Synology DDNS alleen via LAN bereikbaar

[SuperCrisz]

Ik ben van KPN naar Ziggo overgestapt, en dat betekent dat je e.e.a. qua poorten weer goed moet zetten om te zorgen dat de Synology NAS weer bereikbaar is van buitenaf. Ik gebruik hier DDNS voor met een synology.me domain.

Nu heb ik echt alle instellingen goed gezet dacht ik, maar nog steeds is de synology niet bereikbaar van buitenaf via https://domein.synology.me:5001. Als ik dit doe binnen mijn netwerk lukt het wél. De DDNS service geeft een actieve heartbeat, zowel op de DSM alsook op de DDNS accountpagina. Hieronder wat screenshots van de instellingen.

De Synology heeft een vast ip adres: 192.168.178.25.
Het externe ip-adres dat je moet aangeven bij de DDNS settings heb ik zwart gemaakt, maar ga er van uit dat dit ip-adres klopt. Al 100x gecheckt via https://www.ip-adres.nl/

Kan iemand herleiden wat hier fout gaat? Of iig een stap in de goede richting geven? Mijn dank is groot


Routerconfig in DSM


Portforwarding rules in de Ziggo modem


Firewall instellingen Ziggo modem (firewall in Synology staat uit)


DDNS instellingen (hier zie je dat status OK is)


DDNS instellingen geavanceeerd. Hostnaam is hier het publieke externe IP adres.


Instellingen voor de DSM login portal

[Christoxz]

Wat is de uitkomst als je https://xxxx.synology.me:5001 pingt lokaal en extern?

[MikeyMan]

Maar, wat heb je in je router ingesteld?

[SuperCrisz]

Christoxz schreef op vrijdag 4 november 2022 @ 15:49:
Wat is de uitkomst als je https://xxxx.synology.me:5001 pingt lokaal en extern?

zowel intern als extern:

code:

Ping request could not find host https://xxxx.synology.me:5001. Please check the name and try again.

[SuperCrisz]

MikeyMan schreef op vrijdag 4 november 2022 @ 15:50:
Maar, wat heb je in je router ingesteld?

zie de portforwarding instellingen van de router in de 2e afbeelding

[Christoxz]

SuperCrisz schreef op vrijdag 4 november 2022 @ 15:54:
[...]


zowel intern als extern:

code:

Ping request could not find host https://xxxx.synology.me:5001. Please check the name and try again.

Sorry foutje, uiteraard zonder protocol & poort.

`ping xxxx.synology.me`
En de Xjes, jouw alias/id

[ Voor 3% gewijzigd door Christoxz op 04-11-2022 15:56 ]

[MikeyMan]

SuperCrisz schreef op vrijdag 4 november 2022 @ 15:55:
[...]


zie de portforwarding instellingen van de router in de 2e afbeelding

Excuus, zag eruit als ook een DSM forwarding.

Er staat automatisch toegevoegd, kun je die ook handmatig nog toevoegen?

[SuperCrisz]

Christoxz schreef op vrijdag 4 november 2022 @ 15:56:
[...]


Sorry foutje, uiteraard zonder protocol & poort.

`ping xxxx.synology.me`
En de Xjes, jouw alias/id

Intern: Krijg ik reply
Extern: request timed out

[SuperCrisz]

MikeyMan schreef op vrijdag 4 november 2022 @ 15:57:
[...]


Excuus, zag eruit als ook een DSM forwarding.

Er staat automatisch toegevoegd, kun je die ook handmatig nog toevoegen?

Ziggo adviseert om niet én via upnp en handmatig toe te voegen. Dus dan zal ik alle regels moeten verwijderen en opnieuw toevoegen. Maar wat maakt dat voor verschil dan?

[lier]

Hoe test je exact extern? Heb je de DDNS service al even draaien?

Realiseer je je wel wat je naar buiten toe open zet? Is de data op je NAS belangrijk voor jou?
Ik lees het nu terug, je hebt UPnP aan...dus security is geen issue voor je.

Pingen doe je overigens naar een naam (zonder protocol), maar het is geen DNS probleem.

[SuperCrisz]

lier schreef op vrijdag 4 november 2022 @ 16:00:
Hoe test je exact extern? Heb je de DDNS service al even draaien?

Realiseer je je wel wat je naar buiten toe open zet? Is de data op je NAS belangrijk voor jou?
Ik lees het nu terug, je hebt UPnP aan...dus security is geen issue voor je.

Pingen doe je overigens naar een naam (zonder protocol), maar het is geen DNS probleem.

De DDNS draait al 1,5 jaar zonder problemen. Tis echt sinds de overgang van KPN naar Ziggo dat het me niet lukt. Moet ik wél zeggen, ik had bij KPN er een Unifi access gateway tussen zitten die de DHCP regelde. Nu doet mijn ziggo modem dat. En zoals gezegd: de synology heeft een vast local IP

[MikeyMan]

SuperCrisz schreef op vrijdag 4 november 2022 @ 16:00:
[...]


Ziggo adviseert om niet én via upnp en handmatig toe te voegen. Dus dan zal ik alle regels moeten verwijderen en opnieuw toevoegen. Maar wat maakt dat voor verschil dan?

Hou sowieso niet van automatische zooi met dit soort instellingen.

Heb zelf de router in bridge staan, dus kan je wat dat betreft niet helpen. Behalve dat dit wel gewoon werkt icm ziggo hier.

[Ora et Labora]

SuperCrisz schreef op vrijdag 4 november 2022 @ 16:02:
[...]

De DDNS draait al 1,5 jaar zonder problemen. Tis echt sinds de overgang van KPN naar Ziggo dat het me niet lukt. Moet ik wél zeggen, ik had bij KPN er een Unifi access gateway tussen zitten die de DHCP regelde. Nu doet mijn ziggo modem dat. En zoals gezegd: de synology heeft een vast local IP

Wanneer ben je overgestapt naar Ziggo?
Het kan wel zo'n 24 uur duren voordat je DDNS werkt.

[SuperCrisz]

Ora et Labora schreef op vrijdag 4 november 2022 @ 16:11:
[...]

Wanneer ben je overgestapt naar Ziggo?
Het kan wel zo'n 24 uur duren voordat je DDNS werkt.

4 weken geleden

[Audiowaste]

De routerconfig in DSM niet gebruiken maar alleen handmatig toevoegen in de router. Je wil niet hebben dat poorten ongevraagd door DSM worden opengezet.

Als tweede zou ik sowieso niet je poorten open zetten maar minimaal via reverse proxy alles benaderen. Daarmee hoef je alleen poort 443 open te zetten voor HTTPS verkeer. Nog beter zou zijn via VPN maar minimaal zou je via reverse proxy willen doen.

Laatste punt: heb je gekeken naar de Firewall instellingen van je Synology zelf?

[Ora et Labora]

SuperCrisz schreef op vrijdag 4 november 2022 @ 16:13:
[...]

4 weken geleden

Dat je extern niet kan pingen zegt niet zoveel omdat dit door de firewall van Ziggo tegengehouden kan worden.
Teste je wel https://domein.synology.me:5001 buiten je eigen Ziggo-omgeving om? Dus bijvoorbeeld vanaf een mobiele telefoon zonder WIFI?
Instellingen lijken me goed te staan al zal ik als de sodemieter alle poorten dichtgooien en alleen 5001 open laten staan met zo snel mogelijk een certificaat erop.

[MikeyMan]

Ora et Labora schreef op vrijdag 4 november 2022 @ 16:18:
[...]


Dat je extern niet kan pingen zegt niet zoveel omdat dit door de firewall van Ziggo tegengehouden kan worden.
Teste je wel https://domein.synology.me:5001 buiten je eigen Ziggo-omgeving om? Dus bijvoorbeeld vanaf een mobiele telefoon zonder WIFI?
Instellingen lijken me goed te staan al zal ik als de sodemieter alle poorten dichtgooien en alleen 5001 open laten staan met zo snel mogelijk een certificaat erop.

Yup...

Zo ben ik laatst als voorbeeld gebruikt voor hoe het niet moest...
Inmiddels zowat alle poorten weer dicht gegooid en VPN ingesteld.

[heggico]

Klopt die portrange in de ziggo modem? 5000-0? Kun je dat eens naar 5000-5000 zetten of iets dergelijks?

Geen idee of dit klopt, want ik heb geen ziggo. Vind het er vreemd uitzien zo.

[SuperCrisz]

heggico schreef op vrijdag 4 november 2022 @ 16:23:
Klopt die portrange in de ziggo modem? 5000-0? Kun je dat eens naar 5000-5000 zetten of iets dergelijks?

Geen idee of dit klopt, want ik heb geen ziggo. Vind het er vreemd uitzien zo.

Heb nu UPnP uitgezet en ga nu 5001 ff opnieuw laten forwarden, kijken of het wat doet

[ Voor 3% gewijzigd door SuperCrisz op 04-11-2022 16:25 ]

[Audiowaste]

heggico schreef op vrijdag 4 november 2022 @ 16:23:
Klopt die portrange in de ziggo modem? 5000-0? Kun je dat eens naar 5000-5000 zetten of iets dergelijks?

Geen idee of dit klopt, want ik heb geen ziggo. Vind het er vreemd uitzien zo.

Dat is ook vreemd, een beginpoort van 5000 en een eindpoort van 0.

[SuperCrisz]

UPnP uitgezet, alles opgeschoond, en heb nu dit gedaan. enne
Het werkt!

Is dit goed zo? of is 443 overbodig als je 5001 al open hebt staan.

[Audiowaste]

SuperCrisz schreef op vrijdag 4 november 2022 @ 16:29:
UPnP uitgezet, alles opgeschoond, en heb nu dit gedaan. enne
Het werkt!

Is dit goed zo? of is 443 overbodig als je 5001 al open hebt staan.

[Afbeelding]

Dat ligt eraan wat je allemaal extern wil benaderen, als het alleen DSM zelf is dan is poort 443 openzetten overbodig.
Mocht je geen VPN willen gebruiken, dan zou ik eens gaan kijken om reverse proxy te gaan instellen. Een stuk veiliger dan al je poorten gewoon in je modem openzetten.

Toevoeging:
Verander ook de standaard poorten van je applicaties, iedereen weet dat DSM op de poorten 5000 en 5001 zit.

[ Voor 7% gewijzigd door Audiowaste op 04-11-2022 16:33 ]

[Ben(V)]

Om je Nas te bereiken is 443 niet nodig.

Bedenk wel dat je je Nas nu aan het internet gehangen hebt, dat wordt tegenwoordig als zeer onveilig beschouwd.

Heb je al in je log gekeken hoeveel mislukt inlog pogingen er zijn?( De gelukte zie je niet)
Gebruik een VPN ook een reverse proxy is schijn veiligheid.

[ Voor 10% gewijzigd door Ben(V) op 04-11-2022 16:41 ]

[SuperCrisz]

Audiowaste schreef op vrijdag 4 november 2022 @ 16:32:
[...]

Dat ligt eraan wat je allemaal extern wil benaderen, als het alleen DSM zelf is dan is poort 443 openzetten overbodig.
Mocht je geen VPN willen gebruiken, dan zou ik eens gaan kijken om reverse proxy te gaan instellen. Een stuk veiliger dan al je poorten gewoon in je modem openzetten.

Toevoeging:
Verander ook de standaard poorten van je applicaties, iedereen weet dat DSM op de poorten 5000 en 5001 zit.

Ik lees hier iets anders

(...) If you have set the firewall following my easy step by step guide (GeoIP blocking) and have chosen a strong password, changing DSM default ports is not recommended. Keep in mind, any port sniffing bot will soon find your newly open ports. Incompatibility problems may appear with different Synology applications installed on various mobile devices. Because I was asked to write an article on how to change the standard DSM access ports, I will explain it to you, but this does not mean that I agree with this obsession to change your device ports.

Makes sense?

[SuperCrisz]

Ben(V) schreef op vrijdag 4 november 2022 @ 16:41:
Om je Nas te bereiken is 443 niet nodig.

Bedenk wel dat je je Nas nu aan het internet gehangen hebt, dat wordt tegenwoordig als zeer onveilig beschouwd.

Heb je al in je log gekeken hoeveel mislukt inlog pogingen er zijn?( De gelukte zie je niet)
Gebruik een VPN ook een reverse proxy is schijn veiligheid.

heb geen mislukte inlogpingen, maar goed.. tot 10 min geleden was ie ook nog niet benaderbaar . Heb overigens MFA ingesteld, en het standaard admin account is disabled.

voor wat betreft VPN.. dan zit je vast aan betaalde VPN providers? Heb niet zoveel kaas gegeten van VPN

[ Voor 8% gewijzigd door SuperCrisz op 04-11-2022 16:53 ]

[Audiowaste]

SuperCrisz schreef op vrijdag 4 november 2022 @ 16:42:
[...]


Ik lees hier iets anders


[...]


Makes sense?

Bij mij niet, hij gaat er dan automatisch vanuit dat iedereen die probeert jouw NAS te benaderen eerst een port sniffer gebruikt. Het gros van de aanvallers test gewoon door het IP adres met de default poorten te benaderen.

Ook ga je voorbij aan mijn nog belangrijkere opmerking, indien je geen VPN wil gebruiken, ga dan asap reverse proxy instellen. In je modem hoef je dan alleen nog poort 443 open te zetten en niet meer alle poorten.

Met reverse proxy kun je dan bijvoorbeeld je NAS benaderen door naar dsm.xxx,synology.me te gaan, deze link verloopt via poort 443. Je NAS zet deze dan zelf door naar de juiste poort. Mocht je een eigen domeinnaam hebben, dan kun je deze ook gebruiken (dat doe ik in mijn geval).

[Ben(V)]

@SuperCrisz
Nee dat is als je een VPN provider wilt gebruiken om het internet op te gaan.

Dit is andersom je draait dan een VPN server op je Nas ( is standaard gratis beschikbaar) met bijvoorbeeld OpenVpn of ipsec als protocol.
Je maakt dan een portforwarding van de poort die dat protocol gebruikt en als ja dan vanaf het internet bij je lan wilt komen gebruikt je op het device waar je dat mee doet een Vpn client.

De Vpn server op je Nas beveiligt dan al het verkeer dat op die poort binnenkomt en dat is veel veiliger dan je admin ingang van je Nas open aan het internet te hangen.

[SuperCrisz]

Tnx voor alle hulp tweakers!! Ik heb genoeg voer om aan de slag te gaan met het dichttimmeren Merci!!