Synology NAS und Swisscom Centro Business

mtothat

Hallo zusammen

Ich habe mir kürzlich ein Synology DS215j gekauft und mir stellt sich nun die Frage, ob ich diese direkt an den Swisscom Centro Business 2.0 anschliessen sollte oder wie bisher hinter den ASUS Router (RTN66u).

Einige Bedenken habe ich betreffend der Sicherheit/Firewall, weshalb ich mir überlegt habe, diese an den ASUS-Router zu schliessen und dann eine Portweiterleitung einzurichten.

Swisscom TV und die PS4 sind direkt per LAN an den Swisscom Router angeschlossen, bei allen anderen Geräten fungiert der ASUS-Router als Wireless Access Point (auch wegen der Reichweite).

Wie würdet ihr das ganze einrichten, damit eine höchstmögliche Sicherheit für die Daten auf der NAS gegeben sind oder auch DDOS Schutz? Die Synology sollten von aussen also extern erreichbar sein.

Habe da leider noch nicht so viele Erfahrungen, danke für eure Mithilfe!

PS: Weiss jemand, ob auf dem CB im Gäste-Netzwerk der Zugriff auf das Intranet deaktiviert werden kann? Also dass Leute im Gäste-Wlan die internen Geräte nicht sehen können?

POGO 1104

@mtothat schrieb:
...Ich habe mir kürzlich ein Synology DS215j gekauft und mir stellt sich nun die Frage, ob ich diese direkt an den Swisscom Centro Business 2.0 anschliessen sollte oder wie bisher hinter den ASUS Router (RTN66u).....

.... bei allen anderen Geräten fungiert der ASUS-Router als Wireless Access Point....

Falls du den ASUS RT-N66U in den Access-Point Modus geschaltet hast, dann ist dessen Firewall & Co ohnehin inaktiv. Von daher hast du keinen Sicherheitsgewinn, wenn du das NAS an den ASUS anschliesst.

Ich gehe mal davon aus, dass die Firewall vom Centro Business 2.0 (out of the Box) sicher genug ist, dass dein Netzwerk von "aussen" geschützt ist. Swisscom kann sich da keine Fehler leisten und lässt das afaik von externen Spezialfirmen prüfen, ob diesbezüglich alles im grünen Bereich ist.

Wenn du dann natürlich selbst irgendwelche Ports öffnest - dann liegst du sselbst in der Pflicht....

mtothat

Ok, danke!

Allerdings habe ich jetzt gerade nachgesehen und der ASUS ist im Wireless Router Modus, das heisst er bekommt das Internet vom CB.

Mit Wireless AP meinte ich, dass wir alle drahtlosen Clients mit diesem verbinden und nicht den Modus:-)

Wäre die Sicherheit somit grösser wenn er hinter dem ASUS angeschlossen wäre und auf dem CB eine Portweiterleitung auf 5001 eingerichtet wird?

POGO 1104

Ich kenn mich mit Firewalls zuwenig aus, aber 2 Router hintereinander (mit je einer eigenen Firewall) sind sicherer als nur eine Firewall. Wobei eine einzige, richtig konfigurierte Firewall ebenso sicher ist....

Wenn du das NAS am ASUS anschliesst und es von aussen erreichbar sein soll, dann musst du doppeltes Portforwarding einrichten, also zuerst von CB zu ASUS und dann von ASUS zu NAS...

Noch ein Tipp: Aktiviere im Synology NAS den VPN-Server (nicht PPTP) und greife von aussen per VPN zu, dann hast du schon viel Sicherheit gewonnen....

Siehe auch: http://www.tuxone.ch/2013/04/improve-nas-security-synology.html

mtothat

Genau, diese Guides habe ich mir vorhin auch durchgelesen und werde das NAS dementsprechend so konfigurieren.

Ich habe mir folgende Installation vorgestellt, ob dies Sinn macht oder nicht bin ich mir nicht sicher:

-CB Wireless aktivieren und alle Wireless Clients mit dem CB verbinden (auf dem ASUS Wlan deaktivieren da dieser grosse Geschwindigkeitseinbrüche hat und dies mit Firmware Reset etc. nicht besser geworden ist -> bekanntes Problem beim rtn66u)

-ASUS Router als Router an CB hängen

-NAS an ASUS Router hängen und doppeltes Port-Forwarding einrichten da der ASUS über LAN keine Probleme hat

So hätte ich immerhin noch eine zusätzliche Firewall vor dem NAS und richte dann VPN und Verschlüsselung auf dem NAS ein oder soll ich gleich direkt auf den ASUS verzichten und alles mit dem CB regeln der Einfachheit halber?

PowerMac

@mtothat schrieb:
[...]

Ich habe mir folgende Installation vorgestellt, ob dies Sinn macht oder nicht bin ich mir nicht sicher:

[...]

Sorry, aber das von dir beschriebene Setup macht leider keinen Sinn.

Du hast zwei Möglichkeiten:

Entweder du deaktivierst das WLAN am CB, und hängst an diesen nur die TV-Box, den Asus und ggf. noch die Playstation. Den ganzen Rest hängst du hinter den Asus und konfigurierst auf dem CB den Asus als DMZ-Host und auf letzterem dann die Portforwardings auf deine Geräte.
Oder du hängst alle Geräte an den CB und konfigurierst den Asus als reinen Accesspoint (oder nimmst ihn ganz aus dem Netz wenn das WLAN nicht sauber läuft). Die Portforwardings richtest du dann auf dem CB ein. Da die Sicherheit offensichtlich ein Thema ist, solltest du UPnP deaktivieren.

Persönlich würde ich ganz klar die zweite Variante bevorzugen. Wie Kollege @POGO 1104 schrieb, ist eine einzelne richtig konfigurierte Routerfirewall ebenso sicher wie zwei hintereinandergeschaltete Router, und dies beim halben Fehlerpotenzial, halben Stromverbrauch und ohne technische Murksereien.

Die Paketfilter-Firewalls handelsüblicher Heimrouter erfüllen ihre (einfache) Aufgabe allesamt prima, weder den CB noch den Asus würde ich diesbezüglich als sicherer einstufen. Viel wichtiger ist, dass man das NAS entsprechend sauber und sicher konfiguriert; Tux0ne hat hierzu eine gute Anleitung ins Netz gestellt, siehe hier. Wurde für Synology geschrieben, die Massnahmen lassen sich aber auf den meisten anderen NASen auch auf ähnliche Weise einrichten.

Tux0ne

2 Router bringen nicht mehr Sicherheit.

Was sich heute alles Firewall nennt ist meist ja eh nur ein Wegweiser welcher nun den Weg zeigt oder halt eben nicht (NAT). Bestenfalls blockiert dieser Wegweiser wenn zu viele Fragen vom gleichen kommen.

In diesem Fall würde ich Firewall des CB 2.0 verwenden. Immerhin hat dieser noch ein Log womit er sich schon als Grenzwächter der faulen Art ausgeben kann 🙂

Ok hätte man eine DMZ Konfiguration was mit mehreren fixen IP's möglich ist, darf sich das Ding von mir aus offiziell als rudimentäre Firewall definieren. Da kann man wirklich Regeln von der DMZ ins LAN und vice versa machen. Was ja im Falle der Internet Box eigentlich Kundenverarsche nennt. Eine DMZ welche vollen Zugriff auf das LAN hat. Wirklich so definiert sich DMZ nicht...

Die Sicherheit würde ich zusätzlich auf der Firewall der Synology definieren. Da kann man ganz komfortabel schon mal Länder gruppieren welche da Zugriff haben sollen.

Aber wenn du wirklich mit Firewall Regeln spielen willst, so spiele auf deinen Asus Router openwrt drauf und konfiguriere ein Gastnetz. Das kannst du ja auf das Gastnetz des CB abstimmen was SSID und Passwort angehen.

Glaub mir, das macht mehr Spass als unsinniges Doppelnat. Das ist sowas von IPv4 hehe

https://wiki.openwrt.org/toh/asus/rt-n66u

http://www.tuxone.ch/2015/10/gaste-wlan-auf-einem-openwrt-access.html

mtothat

@Tux0ne resp. an alle 🙂

Ich konnte das NAS endlich einrichten gemäss eurer Anleitung und hätte da noch einige Konfigurationsfragen:

-Von aussen auf das NAS zugreifen: Quickconnect und externer Zugriff via DDNS deaktivieren, dafür OpenVPN installieren, habe ich das richtig verstanden?

-Welche Ports muss ich nun auf dem CB weiterleiten, damit ich von aussen auf das NAS zugreifen kann? (5000/5001 für HTTPS?)

-Es steht als Sicherheitsrisiko, ich solle die Standardports (5000/5001) ändern, kann ich da irgendwelche freie vergeben oder soll ich dies auf Standard lassen?

POGO 1104

@mtothat schrieb:

-Von aussen auf das NAS zugreifen: Quickconnect und externer Zugriff via DDNS deaktivieren, dafür OpenVPN installieren, habe ich das richtig verstanden?

so wie ich das verstehe, gehst du entweder über den Quickconnect Dienst oder über eine eigene VPN-Verbindung.

siehe auch:

Der QuickConnect-Assistent

Synology bietet mit dem fast selbsterklärenden QuickConnect-Dienst eine sehr einfache Möglichkeit für den Fernzugriff. Was steckt dahinter? Grosso modo ist das nichts anderes als eine Adressumleitung über Synology-Server: Ihre DiskStation sendet die IP immer an die Synology-Server in den USA oder England, die diese mit Ihrer festgelegten ID verknüpfen und anstehende Zugriffe an die IP weiterleiten.

Das es dir ja um Sicherheit geht, würde absehen vom Quickconnect (Umleitung über fremde Server) und dir die VPN-Verbindung selbst einrichten mittels dem VPN-Server auf der Diskstation.

https://www.synology.com/de-de/knowledgebase/DSM/tutorial/Application/How_to_connect_to_Synology_s_VPN_Server_using_a_Windows_PC_or_Mac

Tux0ne

Die Management Ports sollen für mich so oder so keine direkte Erreichbarkeit über das WAN haben. Schon gar nicht der unverschlüsselte.

Wenn man sich an das hält, so kann man diese Ports auch so stehen lassen. Vorteile hätte man noch bei Schadsoftware im LAN welche fest auf solche Ports programmiert ist. Aber ja, das läuft nicht so ab.

Management und Filesharing über VPN.

Portweiterleitungen auf Dienste nur für Dinge welche man generell für andere erreichbar machen möchte. (Webdienste, Clouddienste, FTP usw.)