Portfreigaben

[Dani Düsentrieb]

Hi Leute,

ich habe eine Fritzbox 7590AX mit einer Synology DS720+ drangehangen. Auf der Fritzbox habe ich unter Portfreigaben den Port 80 und 443 freigegeben. Die IP Adresse der Fritzbox ist fest vergeben und einem DNS Namen zugeordnet. Wenn ich diesen DNS Namen nun aufrufe bekomme ich keine Verbindung zur Diskstation. Auf dieser ist soweit alles eingerichtet, ein interner Aufruf zeigt die Seite. Jetzt bin ich mal mit nem Port Checker (https://portchecker.de/) rangegangen und der sagt mir das keine Port freigegeben sind obwohl die Fritzbox die Freigaben mit nem grünen Punkt auflistet.
Durchzufall ist mir jetzt aufgefallen, das es nicht an den Portfreigaben liegt, sondern an dem ausgewählten Gerät in der Fritzbox. Der Name des Gerätes bleibt der gleiche allerdings ändert sich die IP Adresse dahinter immer wieder. Das sind unregelmäßige Abstände aber eine Adresse bleibt nie länger als 30 Sek. stehen. DHCP ist bei der Fritzbox deaktiviert die Adressvergabe macht die Diskstation.
Neben Port 80 und 443 sind auch noch die Ports 500, 1701 und 4500 UDP für VPN offen und ne VPN Verbindung kann ich von extern Herstellen, trotz des IP gewechsels. Neustart von allen beteiligten Geräten hat keine Abhilfe geschaffen. Kann mir jemand nen Tipp geben was ich noch machen kann?

Gruß Daniel

 

[Stationary]

Wenn Du eine VPN-Verbindung von extern zur Fritzbox herstellen kannst, brauchst Du keine Portweiterleitung, um auf die Diskstation zugreifen zu können. Die rufst Du einfach direkt mit Ihrer internen IP-Adresse auf, die Du natürlich vorher in der Fritzbox als statisch vergeben markiert hast, damit die DS nicht heute die eine und morgen eine andere IP-Adresse hat.
DHCP gehört meiner Ansicht nach auf den Router, nicht auf die Diskstation. Die könnte schließlich auch mal aus sein.

 

[FSC830]

Nicht zu fassen, sowas hatten wir dich gerade erst: Klick .
Da geht es zwar um Windows und Pi, aber die Quintessenz ist exakt die gleiche: wer kein VPN benutzt, spielt Risiko mit seinen Daten!

Man muss es wohl erst auf die schmerzhafte Tour lernen...

Gruss

 

[the other]

Moinsen,
Ich sehe das ähnlich. Ein NAS ist ein Fileserver. Super auch für minimale cloud Ersatzanwendungen (Calendar, Adressbuch), gerne auch als streaming server...aber doch eben in erster Linie übers Netzwerk angeschlossener Speicherplatz (wie der Name unauffällig nahe legt) .
Dhcp, dns...würd ich im normalen Heimnetz auch immer dem Router überlassen.

Warum hast du überhaupt zusätzlich zu den vpn ports noch den 80er und 443er freigegeben? Bietest du nach außen Dienste an? Ich würde das mal schnell rückgängig machen, es sei denn es hat einen Sinn und du weißt, wie du es absicherst...
Wie es zu dem von dir beschriebenen schnellen IP Wechsel kommt...direkt keine Ahnung, so nie gesehen...

 

[Dani Düsentrieb]

@Stationary das VPN läuft auch auf der Diskstation und nicht nicht auf der Fritzbox, die ist nur Router.

 

[the other]

Moinsen,
Ja, das hab ich mir gedacht, denn sonst wäre ja keine pwl nötig. Aber ein weiteres Beispiel dafür, was mit einem NAS eigentlich NICHT gemacht werden sollte, auch wenn es von den Herstellern gerne beworben wird.
Ich würde mir das Netzwerkdesign nochmal überlegen. Das soll nicht doof oder von oben klingen, vielleicht hab ich auch nur ne falsche Vorstellung. Es hört sich nur ziemlich ungeschützt und etwas durcheinander an...

 

[Stationary]

Das VPN gehört natürlich auch auf die Fritzbox. Du läßt ja in Deiner Wohnung auch nicht die Haustür offen stehen und schließt nur die Wohnzimmertür ab.

 

[the other]

Moinsen,
Ist dies hier

Auf der Fritzbox habe ich unter Portfreigaben den Port 80 und 443 freigegeben. Die IP Adresse der Fritzbox ist fest vergeben und einem DNS Namen zugeordnet. Wenn ich diesen DNS Namen nun aufrufe bekomme ich keine Verbindung zur Diskstation.

ein Schreibfehler? Wenn du den Namen der fritzbox (hostname?) eingibst, dann solltest du doch auch nicht Verbindung zu deinem NAS bekommen...
Oder verwechselst du da Dyndns und internes DNS Auflösen von Clienten im Heimnetzwerk?

 

[carsten_h]

die Du natürlich vorher in der Fritzbox als statisch vergeben markiert hast, damit die DS nicht heute die eine und morgen eine andere IP-Adresse hat.

Ich bin immer noch der Meinung, daß man eine statische Adresse direkt im jeweiligen Gerät einträgt, denn sonst ist man immer noch vom DHCP Server abhängig.

 

[Digedag64]

Ich bin immer noch der Meinung, daß man eine statische Adresse direkt im jeweiligen Gerät einträgt ...

Kann man machen, freilich.
Ist aber Turnschuhadministration, d.h. bei Problemen darfst du zu jedem Gerät hingehen und es resetten o.ä. - und wenn du viele Hunderte Geräte an sehr verstreuten Standorten hast, lässt du das schneller wieder bleiben, als du damit begonnen hast, und fluchst über jedes Gerät, welches du zu einem früheren Zeitpunkt auf eine feste Adresse direkt am Gerät eingestellt hast ;-)
Daher setze ich direkt auf dem Gerät eingestellte feste IP-Adressen seltenst ein und auch dann nur kurz, oft nur für Minuten.

denn sonst ist man immer noch vom DHCP Server abhängig.

DHCP-Server sind längst ausgereift und stabil, nicht umsonst werden sie seit vielen Jahrzehnten auch in kleinen und großen Unternehmen eingesetzt. Ihr Ressourcenverbrauch ist nun auch nicht so erwähnenswert riesg .... die gute Flexibilität eines solchen Servers, der dann auch die Geräte mit ihren Adressen an den DNS-Server meldet, möchte ich nicht missen.

Was für ein Glück, dass es verschiedene Wege zum Ziel gibt

 

[carsten_h]

Ist aber Turnschuhadministration, d.h. bei Problemen darfst du zu jedem Gerät hingehen und es resetten o.ä.

Das muß ich doch auch, wenn ich einen DHCP Server nutze. Den Zusammenhang verstehe ich jetzt nicht ganz.

DHCP-Server sind längst ausgereift und stabil

Das will ich auch gar nicht bestreiten.
Ich habe hier im Heimnetz mein QNAP, einen Raspberry Pi für Home Assistant und einen kleinen Switch für die beiden an einer USV hängen. Wenn jetzt der Strom ausfällt und dummerweise der Lease abläuft hätten das QNAP und der Raspberry Pi keine IP Adresse mehr, da sie den DHCP Server nicht mehr erreichen können. Das QNAP würde dann nach zehn Minuten herunterfahren, aber der Raspberry Pi würde das nicht mitbekommen, da er über das Netz mit dem QNAP per nut verbunden ist.

dass es verschiedene Wege zum Ziel gibt

Auf jeden Fall!

 

[Digedag64]

Wenn jetzt der Strom ausfällt und dummerweise der Lease abläuft hätten das QNAP und der Raspberry Pi keine IP Adresse mehr, da sie den DHCP Server nicht mehr erreichen können.

Das ist aber schon sehr arg konstruiert, findest du nicht? ;-)
Zumal auch deine Clients in diesem Fall keine IP-Adresse bekämen, schlimmstenfalls die Switche nicht, und nach bis zu 8 Tagen (Standard-Lease-Dauer) wirst du dir wahrscheinlich mehr Sorgen um den Inhalt des Tiefkühlschranks machen oder das Wasser ginge dir aus - du hättest also wirklich ganz andere Sorgen.

Andersrum: wenn der Router zugleich den DHCP-Server mimt, dann bekommt der entweder ähnlich schnell wieder Strom (und startet um Längen schneller als das QNAP-NAS) oder aber dein QNAP und dein Pi haben eh kein Internet. Ja freilich, Heimnetz geht auch ohne Internet, aber in welchem praxisrelevanten Szenario fällt zwar für alle Geräte der Strom aus, kommt aber dann für alle Geräte wieder außer für den DHCP- (und ggf. DNS-)Server? - wie gesagt: das Beispiel finde ich schon sehr konstruiert ....

So oder so ist Stromausfall zum Glück keine so übliche Erscheinung in D - andernfalls müsste und würde der DHCP-Server als Teil der Netzwerkinfrastruktur ja auch mit an der USV hängen.

Das muß ich doch auch, wenn ich einen DHCP Server nutze.

Im Kontext "Turnschuhadministration": nein, das musst du nicht. Netzwerk ändern und die Dinger kriegen von sich aus eine andere IP-Adresse, weil sich da jer DHCP-Scope ändert und nicht mehr die ursprüngliche, reservierte Adresse zugewiesen wird.

Ich komme wie bereits angedeutet aus der Firmen-Ecke, direkt am Gerät fest eingestellte IP-Adressen sind da wirklich nicht angesagt. Aber mit anderem Hintergrund kann man andere Erfahrungen und Vorlieben haben - freuen wir uns also über den Austausch von Erfahrungen