HTTPS op NAS

[sammie27]

Beste mede-tweakers,

ik ben sinds een paar maanden in het bezit van een synology ds214play. alles werkt fantastisch, ook de quickconnect functie waarmee de NAS vanaf internet bereikbaar is. nu lijkt mij dit niet ontzettend veilig zonder HTTPS en SSL certificaat dus heb ik zitten googlen.

ik kom zo ver dat er een domein naam beschikbaar moet zijn en deze het verkeer moet doorsturen naar je NAS, voor dit domein kan vervolgens een SSL certificaat worden aangevraagd.

hoef ik dit domein nou slechts te registreren of gaat al mijn verkeer over het domein heen en moet ik dus een behoorlijk pakket aanschaffen (onbeperkt dataverkeer)?

excuses als deze vraag onder de verkeerde categorie valt, ik zat te twijfelen tussen 'hosting' en 'netwerken'.

Alvast dank!

[Compizfox]

Je moet een domein hebben en je moet het domein dan ook daadwerkelijk gebruiken voor HTTPS. Als je de NAS bezoekt dmv het IP-adres of via een ander domein zal je beveiligingswaarschuwingen krijgen.

Echter lijkt het me alsof je de werking van een domein niet echt helemaal begrijpt. De domeinnaam 'stuurt geen verkeer door', er gaat geen data 'over het domein heen' en je hoeft dus de domain registrar niet te betalen voor dataverkeer.

Een domeinnaam is enkel een naam die je aan een IP-adres hangt. Ook met een domeinnaam gaat al het verkeer direct naar je server.

[ Voor 24% gewijzigd door Compizfox op 31-07-2014 19:10 ]

[D4NG3R]

Het staat netjes uitegelegd op de website van Synology iets waar ik met een minuutje google al op stuite:
https://www.synology.com/en-global/support/tutorials/464

ze refereren daarbij naar StartSSL waar je blijkbaar een SSL certificaat kan krijgen welke gratis is, het nadeel is dat je deze jaarlijks zult moeten verversen: https://www.startssl.com/

[ Voor 36% gewijzigd door D4NG3R op 31-07-2014 19:08 ]

[Compizfox]

D4NG3R schreef op donderdag 31 juli 2014 @ 19:06:
ze refereren daarbij naar StartSSL waar je blijkbaar een SSL certificaat kan krijgen welke gratis is, het nadeel is dat je deze jaarlijks zult moeten verversen: https://www.startssl.com/

Da's niet het grootste nadeel. Ik heb zelf ook 3 gratis certificaten bij StartSSL en het werkt prima. Ik was zelf van plan een wildcardcertificaat bij ze aan te schaffen, maar ben daar na het Heartbleed-debakel niet meer zo zeker van. Voor als je het niet hebt meegekregen: na Heartbleed liet elke certificaatauthoriteit klanten (zo als het hoort) private keys gratis revoken, aangezien die mogelijk compromised waren. StartSSL was eigenlijk de enige die daar een bedrag voor eiste, wat resulteerde in dat het merendeel van de klanten hun (mogelijk compromised) certificaten niet niet introkken. Dat zorgde er weer voor dat op zijn beurt eigenlijk de hele StartSSL-certificaatauthoriteit zijn waarde verloor. De taak van een certificaatauthoriteit is immers om de authenticiteit van websites te bevestigen; een taak die ze eigenlijk niet konden uitvoeren op die manier. Binnen o.a. Mozilla zijn er toen hele discussies geweest om de StartSSL rootcertificaten uit de truststore te verwijderen, iets wat (zover ik weet) uiteindelijk toch niet is gebeurd.

Maar ik moet ze wel nageven: ze zijn stukken goedkoper dan de rest

[D4NG3R]

Mwhah verwacht jij dat de TS zo'n interessant doelwit is? Die certificaten bieden iig meer veiligheid als open en bloot je content neergooien zoals het standaard gebeurt. Niet elke nitwit kan er zomaar bij komen, en iemand die de kennis er wel voor heeft gaat denk ik niet achter een random consument aan.

Edit: Ik was er trouwens niet bekend mee dat StartSSL er zo achterlijk mee om is gegaan .

[ Voor 13% gewijzigd door D4NG3R op 31-07-2014 19:24 ]

[sammie27]

het artikel van Syonolgy heb ik zeker gelezen! het ging mij om de registratie van een domein (welk pakket moet ik nemen) en ik begrijp dus dat het inderdaad om enkel de registratie gaat.

dank voor jullie antwoorden

[Compizfox]

D4NG3R schreef op donderdag 31 juli 2014 @ 19:24:
Mwhah verwacht jij dat de TS zo'n interessant doelwit is? Die certificaten bieden iig meer veiligheid als open en bloot je content neergooien zoals het standaard gebeurt. Niet elke nitwit kan er zomaar bij komen, en iemand die de kennis er wel voor heeft gaat denk ik niet achter een random consument aan.

Daar gaat het ook niet om. De certificaten die je NU aanvraagt zijn even sterk als alle andere, en ik probeer ook niet anders te zeggen.

Maar ik probeerde juist eventjes uit te leggen hoe achterlijk StartSSL kan zijn als certificaatautoriteit. Toch handig om te weten.

sammie27 schreef op donderdag 31 juli 2014 @ 19:26:
het artikel van Syonolgy heb ik zeker gelezen! het ging mij om de registratie van een domein (welk pakket moet ik nemen) en ik begrijp dus dat het inderdaad om enkel de registratie gaat.

dank voor jullie antwoorden

Je hoeft niet eens een pakket te nemen

Vaak zie je hosting + domeinnaam in één pakket, maar dat heb jij dus niet nodig. Enkel een domeinnaam is genoeg, geen pakket dus.

Ik kan TransIP aanraden trouwens

[ Voor 28% gewijzigd door Compizfox op 31-07-2014 19:28 ]

[Anoniem: 26306]

Als je de NAS alleen zelf gebruikt gebruik je natuurlijk een self-signed certificaat of een eigen CA.
Certificaten koop je als je publieke services hebt, die dus gebruikt kunnen worden door iedereen.

[D4NG3R]

sammie27 schreef op donderdag 31 juli 2014 @ 19:26:
het artikel van Syonolgy heb ik zeker gelezen! het ging mij om de registratie van een domein (welk pakket moet ik nemen) en ik begrijp dus dat het inderdaad om enkel de registratie gaat.

dank voor jullie antwoorden

Gewoon een gratis SSL certificaat van StartSSL pakken dus .

[Compizfox]

Anoniem: 26306 schreef op donderdag 31 juli 2014 @ 19:28:
Als je de NAS alleen zelf gebruikt gebruik je natuurlijk een self-signed certificaat of een eigen CA.
Certificaten koop je als je publieke services hebt, die dus gebruikt kunnen worden door iedereen.

True, maar dan moet je wel weten hoe PKI/SSL werkt en hoe je er dus mee om moet gaan. Dat betekent: vanaf elke nieuwe plek public keys (of checksums daarvan oid) checken. Eigenlijk hetzelfde als hoe je met SSH public keys omgaat.

[sammie27]

het is grotendeels gelukt! ik heb een domein geregistreerd en de DNS laten verwijzen naar mijn thuisnetwerk. ook is het SSL certificaat in de nas geïmporteerd

het enige waar ik nu nog tegen aan loop: als ik naar www.mijndomein.nl ga vanaf mijn eigen pc komt deze keurig uit op mijn NAS. als ik echter een Pc gebruik die buiten mijn thuisnetwerk staat is www.meijndomein.nl niet bereikbaar. port forwarding staat aan voor poort 80 5000 en 5001.

iemand ideeën?

[Mijzelf]

Poort 443 forwarden

[Compizfox]

^ Dit.

HTTPS gebruikt poort 443 ipv poort 80.

[sammie27]

pff, stom van me! dankjewel wederom een technisch probleem thuis kunnen oplossen met dank aan de tweakers gebruikers!