Hulp gevraagd bij welke poorten open te zetten voor Synology

[Anoniem: 600543]

In de knowledgebase van Synology staat netjes welke poorten je moet openzetten en forwarden voor welke applicatie. Dus heb ik netjes volgens die lijst elke poort geforward die nodig is voor een bepaalde applicatie/doel.

Alleen vraag ik me af: hoe safe is dit?

Voorbeelden:

• Soms komt het op mij over alsof het weleens wat veel poorten. Zo staat er bijvoorbeeld voor Video Station: 1900 (UDP), 5000 (HTTP), 5001 (HTTPS), 9025-9040, 5002, 5004, 65001 (for using the HDHomeRun network tuner)
• Ik heb weleens gelezen dat iemand er niet van droomde poorten 5000 en 5001 open te zetten vanwege de veiligheid. Alleen heb ik geen idee waarom.

Ik weet niet heel veel van deze technologie af. Maar kan iemand me toch vertellen welke poorten relatief veilig zijn om geforward te worden naar mijn Synology? Ik gebruik gewoon de DSM, video station, photo station en audio station (met bijbehorende apps) en ds cloud en ds file?

En zijn er nog andere manieren om de boel een beetje veilig te maken? (Firewal in de router staat op hoogste niveau.)

Dank!

[Thralas]

Je kunt het beste het ding helemaal niet 'open' aan het internet hangen. Dat betekent dus dat je een VPN naar je thuisnetwerk dient op te zetten en vanuit daar de NAS kunt benaderen.

Synology heeft daarnaast een ontzettend slechte security track record, waarbij alles dat ze zelfs hebben geschreven (die webinterface bijvoorbeeld, dus idd. 5000/5001) waarschijnlijk nog het gevaarlijkst is.

Zo werd er een jaar geleden gebruik gemaakt van een unauthenticated remote code execution vulnerability (ik meen in de webinterface) om Synalogy NAS'en die aan het internet hingen te voorzien van een ransomware 'cryptolocker'.

Bottom line: vanuit securityperspectief is dat hele Synology rommel, hoe goed het ook mag functioneren voor de eindgebruiker.

Ironisch genoeg shipped Synology volgens mij dan wel weer een VPN server. Maargoed, een (OpenVPN?) poort open levert al stukken minder attack surface op dan 5+ inclusief die webinterface.

[Ben(V)]

Beetje kort door de bocht veroordeling van Synology.
Als je dezelfde criteria voor windows zou aanhouden zou dat helemaal crap zijn.
Er zijn heel wat meer gelukte "cracks" van windows gemeld inclusief een hele range van cryptolocker varianten.

Nu even to the point, al die poorten moet je helemaal niet openzetten.
Dat doe je alleen als je desbetreffende poort vanaf het internet wilt benaderen en voor het overgrote deel wil je dat waarschijnlijk helemaal niet.

Met name het openzetten van de management interface (poort 5000 of 5001) kun je beter niet doen als het niet echt nodig is.
Verder heeft DSM een prima firewall waarin je bijvoorbeeld de toegang via een poort kunt beperken tot bepaalde ipadressen.

Over het algemeen geld voor alle portforwarding in je router dat het voor die poort de eerste verdedeging (NAT) uitgeschakeld wordt.
Dit maakt niet uit of dat je Nas, je PC of iets anders is

[Anoniem: 600543]

Bedankt Ben!

[lier]

Waarom kies je er niet voor om de Synology als VPN server in te zetten?

[Anoniem: 600543]

Uhm, dat klikt wel goed. Maar ik weet niet zo goed wat ik dan kan. Gewoon inloggen op mijn Synology via VPN?

Hoe zet ik dat op? En wat gebruik ik dan aan de client-kant?

Heb je wellicht een link voor me?

[ Voor 38% gewijzigd door Anoniem: 600543 op 10-05-2015 19:55 ]

[Ben(V)]

https://www.synology.com/nl-nl/knowledgebase/tutorials/592

[2dehans]

Tjonge... gaat EINDELIJK het licht branden in mijn bovenkamer...

Ik altijd die poorten geforward op mijn router.
Nu "enkel" de VPN poorten geforward.
VPN tunnel opgezet en dan kan ik met mijn NAS ip 192.168.x.x. gewoon via de synoloy DS apps inloggen.
Werkelijk... super grappig

Thxs voor de tip.