NASje beschikbaar vanaf buiten, maar toch goed afschermen.

[Scorp]

Hi allemaal.

Sindskort heb ik een NASje staan en ik wil deze graag voor mezelf beschikbaar maken voor wanneer ik op pad ben. De NAS draait verschillende services, waaronder SABnzbd, NAS-dashboard, Webserver en de FTP. De webserver kan gewoon op poort 80 doorgestuurd worden en zo staat hij nu ook.

Mijn vraag voor dit forum luidt:
Hoe stel ik dit zó in dat alles wel goed is afgeschermd.

Bevordert het de beveiliging door niet de gebruikelijke poorten te gebruiken?
Bijvoorbeeld FTP, dashBoard en SABnzbd. Ik heb een random poortnummer gepakt.:
FTP:9000 ........... => Router/modemOuders => 9000 > mijnRouter > 21 => NAS
dashBoard:9001.. => Router/modemOuders => 9001 > mijnRouter > 5000 => NAS
SABnzbd:9002 ... => Router/modemOuders => 9002 > mijnRouter > 9200 => NAS

Is dit verstandig? Of is het met een simpele PortScan o.i.d. al heel simpel omzeilt en dus niet effectief? Kan dit anders? De individuele services zullen uiteraard wel beveiligd zijn met een wachtwoord.

[magiel]

Een willekeurige poort pakken als beveiliging is 'security through obscurity'. Iemand die echt wil vindt de services heus wel.

Mogelijke oplossing is het niet open zetten van de services maar iets van een VPN service gaan draaien op je NAS.

Als ik het zo zie heb je een DS209j+. Een snelle Google leert mij dat OpenVPN hier op valt te draaien.

[ Voor 17% gewijzigd door magiel op 29-05-2012 22:17 ]

[Scorp]

Oké, Bedankt! Ik heb vanavond al erg veel geleerd over VPN.
(Oh mensen hoe spijtig is het gesteld met ons onderwijs... Afrondende fase van MBO ICT opleiding en ik heb nooit wat over VPN gehoord..)

De grootste HickUp vind ik hier dat je ten alle tijde ook een cliënt-vpn nodig hebt. Terwijl ik desnoods ook wanneer ik bij m'n vriendin thuis zit even snel via haar PC m'n files kan benaderen. Of school. Of werk.
And then; kan dit werken via een webInterface?

Een optimale situatie zou zijn dat ik mijn eigen dashBoardje kan bouwen (PHP) die d.m.v. een iFrame(-alternatief?) de NAS-interface en SABnzbd kan benaderen. en dat authenticatie via mijn eigen dashBoard gaat.
En dat alléén via dit dashBoard deze schermen benaderbaar zijn.

Is dit te realiseren via VPN?

[lier]

Scorp schreef op woensdag 30 mei 2012 @ 00:01:
Oké, Bedankt! Ik heb vanavond al erg veel geleerd over VPN.
(Oh mensen hoe spijtig is het gesteld met ons onderwijs... Afrondende fase van MBO ICT opleiding en ik heb nooit wat over VPN gehoord..)

De grootste HickUp vind ik hier dat je ten alle tijde ook een cliënt-vpn nodig hebt. Terwijl ik desnoods ook wanneer ik bij m'n vriendin thuis zit even snel via haar PC m'n files kan benaderen. Of school. Of werk.
And then; kan dit werken via een webInterface?

Een optimale situatie zou zijn dat ik mijn eigen dashBoardje kan bouwen (PHP) die d.m.v. een iFrame(-alternatief?) de NAS-interface en SABnzbd kan benaderen. en dat authenticatie via mijn eigen dashBoard gaat.
En dat alléén via dit dashBoard deze schermen benaderbaar zijn.

Is dit te realiseren via VPN?

Ik denk dat je misschien toch nog even verder moet lezen over VPN. Overigens hebben de meeste OSen echt wel een standaard VPN client ingebouwd.

Wat je hierboven beschrijft is het bouwen van een website en dat staat geheel los van een protocol.

[dion_b]

Wat ik doe, dat veel simpeler werkt dan een VPN, is met SSH de boel bedienen. Als je SABnzbd draait ga ik ervan uit dat je Linux gebruikt; iedere moderne distro heeft een sshd aan boord (bijv Ubuntu: sudo apt-get install openssh-server).

SSH clients zitten standaard in alle moderne OSsen muv Windows, en daarvoor heb je PuTTY, een appje van 472kB die verder niet kloot met je internetverbinding zoals VPN's dat doen.

Je hebt ook maar één open poort nodig, en je kunt dmv sshfs/sftp/scp ook bestanden kopieren (en veiliger dan via FTP, want alles is met SSH versleuteld).

Enig 'nadeel' is dat dat je in beginsel vastzit aan CLI (je kunt wel X over SSH doen, maar dat is a) moddertraag en b) toch niet wat je hier wilt). IMHO geen nadeel maar voordeel, kan zijn dat je daar anders over denkt.

Alternatief dat helemaal goed werkt is https, dan ga je versteuteld browsen. Nadeel is dat je daarvoor certificaten nodig hebt, en die vergen enige administratie...

[Scorp]

Woaw, dat is veel mind-blowing informatie. Ik zal er even in duiken dit weekend.
Weet je toevallig een goeie research/informatieve site/tutorial die me hier bij kan helpen en die ik rustig kan nalezen, dion_b?

[ Voor 16% gewijzigd door Scorp op 30-05-2012 17:24 ]

[dion_b]

Klopt m'n aanname dat je Linux draait op je server?

Zo ja, welke distro?
Zo nee, wat dan?

Op zich maakt het weinig uit voor hoe het fundamenteel werkt, maar scheelt nogal welke tutorial/info het handigst voor je is

[Rmg]

Sabnzbd proxy ik door via mijn webserver. : http://wiki.sabnzbd.org/howto-apache

Voor het dashboard zou ik dat ook doen (aannemende dat dit ook een webbased dash is).

Dan kan je namelijk de ingebouwde authenticatie van je webserver gebruiken en ook HTTPS als je wilt

FTP zou ik persoonlijk niet gebruiken. Ik gebruik daarvoor SSH/SCP met een goed wachtwoord of keyfiles

[ Voor 3% gewijzigd door Rmg op 31-05-2012 10:56 ]

[Scorp]

Ik heb een Synology NAS (DS209+). Deze draait op een gecustomizde versie van Linux met DSM 4.0. Hij beschikt over een eigen webserver-package. Lijkt me gewoon ook Apache.. toch?

[dion_b]

Voila:
http://forum.synology.com...he_Command_Line_Interface
http://forum.synology.com...ynology_Box_using_the_CLI

Had je trouwens zelf makkelijk kunnen vinden, eerste twee hits op "SSH synology"