Probleme Synology SFTP Einrichtung

[Michi777]

Liebe Community!

ich habe anhand des bisherigen SFTP Beispiels (durch Firewall zu Windows Server WinSCP sFTP) und der Videoanleitung ein neues Portforwarding auf der SonicWall NSA 2400 erstellt.
https://www.sonicwall.com/en-us/support/video-tutorials/port-forwarding-on-a-sonicwall-firewall

Weiteres laut iDomix Anleitung SFTP auf der Synology DS218+ aktiviert (sind ja nur 3 Schritte) und ein gemeinsames Verzeichnis mit Berechtigung für sFTP Nutzer erstellt.

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Jedoch funktioniert der sFTP Versuch anhand von FileZilla nicht und ich weiß nicht mehr an was es liegt, ist auch das erste Mal dass ich das mache.
Habt ihr eine Idee?

Im Anhang Screenshots!

Vielen Dank im Voraus!

 

[Wilhelm14]

In Filezilla steht Port 2222, laut DSM läuft SFTP auf 22. Ist das erste, was mir auffällt.
PS: Von wo aus greifst du zu? Mit der Sonicwall kenne ich mich nicht aus, aber der Filezilla Screenshot ist von wo aus gemacht? Also wo steht der Rechner, wirklich woanders oder doch im selben LAN?

 

[Michi777]

@Wilhem14:
Danke für deine rasche Antwort, da der Zugriff ja von außen funktionieren muss habe ich eine unserer fixen externen IP's (öffentlich) genommen und so ein Port Forwarding eingetragen.
d.h externe ip mit port 2222 auf interne ip mit port 22, daher steht 2222 somit denke ich das passt.

Der Rechner von dem ich das aus probiert war innerhalb des LAN's, sollte aber keinen Unterschied machen, oder?

 

[razzy]

doch.
das NAT ist normalerweise externe Adresse <-> Interne Adresse.

Je nach Netzwerkdesign sollte die Firewall nicht zwischen deinem PC im LAN sowie der NAS stehen (ist aber wie gesagt design abhängig).
Falls doch brauchst du halt noch eine interne Regel (LAN-Client <-> LAN-NAS, hier brauchst du aber nicht NATten).

Für mich sieht das so aus:

Client extern -> SFTP zur externenIP:2222
Client intern -> SFTP zur localIP:22

 

[Michi777]

@razzy:
Diesbezüglich haben wir eh nichts definiert in der Firewall und funktioniert so auch bereits seit Jahren.
An dem liegts nicht sozusagen.

 

[Wilhelm14]

Von der Idee kann ich mich razzy nur anschließen. Wenn du intern im LAN mit Filezilla testest, sollte dort Port 22 benutzt werden. Wenn du von außen 2222 nutzt, musst du beim Test auch tatsächlich von "außen" kommen. Also von einem anderen Internetanschluss aus testen. Mit dem Laptop von zu Hause, Remote von einem anderen Server, per LTE oder Smartphone.

PS: Intern im LAN die WAN-IP in Filezilla eingegeben kann doch so komische Probleme mit NAT-Loopback geben. Ich bin da aber kein Profi.

 

[OlafGER]

Übrigens... Port 22 würde ich nicht nehmen, nimm einen anderen Port z.B. 33 oder so...
Der Synology DSM 'Sicherheitsberater' wird es Dir auch vorschlagen!
Zur Sicherheit kannst ihn ja mal durchlaufen lassen.

LG

 

[Michi777]

Habe nun FileZilla auf einem externen PC versucht und hier funktioniert es, scheint also wirklich ein NAT Loopbackproblem gewesen zu sein d.h. habe exterene ip\port auch im LAN genutzt, weil es normalerweise keinen Unterschied machen sollte.

Danke für den Tipp @Wilhelm14 !

 

[razzy]

Wie ich schon gesagt habe...
NAT ist von extern <-> intern.

Client extern -> SFTP zur externenIP:2222
Client intern -> SFTP zur localIP:22

oder du gehst direkt auf port 2222 auf der NAS

Ergänzung (30. Januar 2019)

Status: Verbindung hergestellt, warte auf Willkommensnachricht...
Antwort: SSH-2.0-OpenSSH_7.4
Fehler: Kann keine FTP-Verbindung zu einem SFTP-Server aufbauen. Bitte wählen Sie ein geeignetes Protokoll.
Fehler: Kritischer Fehler: Herstellen der Verbindung zum Server fehlgeschlagen

Da eine Verbindung schon aufgebaut wurde (siehe Welcome Message).
Denke da er beim Punkt SSH/OpenSSH stockt wird es ein Zertifikatsproblem sein (SFTP)

 

[Michi777]

@razzy:
Ja hab nun beide Ports auf 2222 gestellt, ist ohnehin sicherer nicht die Standardports dafür zu nutzen.
Aber auch mit 2222 hat der FileZilla im LAN ein Problem gehabt, komisch aber gut dass ich es nun weiss.

 

[Wilhelm14]

Ohne zu wissen, was du genau machen möchtest, wäre es nicht besser, gar keine Portweiterleitungen zu nutzen, sondern voll auf VPN zu setzen? Das hängt natürlich davon ab, was du überhaupt vor hast.

 

[Michi777]

@Wilhelm14:
Da die meisten SFTP Nutzer ohnehin VPN-Nutzer haben durchaus eine gute Idee.
Ich muss noch rückfragen ob das gewünscht ist.