Reverse proxy alleen toegankelijk via VPN lukt niet

[Saekerhett]

Ik heb hier een Synology DS920+ die ik onder andere in heb gezet als een reverse proxyserver voor dingen als WireGuard, AdGuard, Omada, Plex, de Marantz web GUI, etc. Ik dacht door middel van de Access Control Profile pagina mooi twee regels te hebben gemaakt, waarbij ik wil dat de reverse proxy benaderbaar is door:

• alle apparaten op het lokale netwerk, en:
• alle apparaten die via WireGuard verbonden zijn met mijn VPN

De rest moet geblokkeerd zijn. Nu dacht ik dit in te kunnen stellen door het volgende in te voeren:



Mijn interne subnet is dus 10.0.0.0/24 en WireGuard staat zo ingesteld:



Ik krijg het niet voor elkaar als ik de regels zo heb, dat ik dan toegang heb tot die reverse proxies, zowel lokaal als via WireGuard niet. Dan krijg ik de melding (van Synology): "Sorry, de pagina die u zoekt kan niet weergegeven worden." Het lijkt er dus op dat de Deny rule van toepassing is. Zowel op de iPhone via Safari als lokaal op Windows 11 met Chrome krijg ik deze melding dan.

Als ik de Deny rule in zijn geheel weghaal om te testen, lukt het wel. Wat zie ik over het hoofd?

[Frogmen]

Ik neem aan dat je intern een DNS server hebt draaien, als je verder vanuit je router geen poort forwards hebt naar Synology is dit volgens mij niet nodig en mag die reverse proxy door iedereen te benaderen zijn. Het enige met je VPN moet je wel je interne DNS meepushen anders kent hij die niet.

[Saekerhett]

Frogmen schreef op woensdag 14 juni 2023 @ 12:45:
Ik neem aan dat je intern een DNS server hebt draaien, als je verder vanuit je router geen poort forwards hebt naar Synology is dit volgens mij niet nodig en mag die reverse proxy door iedereen te benaderen zijn. Het enige met je VPN moet je wel je interne DNS meepushen anders kent hij die niet.

Dit snap ik niet. Ja, ik heb op de Synology in Docker AdGuard draaien die dienstdoet als DNS-server (en hetzelfde ip-adres heeft als de Synology), maar wat heeft dit te maken met access control? Ik heb het net even getest trouwens, door het ip-adres van AdGuard in het lijstje erbij te zetten, maar dat verandert niks.

[Frogmen]

Waarvoor wil je access control op je reverse proxy server? Zolang er geen portforward is naar de Synology is deze niet te bereiken.

[ Voor 38% gewijzigd door Frogmen op 14-06-2023 13:02 ]

[Saekerhett]

Frogmen schreef op woensdag 14 juni 2023 @ 12:59:
Waarvoor wil je access control op je reverse proxy server?

Omdat ik niet wil dat die open en bloot aan het internet hangen. Behalve Plex dan.

[Frogmen]

Wat je wil kan niet, behalve als je plex rechtstreeks via een andere poort benadert vanaf het internet.

[Saekerhett]

Frogmen schreef op woensdag 14 juni 2023 @ 13:04:
Wat je wil kan niet, behalve als je plex rechtstreeks via een andere poort benadert vanaf het internet.

Natuurlijk kan het wel wat ik wil, waarom niet? Mijn access control rules zijn alleen incompleet, daar ontbreekt nog wat. Daarnaast kan ik per reverse proxy een nieuwe set aan access controls meegeven, dus als ik wil dat Plex open en bloot mag blijven, hoef ik bij die reverse proxy geen access controls mee te geven.

[Saekerhett]

Ik ben ondertussen trouwens een stap verder, ik heb het IPv6-adres van mijn desktop nu specifiek toegevoegd aan de access control rules, en nu kan ik met mijn desktop bij de reverse proxies komen.

Toen ging er een belletje rinkelen, en nu heb ik ook mijn IPv4 WAN-adres toegevoegd en nu kan ik ook via WireGuard verbinden!

Ik heb WireGuard alleen voor IPv4 ingesteld, dus waarschijnlijk moet ik nu voor elk lokaal apparaat hier op mijn netwerk zijn eigen IPv6-adres gebruiken, of ik moet voor IPv6 een CIDR-notatie gebruiken om in te vullen, correct?

[Saekerhett]

Eind goed, al goed, ik heb even gegoogled welke CIDR-notatie bij mijn IPv6-netwerk hoorde (de eerste vier blokken zijn allemaal gelijk voor elk apparaat). Deze toegevoegd aan de access control rules en nu werkt alles zoals ik wil

[Frogmen]

Saekerhett schreef op woensdag 14 juni 2023 @ 13:20:
[...]


Natuurlijk kan het wel wat ik wil, waarom niet? Mijn access control rules zijn alleen incompleet, daar ontbreekt nog wat. Daarnaast kan ik per reverse proxy een nieuwe set aan access controls meegeven, dus als ik wil dat Plex open en bloot mag blijven, hoef ik bij die reverse proxy geen access controls mee te geven.

Tja als je dat niet duidelijk meld samen met het feit dat je IP6 gebruikt dan wordt het knap lastig. Is niet echt iets standaards dat je per reverse proxy instance access rules kan definieren.
Mooi dat het opgelost is, al ben ik wel benieuwd naar je router instellingen en moet je nog steeds heel erg goed kijken of wat je dicht wil hebben ook dicht zit.
Persoonlijk zou ik alles achter VPN houden en plex niet bereikbaar vanaf internet alleen via VPN.

[ Voor 5% gewijzigd door Frogmen op 14-06-2023 14:14 ]

[Saekerhett]

Frogmen schreef op woensdag 14 juni 2023 @ 14:13:
[...]

Tja als je dat niet duidelijk meld samen met het feit dat je IP6 gebruikt dan wordt het knap lastig. Is niet echt iets standaards dat je per reverse proxy instance access rules kan definieren.

Dat ik het niet meldde, komt omdat ik daardoor nog niet getriggerd was. En die access control rules functionaliteit (dus instellen per reverse proxy) zit standaard in DSM, maar was niet relevant, want het ging me om missende rules in het algemeen, niet of die functionaliteit per reverse proxy was in te stellen.

Mooi dat het opgelost is, al ben ik wel benieuwd naar je router instellingen en moet je nog steeds heel erg goed kijken of wat je dicht wil hebben ook dicht zit.
Persoonlijk zou ik alles achter VPN houden en plex niet bereikbaar vanaf internet alleen via VPN.

Het hele punt van reverse proxies is juist dat je behalve poort 443 niks open hoeft te zetten naar de NAS. Daarnaast is Plex achter een VPN niet handig, want ik gebruik mijn Plex-server voor vrienden en familie en om ze nou allemaal uit te gaan leggen hoe ze een bepaalde tv of Apple TV met mijn VPN moeten laten verbinden.... tja. Daarnaast heb ik 2FA actief voor Plex.