Foutje bij certificaat aanmaak en ander startup problemen 1900ac

[Briolet]

Ik heb net een 2e hands 1900ac router gekocht en ben hem aan het configureren. Hij was helemaal gereset door de vorige eigenaar en ik moest eerst een nieuw account instellen.

Bij de eerste inlog gaat het al mis. Safari accepteert het certificaat niet omdat de klok niet in sync zou lopen. (wat niet zo is want de klokken op PC en router lopen gelijk) Dus eerst maar via http ingelogd. Nu zie ik dat het bestaande certificaat op 1 februari 2021 verlopen is, dus probeer ik een nieuw self-signed certificaat te maken.

In de GUI van RSM kun je geen geldigheidsduur opnemen. (In DSM ook niet). Na het aanmaken van dat certificaat wil ik inloggen en krijg weer een foutmelding. Na bekijken blijkt de 'aanmaakdatum' op 1 febr 2020 te staan en de vervaldatum op 1 febr 2021. Hetzelfde als het default certificaat dat bij initialisatie aangemaakt is. Het is wel een nieuw certificaat want mijn domeinnaam en e-mail adres staat erin.

Op DSM waren die zelf aangemaakte certificaten steeds 10 jaar geldig (Dacht ik want die in dsm zijn allen nog tot 2026 geldig). Waarschijnlijk is dit nu tot 1 jaar gereduceerd omdat browsers voor nieuwe certificaten geen certificaten meer accepteren die meer dan 13 maand geleden uitgegeven zijn. Het lijkt me dat Synology een fout gemaakt heeft bij deze aanpassing en alleen nog 'verouderde' certificaten aanmaakt. 
In DSM was er ook zo'n probleem met de zomertijd. Dan lag de aanmaakdatum in de toekomst en moest je een uur wachten voordat je hem kon gebruiken.

Voor mij geen probleem, want ik kom er wel uit. Desnoods maak ik hem via een openssl commando aan en importeer hem.

[Briolet]

Ik heb nu een CSR aangemaakt op de router en dit op de Nas laten ondertekenen met een daar aangemaakt root certificaat. Bij dat ondertekenen kun je wel zelf een geldigheidsduur in dagen opgeven.

En vervolgens in de router geïmporteerd. Nu heeft die een certificaat die gewoon vandaag ingaat en een jaar geldig is.

[Briolet]

De fout zat niet in RSM maar in de verwarrende weergave op het inlogvenster. Daar loopt een klok met de correcte tijd en datum, dus ben ik ervan uit gegaan dat de klok op de router gewoon goed stond.

Echter, ik zie net dat de systeemklok gewoon nog op 1 febr 2020 staat. En die is niet handmatig aan te passen zonder de router eerst op het internet aan te sluiten.

Blijkbaar haalt de klok in het inlogvenster de tijd uit de PC van een verbonden gebruiker en niet uit zijn eigen klok?

[Babylonia]

Omdat de router geen klok batterij heeft, wordt de tijd van een tijdserver gehaald, (zoals doorgaans bij alle routers).
Dat gaat alleen als de router met internet is verbonden.
Bij een herstart, laten de eerste logdata regels dan ook een oudere tijd/datum zien.

Dat je geen certificaat kunt ophalen, is mogelijk niet zozeer gerelateerd aan een reset van de router,
maar zou bij de vorige eigenaar nog eens even informeren of hij de router zelf uit zijn Synology account heeft gehaald?
(Het serienummer is mogelijk dan nog steeds aan diens account gekoppeld ?)
Zolang die daar nog staat aangemeld, is misschien ook nog een oude DDNS domein actief of QuickConnect?
En lopen aanmeldingen van certificaten dan ook niet correct??

Aanvragen van certificaten, als een Let's Encrypt certificaat betreft, vraag me af of die 1 jaar geldig is?
(Overigens heb ikzelf een commercieel certificaat via een hostingprovider).

Bij testen van diverse Synology routers in de afgelopen periode, en volledige reset
werd er bij mij zonder problemen direct automatisch een Let's Encript certificaat aangemaakt, bij aanmaken DDNS domein,
(maar verving die erna door mijn eigen NL domein certificaat).

[Briolet]

Het probleem in dit geval was dat de klok op het inlogvenster wel direct de correcte tijd aangaf. Daardoor kwam ik niet op het idee dat klok in de router vereerd kon staan. Pas later toen ik meer settings bekeek viel me op dat de klok bij de systeemsettings een veel oudere tijd aangaf.

Let's Encrypt is hier niet nodig omdat de webpagina toch alleen intern gebruikt gaat worden. ddns is hier niet nodig omdat dit al door de nas gedaan wordt.

Inmiddels heb ik de tientallen IP reserveringen, forwards en andere instellingen uit mijn Apple airport overgenomen in de 1900ac. Als het komend weekend wat rustiger is zal ik de routers omwisselen. Als ik geen fouten gemaakt heb, ligt mijn netwerk en dan minder dan 1 minuut uit en werkt alles direct weer als voorheen.

[Babylonia]

Het probleem in dit geval was dat de klok op het inlogvenster wel direct de correcte tijd aangaf.

Ah, nu snap ik wat je bedoelt.   
Het webvenster van de gebruikersinterface in een browser.  Die laat inderdaad de tijd zien van de gebruiker die probeert in te loggen.
Ofwel plaatselijke tijd gekoppeld aan die van de computer waarop de actie wordt uitgevoerd.

Verschillende gebruikers mogelijk verspreid over enkele landen / regio's met verschillende tijdzone's zien de voor hen geldende tijd.
(De router heeft "mini NAS" functionaliteiten als je er een USB-drive aan hangt).

Je kunt ook de taal-instellingen aanpassen "per gebruiker" of afhankelijk van de taal-instelling van de computer.
Vergelijkbaar met instellingen van een NAS.

Als tip om te onthouden:
Mocht je tweestaps verificatie gebruiken, is de juiste tijd in de router belangrijk, anders kom je er niet in.

[Briolet]

Die tip/waarschuwing kreeg je inderdaad als je tweetraps verificatie wilt activeren terwijl er geen contact is met een tijdserver. Die tweetraps verificatie heb ik dus uitgelaten.

De router loopt inmiddels wel op tijd omdat ik hem een minuutje aan het internet gehangen heb. Aan mijn airport hangt nu een USB drive met een Time Machine backup. Ik verwacht dat ik deze drive niet zo kan omzetten naar de 1900ac. Ook niet erg want de PC die daar heen schrijft, heeft nog andere backup doelen. Ik zal die drive opnieuw inrichten.
Of worden er geen shares gemaakt en werkt de drive als een USB drive bij de NAS? Dit laatste leek me logisch, maar de help heeft het over het maken van gedeelde mappen.

Ik las tegenstrijdige info in de help over het formatteren van de HDD. Op één plek staat dat hij de externe drive alleen ext4 en fat kan formateren. Op een andere plek staat dat hij schijven kleiner dat 1 GB als ext3 formateert. Dus dat ondersteunt hij ook. Dit uitproberen wordt een leuk klusje voor dit weekend. Ik denk dat hij nu HFS+ geformatteerd is en dat ondersteunt de 1900ac ook. Misschien het beste zo laten zodat ik hem ook via de mac kan uitlezen.

[Babylonia]

De router loopt inmiddels wel op tijd omdat ik hem een minuutje aan het internet gehangen heb.

Mocht er verschil zijn of een twijfel, kun je bij   "Control Panel " ----> System ---->  Regional Options   daar de tijd updaten.

Via een USB-HUB heb ik heel lang twee 2.5" drives aangesloten gehad op de RT1900ac. (Het RT2600ac model heeft twee USB poortjes).
Altijd gewoon in de standaard formattering zoals ze zijn gekocht of onder een Windows PC zijn geformatteerd.
Onder die twee drives één Seagate Backup Plus 4TB  met zowel Windows als Apple Mac benadering (zo uit de winkel).

Heb dat standaard zo gelaten, maar weet niet of data onder het Apple OS dan ook gemakkelijk te benaderen is,
als je die eens loskoppelt en aan een Apple hangt? (Nooit geprobeerd).
Ik kan de drive loskoppelen - eject gebruiken (om netjes af te sluiten) !!  En zo aan een PC hangen.

Je kunt onder de SRM interface "shares" aanmaken. Op een meer eenvoudige wijze en met minder opties dan bij een NAS.
Maar je kunt er ook voor kiezen als "admin" (maak een andere gebruiker aan met admin rechten),
ook toegang te hebben tot alle data op een HD.

De rechten en indeling wordt gewoon op de HD zelf bewaart (in een mini SQL database).
Dus als je die afkoppelt, en later weer terug hangt, klopt alles weer.

Een SD-kaartje gebruik ik om alle systeem logfiles e.d. op weg te laten schrijven.
Een snel kaartje 32 Gb (of kleiner) die je in ieder geval gewoon in FAT32 formaat kunt gebruiken.
Werkt eigenlijk ook het meest safe.

Het package "Threat Prevention" is eigenlijk te zwaar voor een RT1900ac, en neemt nogal wat bronnen in beslag.
Dus dat heb ik helemaal niet geïnstalleerd.  Safe Acces is voor mij voldoende. (Standaard al geïnstalleerd).

[Briolet]

Ik heb de 1900ac gisteren met de USB drive eraan opgestart. Mij viel op dat er twee usb shares gekoppeld worden. Blijkbaar maakt de mac twee partities, maar laat de kleinste van 250MB, die in een fat formaat is, nooit zien op een mac. De grote partitie is in HFS+.

Bij het instellen van de grote HFS+ partitie als Time Machine doel, viel me een probleem op. Om te voorkomen dat Time Machine zo'n hele drive gaat gebruiken moet je een user gebruiken met een beperkt quotum. Echter, na aanmaken van een speciale gebruiker voor de backuptaak, vind ik geen optie om een quotum in te stellen. Dat is jammer.

Ik  heb de drive nu weer aan een mac hangen en verdeel de grote partitie in twee kleine partities. Dan gebruik ik één partitie als Time Machine doel. Ik heb gemerkt dat je dat goed kun instellen op de router. Effectief betekent dat , dat je maar één mac zijn backup daar naar toe kunt laten sturen. (Voor mij goed genoeg).

------

Om Wifi op de router werkend te krijgen moest ik nog een klein hobbeltje nemen. Ik had hem op enterprise mode staan, net als de airport. In de radius server op mijn nas zijn de IP adressen gedefinieerd van de apparaten die er gebruik van mogen maken. Bij de airport moest ik daar gek genoeg het WAN IP definieren. Bij de 1900ac moest ik dat veranderen in het LAN IP. (Wat ik veel logischer vind)

----

Ik had ook LDAP op de router aangezet. Bij een nas hoef je daar geen accountgegevens in te vullen. Bij de router moest ik de accountgegevens van een administrator opgeven. Dat suggereert dat de router standaard de hele LDAP database naar de router haalt, zodat hij ook kan authentiseren als er geen verbinding is met de LDAP server.
Op de nas is dat aanleggen van een kopie van de database een geheel extra functie die in het apart te installeren pakket van de LDAP server zit.

[Babylonia]

Zelf gebruik ik geen specifieke Apple / Mac functies met de router.
(Hooguit de vinkjes bij "Bestandsservices" om een HD drive ook via een Apple te kunnen benaderen).
Evenmin een radius server (zou je overigens ook als package op de router kunnen installeren).

Dus datgene wat je vertelt is voor mij allemaal nieuw 

Geeft zo wel weer een breder inzicht, wat er allemaal wel- of niet mee kan. 

Gaandeweg zul je nog wel meer "eigenzinnige" benaderingen en routerfuncties ontdekken.

[Briolet]

De radius server op de router installeren klinkt logisch, maar bevat een paar haken en ogen.

De radius server kijkt namelijk naar de accounts die op datzelfde apparaat staan. Voor iedereen die op de nas werkt via Wifi, moet je dan ook een account op de router maken. Daar kwam ik achter toen ik de radius server ook op mijn 2e nas wilde zetten. De airports ondersteunen twee radiusservers, dus leek het me handig een backup server te hebben. Maar dat werkt dus niet als je de accounts niet kunt synchroniseren tussen apparaten.

Als ik alles opnieuw zou inrichten, zou ik alles via LDAP doen. Op die manier beheer je de accounts op één apparaat en vervolgens werken die accounts op al je nassen/routers.
Op dit moment heb ik LDAP alleen nog maar als 'speelgoed' in gebruik.

[Briolet]

Evenmin een radius server (zou je overigens ook als package op de router kunnen installeren).

Vanwege problemen met de radius server heb ik hem ook eens op de router geïnstalleerd. (Het probleem werd niet verholpen).

Mij viel wel een minpunt op bij gebruik op de Router. Op de Nas heb je checkboxen voor de accounts die meegenomen worden. Ik heb hem daar op "locale accounts en LDAP accounts" gezet:
Op de router zijn het plots radiobuttons en moet je een keuze maken. "locale accounts of LDAP accounts" 

Ik zie niet in waarom je op de nas wel beide mag gebruiken en op de router niet. Het lijkt me geen functie die de router zwaar belast.

[Babylonia]

Géén idee, nooit gebruikt. 
Ik denk dat jezelf een van de weinige bent die een radius server gebruikt en daarmee "ervaringsdeskundige". 
Iets om in het achterhoofd te houden als mensen specifiek daar vragen over hebben.

Met de verschillen die je opmerkt, het zou ook nog best kunnen dat er kleine verschillen zijn tussen een RT1900ac en een RT2600ac ?
De firmware versies en mogelijkheden lopen beslist niet op alle onderdelen gelijk in de verschillende router modellen.
De RT1900ac heeft ten slotte de oudste hardware samenstelling.

[Briolet]

Van de forum bezoekers weet ik alleen van Robert Koopman dat hij deze radius server gebruikt. Ik zal later een verslag van de problemen plaatsen onder het radiusserver pakket ter ondersteuning van anderen die hier mischien ook eens tegen aan lopen.

Het is een heel hinderlijk probleem dat mede door de Synology router veroorzaakt lijkt te worden. Ik verbind met mijn Airport, maar via een Wireshark dump zag ik dat mijn laptop ook her-autenticaties uitvoert met de synology router, waar ik op dat moment helemaal niet mee verbonden ben.

Dat bracht mij op het idee om de Wifi op de router uit te zetten en het probleem lijkt over. Dat is nog niet de definitieve oplossing, maar geeft wel de richting van het probleem aan.

[Robert Koopman]

Ik gebruik inderdaad de Radius Server.
Thuis gaat inloggen op drie verschillende NASsen dus eenvoudig.
Toegang tot het WiFi netwerk gaat alleen als je dus ook toegang hebt tot de NAS.
En dat werkt met LDAP toch?
Ook op een remote locatie loggen mijn gebruikers daar in.
En zelfs als de verbinding tussen beide locaties er even niet is werkt dat omdat er een of andere backup van die Radius Server actief is.
Hoe een en ander nu ook alweer precies in elkaar steekt weet ik zo niet meer.
Hebben we jaren geleden ingesteld en kijken er nooit meer naar om.

Alleen vorig jaar even een hik met de Mail Server, die kende opeens de LDAP gebruikers niet meer.
Mail uitgeweken op de NAS op de andere locatie omdat die nog op een oudere DSM stond.
Inmiddels is dat probleem opgelost door Synology met een update maar de Mail werkt nog altijd via die locatie.
En daar merk je als gebruiker werkelijk niets.