NAS (Synology) isoleren van intern netwerk

[Verwijderd]

Graag ontvang ik jullie hulp of verwijzing naar informatie om het onderstaande op te lossen.

Mijn vraag
- Kan ik een geïsoleerde netwerkomgeving opzetten voor een (Synology) NAS? Zodat deze wel bereikbaar is via het internet, maar geen mogelijkheid/deur geeft naar het interne netwerk. Is dit een gekke gedachten? Zo niet, hoe realiseer ik dit?

Relevante software en hardware die ik gebruik
- Synology achter Ziggo modem en Netgear AP/Router

Wat ik al gevonden of geprobeerd heb
- Mijn huidige NAS (DS114) draait naar tevredenheid binnen mijn thuisnetwerk.
- Heb eerder de Synology Photo Station extern toegankelijk gemaakt, door het forwarden van port 80 op de router.
- Omdat ik ook documenten op de NAS heb staan (wel in encrypted volumes, maar toch) die ik wil afschermen en twijfelde over de beveiliging heb ik het forwarden stopgezet.

Mijn gedachten
- Huidige Synology vervangen door een 2-bay, en deze enkel voor privé bestanden binnen het thuisnetwerk te houden;
- Vervolgens de huidige Synology als cloud en photo schijf te gebruiken, binnen een geïsoleerd deel van het netwerk.

Ben niet onhandig, maar ben vooral benieuwd naar jullie ideeën en suggesties!

Dank, Co

[HKLM_]

Dit zou je met vlans kunnen doen.

Wikipedia: Virtual LAN

[ Voor 56% gewijzigd door HKLM_ op 15-11-2016 18:42 ]

[RGAT]

Grote kans dat je Ziggo router geen VLANS ondersteunt...
Misschien dat je er wel regels in kan stellen om verkeer tussen de NAS en de rest van je interne netwerk te voorkomen in de firewall.
Anders kan je een VPN opzetten en van buitenaf de NAS niet toegankelijk maken, dan verbinden met VPN en via de VPN als 'lokale' client de NAS gebruiken?

[wagenveld]

Zolang je niet alles onder dezelfde (builtin) gebruiker draait heb je niet zo'n groot probleem met alles op 1 NAS hoor. Volg https://www.synology.com/...rity_to_your_Synology_NAS
Als je dat nog niet had gedaan.

[Trommelrem]

Kan zonder VLAN's: Firewall van je Synology instellen om je eigen /24 te blokkeren en om je publieke /32, /30 of /29 te blokkeren.

Advies: Gebruik niet poort 80. De boete kan oplopen tot 820.000 euro.

[BluRay]

Trommelrem schreef op dinsdag 15 november 2016 @ 19:39:
Advies: Gebruik niet poort 80. De boete kan oplopen tot 820.000 euro.

Hu wat? Kan je dit uitleggen het gaat hier volgens mij om privé gebruik. Sinds wanneer moet je bij privé gebruik datalekken melden?

Van de website die je linkt: de Wbp is niet van toepassing op de verwerking van persoonsgegevens voor uitsluitend persoonlijke of huishoudelijke doeleinden.

[ Voor 17% gewijzigd door BluRay op 15-11-2016 20:05 ]

[Trommelrem]

Eén zakelijke file is snel gebeurd

[BluRay]

Trommelrem schreef op dinsdag 15 november 2016 @ 20:11:
Eén zakelijke file is snel gebeurd

Op die manier. Maar goed, maakt dan natuurlijk niet uit of het op poort 80 draait of op poort xx. Als ze er op poort 80 in kunnen komen omdat de software lek is, kan dat ook op poort 1032. Wel kan ik TS aanraden om gebruik te gaan maken van certificaten om het verkeer te beveiligen.

[DukeBox]

Verwijderd schreef op dinsdag 15 november 2016 @ 18:35:
Mijn vraag
- Kan ik een geïsoleerde netwerkomgeving opzetten voor een (Synology) NAS? Zodat deze wel bereikbaar is via het internet, maar geen mogelijkheid/deur geeft naar het interne netwerk. Is dit een gekke gedachten? Zo niet, hoe realiseer ik dit?

Dat is eigenlijk dé definitie van een DMZ. Mag geen probleem zijn voor de betere firewalls.

[ Voor 5% gewijzigd door DukeBox op 15-11-2016 20:17 ]

[Twanne]

DukeBox schreef op dinsdag 15 november 2016 @ 20:16:
[...]

Dat is eigenlijk dé definitie van een DMZ. Mag geen probleem zijn voor de betere firewalls.

Dat was ik ook aan het denken, en de meeste routers ondersteunen dit wel. Ook de basic modellen van de ISP's.

Kijk anders een op de website van Ziggo of neem contact op met hun klantendienst (best wat doorvragen om geen eerstelijns technieker te krijgen, toch zeker als die dezelfde technische kennis hebben als bij Telenet )

[Trommelrem]

Twanne schreef op woensdag 16 november 2016 @ 10:01:
[...]


Dat was ik ook aan het denken, en de meeste routers ondersteunen dit wel. Ook de basic modellen van de ISP's.

Niet op de manier zoals het hoort. DMZ is een beetje een misleidende naam op de consumer routers.