Geen toegang tot NAS buiten mijn netwerk

[henkvv]

Hallo,
Ik wil een vriend van me toegang verschaffen tot een map van mijn NAS(215j).
Ik heb daartoe een een gedeelde map ("gastbestanden") aangemaakt en een gebruiker met een machtiging voor alleen de toepassing Filestation.
Als ik nu dit test binnen mijn netwerk met zijn gebr.naam en wachtwoord krijg ik inderdaad alleen het bureaublad met de toepassing Filestation erop te zien. Daarin bevindt zich alleen de map "gastbestanden". Prima dus.
Nu is mijn vraag: hoe bereikt hij van buiten mijn netwerk de NAS. Welke URL moet in de browser worden ingevoerd?

alvast dank voor een reactie,
Henkvv

[mchp92]

Hier moet je een paar stappen zetten
1) fixeren van ip van je nas binnen je lan, zodat dit niet opeens wijzigt bij bb reboot nas of router
2) instellen port forwarding in je router, naar ip adres nas. Dit voor poorten 5000 5001 5005 5006
3) in je nas via Configuratie>Netwerk>ExterneToegang een url aanmaken via ddns service (synology heeft zo n service gratis)

Daarna is je nas extern benaderbaar

[henkvv]

Dank voor je reactie mchp92.
Voor wat betreft je 3 adviezen het volgende:

1) Ik had reeds mijn NAS een vast LAN-ipadres gegeven.
2) Port forwarding van 5000, 5001, 5005 en 5006 ga ik doen. Is dat veilig?
3) Ik heb zelf een domeinnaam die verwijst naar mijn WAN ip-adres van de router. Ik denk dat het dus niet nodig is om de ddns service te activeren. Mijn website in de webdirectory is namelijk wél bereikbaar.
Moet ik trouwens behalve de 500x poorten nu ook nog de FTP-poort 21 forwarden?

groet,
Henkvv

[Goner]

2) Port forwarding van 5000, 5001, 5005 en 5006 ga ik doen. Is dat veilig?

Beste is om aan de 'buitenkant' een ander poort-nummer te kiezen, aangezien de standaard poorten vaak gescand worden. Dus bijv. 55006 forwarden naar 5006 en 55021 naar 21 voor FTP. Voorkomt het gerammel aan de deur 

[mchp92]

Port 21 is niet nodig als je via ds file of web ui contact wilt maken met je nas
Die is alleen als je op/af wilt ftp-en. Sftp is overigens een ander nummer, 22 denk ik

[henkvv]

Dank voor je reactie Goner.
Bedoel je dat ik dat in 2 stappen moet doen? Dus aparte forward maken voor (service)-poort 55021 naar 21 en vervolgens een forward van 21 naar het (LAN)ip-adres van mijn router. Ik ben hier nog niet zo bedreven in.
Mijn TP-Link router ziet er op dit punt alsvolgt uit: (zie afbeelding)

groet,
Henkvv

[mchp92]

Nee, bij portforwarding geef je dat in een keer op normaliter. In een forward rul specificeer je t poort nummer waarop t verkeer binnenkomt, het interne ip adres en tegelijk t eventuele veranderde poort nummer dat voor de oorspronkelijke in de plaats moet worden gezet

[henkvv]

Ik heb nog een vraag over de FTP-instelling van mijn router.
Heeft het zin i.v.m. de veiligheid om een andere poort voor FTP te kiezen?
Ik dacht het volgende te doen bij de portforwarding in de router:

External poort:  2025   (als voorbeeld i.p.v. 21)
Internal poort:  21
IP-adres 192.168.1.xxx)  (statisch adres van mijn NAS)

Ik vraag dit om de volgende reden. Regelmatig zie ik dat mijn NAS uit de slaapstand wordt gehaald, terwijl mijn computer uitstaat.
Ik vraag mij af wat de oorzaak hiervan is. Poortscan van hackers??

Henkvv

[Robert Koopman]

Een alternatieve poort kan nooit kwaad.
Maar gerammel aan de poorten zal altijd blijven.
Ontwaken uit de slaapstand is zo'n beetje het lastigste onderwerp wat er is.

[Briolet]

Volgens mij heeft een alternatieve poort weinig zin. Veel zoekmachines gaan gewoon alle poorten langs om te kijken of er op het ftp protocol gereageerd wordt. Als je b.v. op de Shodan site kijkt en op 'ftp' zoekt, vind je gewoon al deze ftp servers. Als je op detail klikt, zie je op welke poorten ze draaien. Meestal 21, maar je ziet ook andere poorten voorbij komen. Of zoek op "Synology FTP" en je vind alle synology ftp servers. Het belangrijkste is een sterk wachtwoord i.c.m. goede firewall regels.

En hacker gaat echt niet zelf het internet afzoeken op gekke poorten, maar neemt een account bij deze zoekmachine. Ik zou me, als hacker, juist tot de alternatieve poorten aangetrokken voelen: daar is vast meer te halen. 

[Goner]

Toch wel opvallend dan dat toen de Syno net stond, er constant pogingen waren op in te loggen op Telnet, FTP etc en dus ook allemaal IP's in de blocklist en dat ik na het aanpassen van alle standaard poortnummers dat niet meer gezien heb.

[Robert Koopman]

Alternatieve poorten of niet, pogingen zul je altijd houden.
Dan is het weer een weeke rustig en opeens komen er weer vele pogingen.
Sterke, regelmatig wisselende, wachtwoorden is altijd aan te bevelen.

[Briolet]

@Goner, misschien valt het ook wel mee. Je kunt bij Shodan eens op je eigen IP zoeken. Dan zie je precies wat zij geregistreerd hebben en of de alternatieve poorten er tussen staan. (Zou mij interesseren) Als ik op mijn IP zoek, vind ik alleen de poorten die ik wereldwijd open heb staan. (SMTP-server en web-server). De rest vind deze zoekmachine ook niet bij mij.

De SMTP poort 25 laat zelfs mijn domeinnaam zien. dat zal onderdeel van het smtp protocol zijn. Bij de poort 587 staat: "This IP [xxx.xxx.xxx.xxx] is blocked.". Vreemd, want ik dacht dat die ook wereldwijd open stond. Maar ik heb een heleboel shodan IP's op mijn blocklist staan. 

Shodan laat tegenwoordig ook Google map plaatjes zien van je leefomgeving. Het pijltje staat bij mijn IP wel 200 meter verkeerd, maar mijn huis is wel op het plaatje te zien. Zo goed is de geolocatie op IP inmiddels.

[henkvv]

Het is mij weer wat duidelijker. Bedankt voor jullie reacties.
Henkvv

[Goner]

Je kunt bij Shodan eens op je eigen IP zoeken. Dan zie je precies wat zij geregistreerd hebben en of de alternatieve poorten er tussen staan. (Zou mij interesseren)

Als ik op IP zoek, zie ik onder ports  staan : 5060 ... blijkbaar is dat een poort op de router, misschien voor provider ? laat zien wat voor router je hebt ... in ieder geval geen forward.
Volgens de Google map woon ik op een woonboot in de Amstel, in 020 dus. Ik woon in R'dam ...