USG->Ubiquiti managed switch->alle Endgeräte

Zitat von iTweek

Scheint wirklich zu sein das port 80 nicht funktioniert. Kannst du testen ob port 80 funktioniert? Also nicht 443

wie würde ich das denn testen?

also wie gesagt wenn ich zu https://www.yougetsignal.com/tools/open-ports/ gehe und meine IP oder meine domain mit POrt 80 oder 443 probiere, kriege ich "Port closed" als Rückmeldung. Das kuriose ist dass wenn ich Port 6011 probiere aus auch als geschlossen gemeldet wird, obwohl es ja eindeutig offen ist (sonst könnte ich nicht aufs NAS zugreifen). Wenn ich die ip/domain im Browser im Handy eintippe, leitet es mich direkt an IP:6011 weiter. Wenn ich manuell IP:80 oder IP:443 eintippe, leitet es mich ebenfalls an IP:6011 weiter

Bin grad mit Telekom Support im Chat und habe gefragt ob es irgendwelche Beschränkungen bzgl. Port-Freigabe gibt, Antwort von denen: nope, keine bekannt

Zitat von iTweek

Okey. Der NAS. Die domain zeigt auf die ip deines routers?

genau, die domain ist von spdyn.de, the schnappt sich immer die öffentliche IP des Routers. das Dynamic DNS selber ist im NAS aktiviert, nicht im Router

wenn ich jetzt wlan im Handy ausmache und nur die domain oder die IP eintippe, dann leitet es mich automatisch zu domain:6011 weiter (der Port zum HTTPS Login im NAS)

Hier ist der Fehler den das NAS ausgibt wenn ich das Zertifikat erneuern will:

Zitat von iTweek

Glaube das liegt an dein provider. Er unterstützt nicht zu 100% 80,443

Gewisse IP ranges sind reine Privat (End kunde ips) die werde automatisch als nicht vertrauenswürdig eingestuft.

Macht ja auch sinn sonst müsstest du alle paar tage neue erstellen.

Sorry verstehe nicht ganz, du meinst mein Provider (Telekom) erlaubt mir nicht Port 80 & 443 auf meiner Public IP zu öffnen?

Mein Setup ist ein Zyxel Modem im Bridge Modem->USG->Ubiquiti managed switch->alle Endgeräte. Ich wollte ein Let's Encrypt SSL Zertifikat für mein Synology NAS erneurn, aber die Verbindung scheitert. Es scheint dass einerseits mein Port Forwarding nicht funktioniert, aber andererseits funktioniert es irgendwie doch weil ich auf mein NAS vom öffentlichen Internet zugreifen kann.

Hinweise dass Port Forwarding nicht funktioniert:

1. NAS kann das Let's Encrypt Zertifikat nicht erneuert, obwohl ich ihm kurzfristig Ports 80 und 443 freigegeben habe
2. Wenn ich zu https://www.yougetsignal.com/tools/open-ports/ gehe und mit meiner public IP die Ports wie 80, 443 etc. durchchecke, kommt die Meldung "Port X ist closed on [public IP]"

Hinweise das Port Forwarding doch funktioniert:

1. Ich kann auf mein NAS zugreifen unter dem freigegeben Port
2. Ich bin mir ziemlich sicher dass ich das Let's Encrypt Zertifikat schon mal auf exakt diese Weise erneuet hatte