FTP over VPN beste alternatief voor sFTP?

[mcp-mario]

Op Synology NAS geeft 'security advisor' aan om SSH naar internet uit te schakelen, maar dat niet alleen gevolgen voor Lan services maar ook voor sFTP.
Want ik gebruik sFTP om o.a Back-up bestanden te uploaden over internet naar de NAS.
In de firewal van de NAS heb ik SSH verkeer ingesteld als geweigerd, maar de poorten in modem kunnen nog gebruikt worden voor (s)FTP verkeer van andere systemen.

Voor FTP verkeer van en naar de NAS over het internet heb ik het volgende gedaan:
VPN server ingeschakeld en geconfigureerd en gebruikers eraan toegevoegd.
Standaard FTP ingeschakeld en geconfigureerd in bestandsservices.
Op een systeem van een vriend heb ik eerst een VPN client aangemaakt met publiek IP-adres en opgestart met succesvolle verbinding naar de NAS.
In FileZilla heb ik FTP als protocol ingesteld, de dynamische IP-reeks (toegepaste VPN protocol) ingesteld met vereiste poort.
Getest met gebruikersnaam en wachtwoord in FileZilla en het verhaal werkt.
Voortaan moet er dus eerst een VPN verbinding gemaakt worden, daarna pas FileZilla inschakelen voor verkeer door VPN tunnel.

Security advisor is blij met de aanpassing, geen problemen meer gevonden.

Maar is FTP over VPN het beste alternatief voor sFTP?

[ Voor 7% gewijzigd door mcp-mario op 28-01-2024 23:33 ]

[Illusion]

Ik draai een sftp server in een docker container. Scheelt een vpn-stap.

Wil je beperkt aantal clients dan de Atmoz image. Wil je wat uitgebreider userbeheer dan drakkan/sftpgo.

[MasterL]

Ik snap waarom de 'security advisor' dit aangeeft maar om nou FTP te gebruiken...
Denk ook dat je jezelf een beetje onnodig moeilijk hebt gemaakt, IMO had je prima SSH open kunnen zetten voor 1 IP-adres/hostname (DDNS ofzo). VPN is veiliger/beter maar ook omslachtiger, mochten jouw routers het ondersteunen kun je nog eens proberen om bijvoorbeeld een Wireguard tunnel tussen de routers op te zetten (site-to-site) dan heb je het probleem tenminste niet met (lokale) VPN clients.

[Ben(V)]

Een Vpn is zelfs een veel betere optie dan sftp.
En uiteraard kun je prima ftp door een Vpn tunnel gebruiken, sftp door een Vpn tunnel is natuurlijk weinig zinvol.
En die Vpn server kun je het beste op die Nas draaien, want bijna alle routers hebben daar niet voldoende cpu capaciteit voor.

[ Voor 28% gewijzigd door Ben(V) op 29-01-2024 11:40 ]

[DukeBox]

Ben(V) schreef op maandag 29 januari 2024 @ 11:38:
sftp door een Vpn tunnel is natuurlijk weinig zinvol.

Hangt wel van je type VPN tunnel af, sFTP kan native (in-line) compressie aan. Bij VPN is dat niet altijd beschikbaar.

[Ben(V)]

Ftp kan ook compressie gebruiken daar heb je geen sftp voor nodig.

[laurens0619]

@mcp-mario
Een synology advsisor kan alleen high-level advies geven,

Remote Access services spelen vaak een rol bij gehackte devices zoals RDP, SSH maar ook VPN.

Wanneer gaat het mis?
- Verouderde/kwetsbare protocollen
- Zwakke wachtwoorden.

Als je SSH up2date is en je gebruikt key-authentication (certificaten) dan zie ik daar security technisch niet direct problemen in.

[mcp-mario]

laurens0619 schreef op maandag 29 januari 2024 @ 11:52:
@mcp-mario
Een synology advsisor kan alleen high-level advies geven,

Remote Access services spelen vaak een rol bij gehackte devices zoals RDP, SSH maar ook VPN.

Wanneer gaat het mis?
- Verouderde/kwetsbare protocollen
- Zwakke wachtwoorden.

Als je SSH up2date is en je gebruikt key-authentication (certificaten) dan zie ik daar security technisch niet direct problemen in.

Dank voor je reactie, alleen wordt de uitgever van het certificaat niet altijd erkend.
Dat is de hoofdreden om over te stappen naar FTP over VPN.
Maar ik maak ook geen gebruik van de standaard poorten.
Voor RDP gebruik ik TV.

[Ben(V)]

ftp over VPN is en blijft gewoon de beste oplossing, zeker omdat die Synology Nas standaard een VPN app heeft.

[BernardV]

@mcp-mario Ik ben het met @laurens0619 eens. En wat je aangeeft dat certificaten niet erkend worden gaat niet op voor ssh, daar heb je een keypair die je aanmaakt op je eigen PC. Daarna zet je op de server je public key in de "authorized_keys" en zorg je ook dat gewoon wachtwoord login via SSH uitgeschakeld is.
Nu kun je inloggen op ssh.

Enige wat kan is dat je eigen PC gehackt wordt en je keys op straat liggen, maar dat probleem heb je dan ook bij een VPN connectie.

[mcp-mario]

MasterL schreef op maandag 29 januari 2024 @ 11:20:
Ik snap waarom de 'security advisor' dit aangeeft maar om nou FTP te gebruiken...
Denk ook dat je jezelf een beetje onnodig moeilijk hebt gemaakt, IMO had je prima SSH open kunnen zetten voor 1 IP-adres/hostname (DDNS ofzo). VPN is veiliger/beter maar ook omslachtiger, mochten jouw routers het ondersteunen kun je nog eens proberen om bijvoorbeeld een Wireguard tunnel tussen de routers op te zetten (site-to-site) dan heb je het probleem tenminste niet met (lokale) VPN clients.

Dank voor je reactie.
Maak al gebruik van DDNS voor Synology.
VPN en in bestandsservices zijn voor het lokaal netwerk standaard (niet met standaard poorten) ingeschakeld op de NAS, maar FTP via internet werkt met aangepaste poorten over VPN.
Hoefde voor FTP over internet naast de VPN client alleen nog het protocol voor FTP en de gebruikte poorten te wijzigen.