Falsche Quell-IP bei Anmeldeverlauf eines im VMM laufenden DSM

[Frank73]

Hallo zusammen,

ich hatte gestern auf der Synology etwas festgestellt, was ich mir überhaupt nicht erklären kann und auf eure Hilfe angewiesen bin.

Aufbau:
PC mit IP: 192.168.2.50
Synology "Haupt-NAS" mit IP: 192.168.2.20
Synology "DSM im VMM" mit IP: 192.168.2.21

Haupt-NAS:
Nutzung DNS (von Synology) mit Zone: "example.com"
Nutzung Reverse-Proxy (ebenfalls von Synology)

Einträge im DNS:
vaultwarden.example.com --> 192.168.2.20
vdsm.example.com --> 192.168.2.20

Einträge im Reverse-Proxy:
vaultwarden.example.com --> 192.168.2.20:1234
vdsm.example.com --> 192.168.2.21:9876

Zugriffe funktionieren soweit auch alle, sowohl über IP als auch über die Namensauflösung.

Im VMM einen neuen User angelegt und wollte mich dann mit diesem auf dem DSM anmelden. Vermutlich zu blöd dafür, 3x falschen Passwort eingetragen und die Meldung bekommen, dass IP auf Grund häufigen Fehlversuchen gesperrt. --> Passt soweit.
Also IP auf dem Rechner geändert, im Browser wie immer "vdsm.example.com" eingegeben, mit der Erwartung mich als admin anmelden zu können um das PW des Users zurückzusetzen. ABER PUSTEKUCHEN!
Meldung: "Diese IP ist auf Grund zu häufiger Fehlversuche gesperrt."
Das ganze noch mit 2 anderen Rechnern (unterschiedliche IPs) getestet, allerdings immer mit demselben Ergebnis.

Im Browser dann die "192.168.2.21:9876" eingegeben und eine Anmeldung auf VDSM war möglich. Ich habe mir dann die Anmeldeinformationen angesehen und festgestellt, dass da immer die IP "192.168.2.20" (Haupt-NAS auf welcher VMM ausgeführt wird) aufgeführt wird und nicht wie erwartet die IP meines Rechners "192.168.2.50".

Rufe ich dagegen "vaultwarden.example.com" auf, steht in den logs immer die Rechner-IP.

Ich kann mir überhaupt nicht erklären, was da falsch läuft und würde mich freuen, wenn ihr einen Tipp habt, was ich noch nachprüfen kann, ausser die Einträge im DNS und Reverse-Proxy.
Oder spielt da noch eine andere Komponente mit, auf die ich im Moment nur nicht komme.

Vielen Dank für eure Hilfe.

 

[Barungar]

Das ist der Sinn eines Reverse Proxy... er maskiert Deine IP. Am Ziel-Host kommt somit die IP des Reverse Proxy an - zumindest in der Standardkonfiguration. Ich glaube man kann auf dem Reverse Proxy mittels "X-Forwared-For:"-Header die IP des Anfragenden durchleiten, aber das muss der Ziel-Host dann auch auswerten.

Aber wenn der Reverse Proxy unter der 192.168.2.20 läuft, dann ist das erstmal normal, dass bei allen Systeme bei denen Du DURCH den Reverse Proxy zugreifst erstmal nur die 192.168.2.20 ankommt.

 

[Frank73]

Vielen Dank für die schnelle Antwort, aber warum steht dann z. B. bei der Nutzung "vaultwarden.example.com" (auch über den Reverse-Proxy) in den logs die IP des Clients? Müsste das dann nicht auch die der NAS sein?

 

[blurrrr]

Das wird daran liegen, dass der Server nicht entsprechend konfiguriert ist, den Header-Teil auszuwerten. Schau mal hier rein:
Wie kann ich die IP -Adresse meines Clients preisgeben, wenn er über Reverse Proxy auf mein Synology NAS zugreift?

Kannst Du Dir auch direkt für die Zukunft merken: In der Regel, muss Du beim eigentlichen Ziel auch noch konfigurieren, dass die entsprechenden Header-Teile ausgewertet/verarbeitet werden. Ist das nicht konfiguriert, wird dort immer die IP vom Reverse-Proxy stehen. So wirst Du es vermutlich bei Vaultwarden auch gemacht haben (oder es ist per default drin), meist musst Du es aber noch extra konfigurieren, so auch bei z.B. Nextcloud.

 

[Frank73]

Ich danke euch für die Infos.
Ich hätte nie gewußt wo ich anfangen soll zu suchen. Ich werde mich da mal "durchwursteln".