Problemen na toevoegen certificaat

[Rubensky]

Beste,

Ik heb problemen na het toevoegen van een certificaat. Ik heb voor mijn eigen domein een certificaat voor mijn NAS aangevraagd.
nas.mijndomein.nl Daar heb ik in mijn DNS tabel op aangepast. (extern IP adres daarachter). Nu probeer ik mijn NAS door te leiden zodat ik hem via mijn domeinnaam kan benaderen.

In de router heb ik poort 80 en 443 opengezet. Alleen wordt ik nog steeds doorgeleid naar poort 5001. Als ik in mijn NAS de poorten probeer aan te passen springt hij steeds terug.

Hoe los ik dit op?

[Rubensky]

Ik heb het zover voor elkaar dat wanneer ik naar het domein ga dat ik dan bij de NAS uitkom. Alleen geeft hij op de een of andere manier nog altijd de verbinding als onbeveiligd weer. (dus zonder het certificaat).

Iemand enig idee hoe dit te regelen?

[Rubensky]

Het werkt nu, als ik naar mijn domein ga kom ik op een beveiligde verbinding met mijn NAS uit.

Wat wil ik nu nog. wat nu ook nog werkt is extern ip: poortnummer. Ik wil ervoor zorgen dat dat niet meer mogelijk is. Hoe regel ik dat?

En wat nu vervelend is dat ik veel poorten open moet hebben staan. 80,443 5000 en 5001. Eigenlijk wil ik alleen de noodzakelijke poorten open hebben staan.

[J-J]

Als ik het goed begrepen heb heb je via domein provider een  subdomein aangemaakt en een DNS record toegevoegd die naar je server IP wijst? En poorten 80/443 zijn geforwarded?
Je kan het beste gebruik maken van een reverse proxy.
Op je NAS vind je die onder “Control Panel > Application Portal > Reverse Proxy”
Vul de vakjes in en wijs de externe poort van jou domeinnaam  waarmee je wil verbinden (https-443) door naar de interne http poort 5000 (of wat jou nas poort is)
Vink HSTS en http/2 aan.
Je hoeft poort 5000 niet te forwarden in je router.
Onder “Control Panel > Security > Certificates” wijs je dan jou certificaat toe aan jou subdomein.

[Rubensky]

Dat werkt. Als ik 2 regels aanmaak.

1 voor poort 80 naar 5000
2 voor poort 443 naar 5001.

[J-J]

Je hoeft maar 1 regel toe te voegen.
Bedoeling van reverse Proxy is dat je het  subdomein (nas.mijndomein.nl) beveiligd via https (443) laat doorverwijzen naar een onbeveiligde interne http verbinding (xxx.xxx.xxx.xxx:5000)

Bij destination kan je bij hostname het interne IP-adres vervangen door “localhost”

[Rubensky]

Inmiddels werkt dat inderdaad. Vanmorgen niet. Nu probeerde ik het vanmorgen weer en werkt het wel...

Overigens heb ik wel poort 5000 veranderd in 5001. Blijkbaar duurt de doorvoer van de wijziging wat langer.

[Briolet]

Je moet er alleen aan denken dat bij de Synology apps, poort 5001 de default poort is. Als je poort 443 gebruikt, moet je die expliciet toevoegen aan de url.

[J-J]

Niet als hij via het Reverse Proxy menu poort 443 doorverwijst naar 5000.
Zo is dat bij mij ingesteld.
Als ik dan naar bv nas.mijndomein.nl surf, kom ik in DSM terecht. (bij mijn domeinprovider heb ik nas.mijndomein.nl doorverwezen naar m’n public IP/DDNS )

EDIT: Heb je reply verkeerd gelezen. Ging over de apps Je hebt helemaal gelijk

[Rubensky]

Dat zou dan niet hoeven als ik ook poort 80 doorverwijs toch?

[J-J]

Als je in de apps enkel het IP adres of subdomein ingeeft, gaat de app er vanuit dat je wil verbinden met mijn.subdomein.nl:5000 ipv mijn.subdomein.nl:443.

Daarom moet je poort 443 dus steeds toevoegen.


Poort 80 heb je niet nodig en hoeft ook niet geforwarded worden in de router


EDIT:

Wat de reverse proxy eigenlijk "achter de schermen" doet is https://mijn.subdomein.nl omzetten naar http://xxx.xxx.xxx.xxx:5000

[Briolet]

En er aan denken dat het certificaat aan een reverse proxy gekoppeld wordt en niet aan dsm. Bij 1 certificaat maakt dit niet uit. omdat die dan overal gebruikt wordt.

Ook niet als je het nieuwe certificaat als default bestempelt zal die automatisch door de r-proxy gebruikt worden, maar bij als je meerdere certificaten gebruikt, moet je hier aan denken.

Een interne r-proxy naar poort 5001 doorverwijzen is overkill. Geeft alleen onnodige belasting van de cpu omdat hij een keer extra moet coderen/decoderen. En er zal vast niemand op de cpu zelf het verkeer onderscheppen. 

[Rubensky]

Het vreemde is, als ik een reverse proxy maak naar poort 5000 kan ik intern via mijn domeinnaam de NAS niet benaderen. Die ik een reverse naar poort 5001 wel.

[J-J]

Geraak je via je interne ip adres en poort 5000 in DSM?

[Babylonia]

Bedoeling van reverse Proxy is dat je het  subdomein (nas.mijndomein.nl) beveiligd via https (443) laat doorverwijzen naar een onbeveiligde interne http verbinding (xxx.xxx.xxx.xxx:5000)

Dat lijkt me juist een onlogische doorverwijzing.  Om een beveiligde connectie om te laten leiden naar een onbeveiligde.
Waarom houd je je niet aan de standaard poorten die ervoor staan in de scheiding tussen beveiligd en onbeveiligd?

80     en   5000   zijn onbeveiligde connecties.
443   en   5001   zijn beveiligde     connecties.

Vandaar ook die vreemde tegenstrijdige aanvulling in je DS File app.