Firmware update - SRM 1.2-7742 - 1 & 2

[Babylonia]

Voor de RT1900ac geldt t/m SRM 1.2-7742 - 2 :   https://www.synology.com/en-us/releaseNote/RT1900ac
Voor de RT2600ac geldt t/m SRM 1.2-7742 - 1 :   https://www.synology.com/en-us/releaseNote/RT2600ac


Version: 1.2-7742 - 2
(2018-10-16)
Fixed Issues

   1. Fixed an issue where RT1900ac might fail to access certain websites under AP mode.


Version: 1.2-7742 - 1
(2018-10-16)
Fixed Issues

   1. Fixed an issue where the status of Network Center might not be displayed correctly
       when the wireless encryption mode is set at WPA2/WPA3-Personal.

   2. Fixed an issue where RT1900ac might fail to establish a connection
       after upgrading to SRM 1.2 under client mode.

   3. Fixed an issue where Synology Router might fail to access the Internet for a while
       if the connection type is Auto IP and an IP is acquired from the ISP.

   4. Fixed an issue where Port Forwarding, UPnP, and Port Triggering rules might not be displayed on the Firewall page.

   5. Fixed an issue where SRM might not work properly on RT1900ac.

[Birdy]

Lekker handig of slordig, om RT1900ac fixed issues te vermelden in de notes voor de RT2600ac 

[Babylonia]

Lekker handig of slordig, om RT1900ac fixed issues te vermelden in de notes voor de RT2600ac 

Die verschillen voor de ene of andere router heeft Synology nooit gemaakt.

Overigens heeft men een eerdere bug die ik meldde m.b.t. spellingfout niet meegenomen.

[Babylonia]

   4. Fixed an issue where Port Forwarding, UPnP, and Port Triggering rules might not be displayed on the Firewall page.

Dat werkt nog steeds niet goed, zoals ik de fout heb aangemeld en het bij de update van SRM 1.2 is geïntroduceerd.
(Ik dacht me te herinneren dat het in een "ver verleden" ook al een issue was, maar toen is gecorrigeerd).
Uit de reacties van Synology kon ik (en kan als antwoord op het ticket) al opmaken dat men het probleem niet goed begrijpt.
(De Synology employee verwijst naar een collega die er iets over had geschreven in het Engelstalige forum,
 zonder het issue zelf op te pikken en te bestuderen.)

Ter info:

Als je onderaan bij de Firewall menu de volgende settings hebt gedaan:



Zou dat effect moeten hebben op port forwarding regels, waar je eerder erboven Firewall regels met "Allow" regels hebt vastgelegd,
waarbij als het niet aan die regels voldoet, alles geblokkeerd zou moeten worden.
En dan gaat het bij port forwarding met name om de regels van WAN naar LAN

Maar dat werkt niet !!

(De "Deny" functies werken wel voor WAN naar SRM.
Dus het heeft enkel betrekking als er port forwarding regels worden gebruikt.


Ik gebruik dat bijv. specifiek voor  "regio blokking"  voor  achterliggende services.
Die laatste "Deny" regels zouden de "andere" regio's  (feitelijk alles wat niet aan de firewall regels voldoet) moeten blokkeren.

Maar er worden nu niet aan te passen extra regels erbij gezet als je een port forwarding hebt (half grijs van kleur).
Ongeacht of je er zelf reeds regels voor had aangemaakt.

Ik heb daar een tijdelijke "work-arround" voor kunnen maken, die het probleem (voorlopig) oplost.
Dat is de toevoeging van een laatste extra firewall regel onderaan je eigen regels erbij zoals hieronder gegeven.
(Die "960" aan het eind zijn het aantal "hits", en loopt al snel op.  Dus de regel werkt als zodanig).



En geplaatst "boven" die extra geplaatste "grijze" regels.

[GfS]

Zoals ik het lees, lijkt het me verstandig on even VER weg te blijven van SRM 1.2 en zijn updates voor de rt1900-ac.

Er zijn zo te zien alleen maar problemen mee, deze versie is naar mijn mening te vroeg uitgebracht.

[Babylonia]

Bij updates die relatief een grote aanpassing zijn in de basisfuncties, is het voor een gemiddelde doorsnee gebruiker altijd verstandig even te wachten.  Dat geldt doorgaans bij de meeste software.  Bij updates van bijv. nieuwe OS systemen, komen er ook nogal wat paches achteraan voordat het een beetje soepel loopt.

Er zijn altijd mensen die de verleiding niet kunnen weerstaan en het toch gaan proberen, zoals in mijn geval   
Die merken al snel waar de eventuele bottlenecks zitten.  En geven dan feedback aan Synology, wat er aan verbeterd moet worden.
Daar is de doorsnee gebruiker die later instapt dan weer bij gebaat.

Er "ver van wegblijven" lijkt me wat overdreven, als je maar weet waar je mee bezig bent.

De indruk dat het mogelijk iets te snel is geïntroduceerd heb ik ook wel.
Vanuit Synology kan ik me echter wel voorstellen dat er een "druk" achter zat om het NU op de markt te brengen.
Met ingeplande jaarlijkse "Synology Events" verspreid over de wereld, "moest" het nu op de markt gebracht worden.
Verder uitstel zou teveel financiële impact hebben in samenhang met hun nieuwe "mesh" router MR2200ac.

Bedenk dat in het verlengstuk de firmware hierbij moest aansluiten. Waarbij dit apparaat nu in de verkoop is gegaan.
De functionaliteiten van SRM 1.2 gaan door (met name vanuit de RT2600ac) tot "één geheel" met die van de MR2200ac.

Inmiddels heb ik zelf de MR2200ac (als "prijs" uit een loting), en begrijp nu heel goed dat de huidige firmware niet los gezien kan worden van de combinatie van die twee (router versus mesh apparaat). Er zijn daarbij eigenlijk pas heel recent een aantal menu's volledig veranderd.

Aanvankelijk had ikzelf mijn MR2200ac met de daarin gebruikte firmware niet geüpdate. Eerst eens eventjes "rondneuzen".
Heb daarbij bewust gekozen om geen connectie met internet te maken, alleen onderling tussen de MR2200ac en mijn PC.
Zo konden er ook geen updates worden gedaan als dat mogelijk wel (automatsich) zich zou voordoen.   
Het SRM betrof een "oer" versie SRM 1.2-7686 die niet eens bij de downloadserver van Synology te vinden is.

Het NU losse package  "Safe Acces"  maakte daarbij nog geen onderdeel vanuit.
Vond daarbij het uit versie SRM 1.1  bekende "Ouderlijk toezicht" nog terug in het hoofdmenu.

Er is bewust gekozen om die onderdelen te scheiden, omdat het in een "mesh" set-up met meerdere MR2200ac apparaten alleen zin heeft dat te gebruiken op het "basis-station" die als router wordt gebruikt. Omdat daar al het overige netwerkverkeer langs gaat.

Vandaar dat gebruikers van een MR2200ac al hebben gemeld, dat de eerste configuratie nogal wat tijd kostte.
Die gebruikten daarbij een RT2600ac om van daaruit (draadloos) de "mesh" MR2200ac aan te roepen.
Daarbij werd automatisch in de MR2200ac het oude SRM 1.2 vervangen door een jongere update,
en opnieuw gepatched naar SRM 1.2-7742 - 1
Dan ook nog het nu losse package "Safe Access" gedownload en erbij geïnstalleerd.
Dat nam bij mensen 15-20 minuten in beslag.

En ook nu vind ik in de huidige firmware nog zaken terug die binnen het gebruik van de MR2200ac als "mesh" WiFi punt, of (in mijn geval) als "Access Point", geen functie hebben. Dat werkt niet eens. (Dat werkt alleen in "router-mode", niet in Access Point mode).
Dus dat behoeft ook hier nog aanpassing, dat bepaalde menu-functies niet gaan verschijnen als je niet in "router-mode" zit.

Het betreft o.a. het instellen van een VPN Client in de MR2200ac als "Access Point".
Zonder de functies van prioriteit en "Beleidsroute" in "Smart WAN", wat alleen actief is bij router-mode, kun je er niets mee.
De Smart WAN in de hoofdrouter is er echter niet mee gekoppeld.
Zou overigens ook niet logisch zijn op twee niveaus bij verschillende apparaten dat in te moeten stellen.

Daarbij moet ik echter wel een mate van terughoudenheid betrachten omdat ikzelf alleen een RT1900ac router heb,
waarvan bekend is dat die niet volledig is geïntegreerd met de functies met die van de MR2200ac.
Misschien dat het in combinatie met een RT2600ac wel werkt??

[Birdy]

@Babylonia Wil toch even extra checken, wil m'n RT2900ac n.l. updaten naar 1.2-7742-1.
Ik heb geen enkele poort geforward en m'n Firewall ziet er zo uit:

Dus het heeft enkel betrekking als er port forwarding regels worden gebruikt.

Ik mag dus aannemen dat ik geen problemen krijg, toch ?

[Babylonia]

Geen port forwarders ingesteld krijg je geen problemen.

Het is een beetje te vergelijken met je onderste twee regels die nu niet zijn ingesteld, omdat daar geen vinkjes bijstaan.
Dat komt dan weer omdat de functie van "Externe toegang tot SRM" elders bij het "Configuratiescherm" is uitgeschakeld.

Bij port forwardig, krijg je NU daar onderaan extra regels erbij die mogelijk in tegenspraak zijn met wat jezelf hebt ingesteld.
Daar staan dan wel vinkjes bij, en die zijn niet uit te schakelen. Door die ene regel die ik benoemde toe te voegen
onder je eigen aangemaakte regels, maar boven die "half grijze" regels, is dat een methode om dat nu (voorlopig) op te lossen.

[Birdy]

Dan ga ik updaten 

[GerardR]

Geen port forwarders ingesteld krijg je geen problemen.

Ik gebruik wel poort doorsturen. Begrijp ik het goed dat ik dan beter (nog) niet kan updaten?
Overigens vind ik het met de verscheidenheid aan berichten over het instellen van de firewall op de Router 2600ac lastig om de firewall goed in te stellen.
@Babylonia wil je goed zijn om nog eens te verwijzen naar een van de berichten waar de instellingen goed staan aangegeven dan wel dit in het kort aangeven of een afdruk als advies?
Mijn dank.

[Babylonia]

De work-around / oplossing staat hierboven in de draad.

M.b.t. een Firewall en achterliggende hyperlinks met info < HIER >

Hierbij wat uitgebreider de functies besproken zoals Synology ze nu heeft geïmplementeerd.
Een invulling waarbij Synology nu een "te" bemoeizuchtige keuze oplegt wat niet jou keuze is.
Je eigen keuze wordt letterlijk overruled met die van Synology.
Waarbij je die overruling met een "trucje" dan weer ongedaan moet maken.  Heel vervelend.

In de oude situatie had ik zelf reeds firewall regels aangemaakt zoals in onderstaande afbeelding gemarkeerd met het blauwe blok 1.
In mijn geval expliciet beperkt door alleen binnen een zeer beperkte regio (Nederland) iets toe te staan (Allow).

NU plaatst Synology er automatisch nieuwe Firewall regels bij, onderaan het blauw gemarkeerde blok 2.
Dat zijn dezelfde regels als welke ikzelf reeds heb aangemaakt. Dus dubbelop.
(Als men dan automatische controles wil uitvoeren, waarom controleert men niet eerst de regels die reeds voorhanden zijn?).

Maar dat niet alleen, voor twee van de door mij beperkte regio firewall regels, wordt nu "ALL" gekozen,
en overruled daarmee mijn eigen keuze.  De door Synology aangemaakte regels zijn echter niet te bewerken of weg te halen.

De oranje omkaderde blokjes hebben specifiek betrekking op het achterliggende LAN. (Waarvoor port forwarders zijn ingesteld).

Op die situatie moet ik dan weer een trucje verzinnen om de door Synology opgelegde keus weer ongedaan te maken.
Dat gebeurt dan met de rood omkaderde regel 3. die ik onderaan mijn eigen regels zet.
Maar boven die van Synology (kan ook niet anders).

Ironisch daarbij is dat de betekenis van die extra aangevulde regel hetzelfde is als dat hele blok 4.
Met die instellingen in de oude situatie werkte dat zodanig dat alle andere regio's dan Nederland en mogelijkheden werden geblokkeerd.

Ofwel dubbelop niet logische "moeilijk makerij" door Synology om te proberen daarin alles "zo simpel mogelijk te houden" ? !
(Date hele blok 2 en 3 zijn feitelijk overbodig en zou ik het liefste helemaal weg hebben).




In de oudere firmware had je ook al zoiets dergelijks met "External Access" regels die ook voor alle regio's golden.
Die functie kon je in ieder geval nog uitzetten.  Zodat geen overbodige regels in een Firewall worden gezet.
(De eigenlijke betekenis is daarbij reeds anders, met hoe ik het ook hier als"'trucje" inzet).
Met de voorgaande nieuwe Synology firewall regels m.b.t. port forwarding kun je dat NIET uitschakelen.

[GerardR]

Dank voor je uitleg Babylonia.
Het vreemde is dat de poorten die worden doorgestuurd afzonderlijk bij de firewall regels worden vermeld.
zie bijlage

[Babylonia]

Via de support is het bij Synology inmiddels ook duidelijk dat het allemaal wat overdone is.
Dat zal wellicht in een volgende update alsnog worden gecorrigeerd.

Zal ze in mijn ticket nog eens verwijzen naar jou reactie met deze afbeelding erbij.

[GerardR]

@Birdy Even een nieuwsgierig vraagje. Waarom heb jij poort 1900 voor protocol UDP geheel dichtgezet?

[Birdy]

Naar aanleiding van mijn Topic.