Synology 410 DSM 5 Firewall/iptables

[schumischumi]

Hallo zusammen,

ich hab jetzt meine selbstbau NAS gegen eine Synology getauscht. Passt alles wunderbar nur mit der Firewall hab ich noch Probleme bzw. weiss ned wie ich sie über die GUI richtig konfigurier.

Ich will das die NAS sich nur mit dem Internet bzw. allem anderen ausser heimnetz verbinden kann wenns über den konfigurierten VPN Tunnel geht. Dieser ist schon eingerichtet und funktioniert.
Auf der Debian EigenbauNAS hatte ich sowas konfiguriert:

#Allow loopback device (internal communication)
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

#Allow all local traffic.
iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT
iptables -A OUTPUT -d 192.168.1.0/24 -j ACCEPT

#Allow VPN establishment
iptables -A OUTPUT -p udp --dport 1194 -j ACCEPT
iptables -A INPUT -p udp --sport 1194 -j ACCEPT

#Allow traffic to uk and hk PIA server to reconnect VPN in case of failure
iptables -A INPUT -s uk-london.privateinternetaccess.com -j ACCEPT
iptables -A OUTPUT -d uk-london.privateinternetaccess.com -j ACCEPT
iptables -A INPUT -s  hk.privateinternetaccess.com -j ACCEPT
iptables -A OUTPUT -d hk.privateinternetaccess.com -j ACCEPT
#Allow traffic to PIA DNS
iptables -A INPUT -s 209.222.18.222 -j ACCEPT
iptables -A OUTPUT -d 209.222.18.222 -j ACCEPT

#Accept all TUN connections (tun = VPN tunnel)
iptables -A OUTPUT -o tun+ -j ACCEPT
iptables -A INPUT -i tun+ -j ACCEPT

#Set default policies to drop all communication unless specifically allowed
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

Quelle: http://raspberrypi.stackexchange.com/questions/11648/raspbmc-and-openvpn-block-traffic-except-vpn-with-iptables

Kann ich sowas überhaupt über die GUI machen oder muss ich da per SSH ran?

 

[Raijin]

Hm.. Blöde Frage: Warum darf sich die Box nicht mit dem Heimnetzwerk verbinden? Das verstehe ich nicht so ganz.. Was genau möchtest du dadurch erreichen bzw. verhindern? Eigentlich sollte das LAN ja vertrauenswürdig sein?

 

[schumischumi]

Doch die Box soll sich eben schon mit dem Heimnetzwerk verbinden. Nur soll jegliche Verbindung nach aussen/Internet nur über die VPN "Leitung" gehen. Sprich wenn die VPN Verbinung down ist hat die Box keinen Zugriff auf das "freie" Internet und kommt nur noch ins Heimnetz.

 

[Raijin]

Ok, dann habe ich deine Beschreibung falsch verstanden. Beim zweiten Lesen stimmt's auch ^^ So ergeben die iptables auch Sinn.

Ohne solch ein Szenario mit einer Synology ausprobiert zu haben, gehe ich mal stark davon aus, dass das über die GUI schwierig wird. Vermutlich ist es da einfacher, obige Regeln mehr oder weniger 1:1 per SSH einzutragen. Allerdings kann man soweit ich weiß die iptables bei Synology gar nicht direkt bearbeiten bzw. nicht permanent. Zum Testen geht es also schon, aber beim Neustart wird das überschrieben. Wenn du die Konfiguration speichern willst, musst du die Regeln soweit ich mich erinnere in /etc/firewall.rules eintragen. Ist schon ne Weile her, sorry..