@Makrien schrieb:
Hallo zusammen, besten Danke für eure Antworten, es hat mir geholfen.
Ich habe mein gestern erstelltes Let’s Encrypt Zertifikat mit xxx.internet-box.ch als Standard gesetzt und alle Dienste darauf konfiguriert.
Es stimmt, wenn ich mich im Browser mit dem Domain-Namen des hinzugefügten Zertifikat https://xxx.internet-box.ch:5001 anmelde, dann klappt die verschlüsselte (https) Verbindung zum DSM.
Zum Verständnis. Die Verbindung ist mit https so oder so verschlüsselt. Mit einem gültigen Zertifikat reklamiert der Browser einfach kein Problem.
Betreffen der Portweiterleitung in der IB2 muss ich jedoch schon den Port 5001 an die Synology weiterleiten, ansonsten ich so nicht auf die Webanmeldung vom DSM gelange.
Ich weiss nicht wie NAT Loopback auf dem Router realisiert wird. Ob es nur für spezifische Ports funktioniert oder eine NAT Regel nötig ist. Wie auch immer, das ist schade. Denn du musst eine Portweiterleitung, sprich die DSM Verwaltung extern öffnen, was man nicht machen sollte, wenn man das nicht braucht.
Da die Swisscom Router keinen konfigurierbaren DNS anbieten, müsste man mit einem Workaround arbeiten. https://www.tuxone.ch/2013/12/dns-im-lokalen-netzwerk.html
Die Portweiterleitung TCP 80 von IB2 nach Synology muss ich schon aktiv setzen und halten, oder? Ich habe gelesen, dass das Let’s Encrypt Zertifikat den Port TCP 80 zur Überprüfung und Aktualisierung benötigt. Auch habe ich Port 443 HTTPS von IB2 nach Synology weitergeleitet. Weiss jemand, ob dies auch nötig ist?
Ja das ist für die Überprüfung, Beglaubigung durch den Bot nötig. Das Script von Synology ist dazu ausgelegt, ein Zertifikat über die HTTP resource zu beziehen. Wenn man jetzt einen Webserver betreibt und der auch öffentlich zugänglich ist, ist das ja kein Problem. Du hast aber keinen Webserver aktiv. Wenigstens wird der Webserver nur im Moment der Challenge aktiv. Somit ist das für diesen Augenblick noch kein Problem. Aber irgendwie gefallen mir solche Dinge nicht.
Ich bin mir da ein wenig unsicher. Ich möchte sicher gehen, dass niemand ausser mir von unterwegs bzw. aus dem Internet auf meine Synology zugreifen kann. VPN-Zugriff funktioniert ja bestens. Ist es dann nur via VPN möglich? Dies ist natürlich sicher. Kann sonst niemand auf meine Synology aus dem Internet nicht autorisiert zugreifen?
Da du nun Port 5001 weiterleitest, ist dieser natürlich öffentlich zugänglich. So lange deine Passwörter sicher sind, kein Zeroday oder ungepatchte Lücke besteht, möchte ich nicht von einem unautorisiertem Zugriff sprechen. Das Risiko reduzierst du natürlich indem die Syno nicht von extern erreichbar ist…
Nochmals die Frage betreffend Domain-Name und dem erstellten Zertifikat. Wie oben erwähnt, habe ich in der IB2 bei DynDNS mir einen Domain-Namen erstellt. (xxx.internet-box.ch). Übrigens, damit klappt auch die VPN-Verbindung von unterwegs ohne Probleme. Auf denselben Namen habe ich auch ein Zertifikat von Let’s Encrypt auf der Synology erstellt und als Standard gesetzt. Muss das genau so übereinstimmen? Oder hätte ich auch den Domain-Namen des Syno-Zertifikats einen anderen Namen erstellen können? Ich blick’ da jetzt nicht grad durch.
Ja das machen noch viele so wenn man hier schaut: https://crt.sh/?q=%25.internet-box.ch
Du hast jetzt den DDNS Namen den du über die Internet Box generieren kannst als Zertifikat auf deiner Synology verwendet. Kann man machen. Macht man vor allem wenn man einen Webserver betreiben würde.
Falls du einen anderen Domain Namen hast, könnte man natürlich auch für diesen ein Zertifikat anfordern.
Verschlüsselung ist heutzutage ein Muss. Let’s encrypt hat hier einen eintscheidenden Beitrag geleistet um das Web, sprich die Webserver zu verschlüsseln. Die Browserhersteller forcieren das auch, indem sie Verbindungen die nicht sicher sind entsprechend kennzeichnen oder warnen.
Jetzt macht es aber nicht in jedem Fall Sinn auch ein gültiges Zertifikat haben zu wollen, nutzt man die Dienste nur privat. Hier musst du Port 5001, 80 und 443 weiterleiten um in den Genuss eines gültigen Zertifikates zu kommen und um es auch richtig nutzen zu können. Das ist nicht optimal.
Ich selber verwende auch auf vielen meiner Geräte, auch solchen die nur privat sind, die gültigen Zertifikate von let’s encrypt. Aber ich muss dazu nicht “unnötige” Ports weiterleiten.
Würden die Swisscom Router einen konfigurierbaren DNS anbieten, würden die Zertifikate auch für den einen oder anderen Homeuser mehr Sinn ergeben. Nicht nur dass, man könnte die Geräte auch umfassender mit Namen ansprechen, in Anbetracht der aktuellen IP Version also fast schon ausschlaggebend.
