Synology-Forum.nl
Firmware => Synology DSM algemeen => Topic gestart door: zakhooi op 20 februari 2018, 11:14:53
-
Hoi,
Voor de driemaandelijkse update van het letsencrypt certificaat zet ik, op het moment dat ik een herinnerinsemail ontvang dat het certificaat gaat verlopen, poort 80 op mijn router even open naar de Synology NAS om de update mogelijk te maken.
Ik vraag me nu af hoe gevaarlijk het is die forward continu open te laten staan.
Poort 80 is toch wel een van de meest gebruikte poorten bij het afscannen van netwerken naar draaiende services.
Als je poort 80 open hebt staan trek je eigenlijk sowieso al onnodig 'aandacht' van het internet.
Bovendien is DSM zo gebouwd dat als je naar poort 80 gaat op je NAS je automatisch wordt doorgestuurd naar de werkelijke DSM poort die je in het configuratiepanel hebt ingesteld.
M.a.w, er draait dus een process op poort 80 (volgens mij 'nginx') die dat regelt.
Mijn vraag is: hoeveel risico loop ik en hoe gevaarlijk is het om poort 80 open te laten staan zodat ik niet telkens het letsencrypt certificaat met de hand hoef te updaten.
Wat zijn jullie ervaringen?
-
Waarom moet die poort op de router opengezet worden? Of kan je NAS normaal gesproken niet het internet op?
-
Ik gebruik de firewall van de NAS niet maar wel de firewall op mijn router en heb dus mijn DSM poort vanaf de router naar de NAS open gezet. Voor de Letsencrypt update moet ik dat ook doen met pport 80.
-
Ok. Ik lees nu dat dat voor het vernieuwen van het certificaat inderdaad nodig is. Hoe raar ook.
Ik zou sowieso ook de firewall op de NAS activeren als extra beveiliging als je port-forwarding vanaf je router naar de NAS doet.
-
…Bovendien is DSM zo gebouwd dat als je naar poort 80 gaat op je NAS je automatisch wordt doorgestuurd naar de werkelijke DSM poort die je in het configuratiepanel hebt ingesteld.…
Tenzij je de webserver activeert. Dan gaat poort 80 naar een "lege" pagina op de webserver als je geen website installeert.
-
Om speciaal daarvoor de webserver te laten draaien gaat me wat te ver.
Ik heb hem nu lekker aan het hibernaten en wil dus niet te veel draaien dat hem daaruit houdt.
Als ik het goed begrijp is dus het antwoord op mijn vraag: als ik poort 80 open laat staan is dat dus voor een onwelkome bezoeker makkelijk mijn DSM poort te vinden omdat hij vanuit poort 80 gelijk naar de goede DSM poort wordt doorverwezen (tenzij ik een webserver station ga draaien zonder content).
-
Eigenlijk maakt dat weinig uit. want tegenwoordig scannen ze ook standaard naar de DSM poort.
-
Ja maar die draai ik ook al op een andere poort, dus die vinden ze niet als ze op de standaard poorten kijken
-
Als je het heel moeilijk wilt doen, dan forward je poort x naar de nas. maar zet dsm op poort y. Vervolgens maak je een virtual host aan op poort x die alleen één specifieke url naar poort y doorstuurt.
Bij een scan op poort x vinden ze dan niets en poort y is niet te scannen omdat die niet geforward is.
----
Alleen een specifiek IP toelaten op poort 80 voor Let's Encrypt werkt ook niet. Let's Encrypt wil nml niet garanderen dat ze altijd dezelfde IP adressen blijven gebruiken voor hun verificatieserver.
-
Tja dan blijft er dus niet veel over dan door gaan op de huidige manier; elke 3 maand even poort 80 forwarden, letsencrypt updaten en de poort weer dichtgooien.
-
Je kunt ook voor een paar euro een certificaat aanschaffen voor je domein....
Ben je voor een paar jaar van het probleem verlost.
-
Wat is 'een paar euro'? En over welke toko heb je het dan?
Volgens mij is dat tot nu toe altijd 'een paar veel euros' geweest.
Vandaar dat letsencrypt een mooi alternatief is.
-
Ik heb een jaar geleden een certificaat voor mijn domein gekocht, dat drie jaar geldig is, voor 15 euro . Dus 5 euro per jaar.
-
Waar heb je dat gekocht?
-
Je kunt ook voor een paar euro een certificaat aanschaffen voor je domein....
Of gewoon een self-signed certificaat maken met lange geldigheid. Want eigenlijk snap ik het nut niet van een extern geverifieerd certificaat als je toch elke externe inlog wilt blokkeren.
-
Dat heeft er meer mee te maken dat bepaalde browsers een cert pas accepteren (groen slotje en geen waarschuwing dat de https site onveilig is) als het geverifieerd is bij een erkende verstrekker. Letsenrypt heeft die status.
-
www.xolphin.nl
-
Als je de private key van een self-signed certificaat importeert in de browser, krijg je ook een groen slotje. Lijkt me minder werk dan er elke 3 maand aan te denken om poort 80 op tijd open te zetten. (Als je op het waarschuwingsmailtje wacht, heb je al 1 week verloren, want de nas probeert het updaten maar 1x per week)
-
Of gewoon zelf handmatig de Let'sEncrypt update 1x per 3 maanden activeren of dit scriptje opnemen in de sceduler van de NAS.
Simpel scriptje, actie duurt 2 seconden en je kan weer 3 maanden voorruit.
Peter
-
Dat snap ik, dat is geen probleem. Daar ging de vraag ook niet om.
-
of dit scriptje opnemen in de sceduler van de NAS.
Dat is overbodig. Dat script draait al wekelijks via een cronjob. Het script kijkt of er een certificaat binnen 1 maand afloopt. Zo ja, dan wordt dat certificaat vernieuwd.
Voor de veiligheid kun je wel de http poort van dsm dicht zetten. Dan kan poort 80 ook niet doorverwezen worden naar dsm zelf. Per slot gebruik je dat certificaat om de nas via de https poort te benaderen.
Dat poort 80 automatisch naar de dsm poort doorgestuurd wordt is puur gebruiksgemak voor gebruikers en is strijdig met het streven naar meer veiligheid door Synology.
-
@Briolet
Dat dat (handmatige) script geen overbodige luxe is, weet de doorgewinterde Synology/Let's Encrypt gebruiker maar al te goed.
Het wil nog wel eens niet helemaal goed gaan met die automatische update van het certificaat.
Dus overbodig is deze oplossing zeker niet,getuige de diverse draadjes op dit forum, waaronder deze (https://www.synology-forum.nl/firmware-algemeen/let's-encrypt-expiry-bot/msg222771/#msg222771).
Peter
-
Ik heb een jaar geleden een certificaat voor mijn domein gekocht, dat drie jaar geldig is, voor 15 euro . Dus 5 euro per jaar.
Dan mag je mij wel laten zien waar ze die €15,-/3jaar vragen.
Zie op de site www.xolphin.nl bedragen vanaf €8,- per jaar (€95,- per jaar als je het groene slotje wilt)
-
Tja, een jaar geleden waren de prijzen anders. Dat kan ik ook niet helpen....
-
Tja, alles wordt er niet bepaald goedkoper op helaas...
-
Tja, Momenteel is het 7 euro per jaar. Dat is natuurlijk ook geen geld.
Ik zou dit wel willen, maar alleen puur door kennis gebrek van certificaten, zou ik niet weten hoe ik dit kan opzetten.
Domain/subdomain aanvragen of kan het met de huidige DDNS xxxx.synology.me
Wat zijn de exacte stappen van A tot Z (helder uitgelegd)
Mocht ooit iemand eens hier een totaal handleiding voor maken met printscreen voorbeelden, dan ga ik dit zeker doen.
Alleen al het domain / subdomain gedoe vind ik al lastig, maar ja. Ik gebruik nu maar de LetsEncrypt via poort 80 als alternatief