Synology Filestatio auf Port 80 oder alternative ?

[Niklas434]

Hallo,

ich finde es von Synology schon echt dreißt das sie den Port 80 für die FS nicht unterstützen.
Gibt es da via SSH eine Alternative das zu ändern oder eine Alternative zu Filestation?


Momentan habe ich testweise Pydio + Login via LDAP aber es muss doch auch anders gehen ?




Gruß Niklas

 

[Sannyboy111985]

Hi

Du willst also per WEBDAV auf die Daten zugreifen? Das kann man aktivieren. Der Default Port ist aber 500X, weiß den nicht sicher aus dem Kopf.
oder was heißt bei dir Filestation über Port 80?

Gruß

 

[DHC]

Was genau hast Du denn vor?
Von extern zugreifen?
Wenn ja. Da gibt es mehrere Möglichkeiten. Z.B. via VPN.

Du solltest Dein Anliegen schon etwas präzisieren.

 

[Niklas434]

Das Problem ist das meine Schwester z.b. aus der Schule auf datein zugreifen möchte. Und das Funktionieren nur der Port 80 und 443.

Ich hab das Jetzt so gemacht das ich den 5001 auf den 443 und den 5000 auf den Port 80 weitergeleitet hab.

Auf einige inhalte vom webserver kann ich jetzt zwar nur zugreifen wenn ich mich via VPN verbunden hab. Aber der Sicherheit wegen ist das sogar ausnahmsweise mal ein nettes übel.

 

[Nilson]

Anders rum:

Port 80 auf 5000 bzw, 443 auf 5001 weiterleiten.

Hier als Bsp aus meiner Fritzbox:



mit folgenden Einstellungen im DSM:

 

[Niklas434]

mein ich doch

Ich habs direkt in der FritzBox gemacht.

 

[Raijin]

Das ist auch die gängige Vorgehensweise. Ich würde den Dienst lokal immer auf dem Standardport belassen und nur die Portweiterleitung im Router anpassen. Ganz einfach aus dem Grunde, dass im LAN der Standardport unproblematisch ist und man ganz einfach die Standardkonfiguration belassen kann. Das heißt, dass man sich mit dem jeweiligen Client-Programm (meistens) ohne explizite Angabe eines Ports verbinden kann. Will man den Port ändern (oder muss es sogar), dann modifiziert man nur die Regel im Router. Die Gefahr, die Konfiguration des Servers zu zerschießen, ist also verschwindend gering, weil man sie gar nicht anfässt

Beispiel SSH:
Von innen -> Terminalprogramm, LAN-IP, connect, fertig.
Von außen -> Terminalprogramm, WAN-IP + Port, connect, fertig

 

[Totti1001]

Moin,

ich klinke mich mal in das alte Thema hier ein.
Hab zwar keine Synology sondern eine Asustor aber stehe im Moment vor dem gleichen Problem und bin in dieser ganzen Port Geschichte nicht so bewandert.
Meine Asustor funktioniert innerhalb als auch außerhalb einwandfrei. Nun hab ich aber noch 2 weitere Geräte (eine Qnap 453 und einen VU+ DVB-C Receiver) die ich auch gern von außerhalb bedienen möchte.
Für mich ist das Problem nun die Erreichbarkeit von außen, da sowohl die Qnap als auch der VU+ die Ports 80 und 443 haben wollen, die aber schon an den Asustor gebunden sind.
Was müsste ich einstellen, damit ich alle 3 Geräte von außen erreichen kann?

Totti

 

[Raijin]

Das Zauberwort hieße "Port translation". Dabei wählt man als externen Port einen anderen als am Endgerät selbst. Statt 80 - > 80 leitet man stattdessen zB 8080 - > 80 weiter, ABER:

Durch Portweiterleitungen macht man ein Gerät nicht nur für sich selbst verfügbar, sondern auch für potentielle Angreifer. Einige Geräte bzw Dienste sind nicht dafür gedacht, über das Internet bedient zu werden und sind daher auch nicht gegen Angriffe von außen geschützt! Es ist daher nicht ratsam, einfach blind Ports weiterzuleiten. Ein TV Receiver ist zB primär für den lokalen Betrieb gedacht und wenn der Hersteller nicht explizit auch den Zugriff aus dem Internet bedacht hat, ist es fahrlässig, solche Geräte dem Internet auszusetzen.

Gerade wenn man mehrere Geräte von außen erreichen möchte, ist es sinnvoll, über ein VPN nachzudenken. Statt x potentiell gefährlicher Einfallstore hat man dann einen einzigen gesicherten und verschlüsselten Zugang. Über eine VPN Verbindung kann man gefahrlos alle Geräte im heimischen Netzwerk fernbedienen - so als säße man daheim auf der Couch. VPNs sind je nach Modell in Routern oder auch in NAS vorhanden oder können mit einer überschaubaren Investition auch separat nachgerüstet werden, zB mit einem Raspberry PI. In einem QNAP gibt's auf jeden Fall VPN, mit wenigen Klicks einzurichten.

 

[Totti1001]

Danke Raijin für deine Erklärung und auch Warnung.
VPN ist für mich leider keine Lösung, da ich meine Geräte auch von der Arbeit aus bediene und da kann ich kein VPN nutzen.
Deswegen nochmal zurück zur Port Geschichte: Kann ich da beliebige Nummern nehmen um nicht in Konflikt zu kommen oder gibt es da bestimmte Regeln, an die man sich halten muss.
Es geht mir hauptsächlich um die Ports 80 und 443, die bei mir nun von 3 Geräten belegt sind.
Wie genau müsste die Ports Änderung aussehen, sodass jedes Gerät für sich erreichbar ist?

 

[Raijin]

TCP 80 bzw. TCP 443 sind ja http bzw. https, also Ports, die man primär im Browser findet. Ein Browser fügt diese Ports implizit zu einer URL hinzu, wenn man sie weglässt. Im Klartext heißt das, dass der Browser für den Anwender unsichtbar stets :80 bzw. :443 an die Domain anhängt, wenn man eine Seite mit http bzw. https ansteuert.
Die Automatik kann man aber auch explizit umgehen, indem man "http(s)://xxxx.yy:12345" eingibt. Damit sagt man dem Browser, dass er eben nicht den Standard-Port verwenden soll, sondern den angegeben Port.

So sähen die Portweiterleitungen exemplarisch aus:

Portweiterleitung 1: extern port 80 --> intern x.y.z.11 port 80
Portweiterleitung 2: extern port 8080 --> intern x.y.z.12 port 80
Portweiterleitung 3: extern port 8888 --> intern x.y.z.13 port 80

Für den Zugriff auf Gerät1 könntest du ganz normal deine DDNS-Adresse ohne explizite Port-Angabe ansurfen. Für Gerät2 würdest du DDNS:8080 ansurfen und bei Gerät3 entsprechend DDNS:8888.
Den lokalen Port würde ich persönlich immer auf Standard lassen, da es keinen Grund gibt, diesen anzufassen. Die Übersetzung in den Ziel-Port findet in der Portweiterleitung statt. Das hat zB den Vorteil, dass du im LAN ganz normal über die IP-Adresse des Geräts zugreifen kannst, wohingegen du sonst eben auch lokal ort hinzufügen müsstest, was lästig sein kann.

Allerdings muss man beachten, dass die IT im Internet-Gateway unter Umständen ausschließlich Standard-Ports wie zB 80 bzw. 443 für http/https freigegeben hat, um eben die Internetnutzung weitestgehend auf normales Surfen zu beschränken. In dem Falle würden Verbindungen zu DDNS:12345 von der Firewall geblockt. Abgesehen davon hast du bei der Portwahl mehr oder weniger freie Hand. <1024 sind offiziell registrierte bzw. Systemports. Jenseits der 1024 sind zwar durchaus auch registrierte Ports, aber da die Firmen-Firewall nur ausgehend beteiligt ist und auf der anderen Seite eben dein Server steht (bzw. die Portweiterleitung im Router), kannst du im Prinzip jeden beliebigen Port verwenden.


Bezüglich VPN kann ich dir nur dazu raten, dies nochmal zu überdenken. Mit Genehmigung von der IT kannst du auf deinem PC evtl. OpenVPN installieren (lassen) und dann geht VPN eben doch. Theoretisch könntest du das auch "geheim" tun, aber das kann ziemlichen Ärger bedeuten und die IT sollte in solchen Fällen eigentlich immer vorab gefragt werden - zur Not nen leckeren Kuchen ausgeben

 

[Totti1001]

Supi! Recht herzlichen dank für deine ausführliche Erklärung.
Da komm sogar ich mit klar

Wie gesagt, VPN auf der Arbeit geht nicht. Das ist kein 3 Mann Betrieb sondern eine Bundes-Behörde, ich denke mehr muss ich dazu nicht sagen