[Thread Ufficiale] SYNOLOGY Disk Station: New NAS Experience - News,Test,Faq,ecc.ecc.

[batti38]

Originariamente inviato da burghy

in vpn con filezilla basta mette l'ip locale del nas

Inviato dal mio SM-G991B utilizzando Tapatalk

Ottimo funziona, mi ero un attimo incastrato sulla porta perchè Filezilla la richiede.
Ho inserito quella che avevo in precedenza e funziona nonostante sul router sia chiusa

Grazie

[DIDAC]

L'unico problema è che se si inchioda il server VPN e sei fuori casa le porte non le apri più.
Io al momento tengo il reverse proxy sulla https custom del DSM, giusto per avere un'altra via di ingresso in caso di defaiance della vpn

[Nidios]

Non so ancora quanto sia importante avere una VPN e come ci si convive insieme al Firewall.
Ma ho trovato questo video dove spiega abbastanza bene la firewall trascurando però la VPN, che poi in fin dei conti posso anche farne a meno.

https://www.youtube.com/watch?v=G3BJo4B1GgU

Ad ogni modo, nonostante non capisca bene l'arcano di far abilitare a tutto "Interface..." e poi limitarlo con un secondo filtro sugli indirizzi IP sembra abbia fatto bene come in questa schermata tratta dal video:



Qui la mia firewall, tenendo conto che la VPN effettivamente non c'e'



Fabio

[supertopix]

Il firewall, maschile.

[batti38]

Originariamente inviato da DIDAC

L'unico problema è che se si inchioda il server VPN e sei fuori casa le porte non le apri più.
Io al momento tengo il reverse proxy sulla https custom del DSM, giusto per avere un'altra via di ingresso in caso di defaiance della vpn

Si non hai tutti i torti.

Ora mi studio il Reverse Proxy perché non lo conosco.

Ma il Server VPN del Nas non è stabile? Cioè capita che si "inchiodi"?

[DIDAC]

Originariamente inviato da Nidios

Non so ancora quanto sia importante avere una VPN e come ci si convive insieme al Firewall.
Ma ho trovato questo video dove spiega abbastanza bene la firewall trascurando però la VPN, che poi in fin dei conti posso anche farne a meno.

https://www.youtube.com/watch?v=G3BJo4B1GgU

Ad ogni modo, nonostante non capisca bene l'arcano di far abilitare a tutto "Interface..." e poi limitarlo con un secondo filtro sugli indirizzi IP sembra abbia fatto bene come in questa schermata tratta dal video:



Qui la mia firewall, tenendo conto che la VPN effettivamente non c'e'



Fabio

Con la prima regolainterfaccia utente aperta su tutto, le due successive sono inutili.
Io interfaccia utente la tengo su tre regole che sono:
Lan
VPN
Ip di country (questa terza regola solo per la https, che ora ho accantonato dato che entro o con VPN e con rev proxy)

Sempre testato in prima persona.
@Batti: a me al momento non si è inchiodato, ma in altro forum c'era un utente a cui un giorno era saltata la VPN, ma non ne conosco il motivo, magari era altro

[ziotony]

Originariamente inviato da supertopix

Il firewall, maschile.

A ecco

[Nidios]

Originariamente inviato da DIDAC

Con la prima regolainterfaccia utente aperta su tutto, le due successive sono inutili.
Io interfaccia utente la tengo su tre regole che sono:
Lan
VPN
Ip di country (questa terza regola solo per la https, che ora ho accantonato dato che entro o con VPN e con rev proxy)

Sempre testato in prima persona.
@Batti: a me al momento non si è inchiodato, ma in altro forum c'era un utente a cui un giorno era saltata la VPN, ma non ne conosco il motivo, magari era altro

Difatti... tu riesci ad entrare con quelle 3 regole dall'esterno... e usi la regola 2 "VPN".

Se nel mio caso usavo reagola LAN e regola IP Country non riuscirei ad entrare dall'esterno.

Ed è per questo che bisogna impostare aperto su tutto dall'Interface, come dice il video linkato sopra.

Ma ti do ragione sul fatto che uno si porrebbe la domanda:

Ma se lascio aperto su tutto a che serve IL Firewall? (maschile ma si diverte anche a fare altro visto i tempi)

Fabio

[DIDAC]

No Fabio, io entro dalla porta https (no VPN), lasciando la regola non su "tutti ip" ma con "ip Italia, svizzera, spagna".
Alla fine sono la stessa regola solo che la mia "restringe" gli ip in ingresso a quelle tre country anziché tutte.
Se ti colleghi dalla country che hai settato, non serve la prima regola che hai messo come "ip tutti".
Non so se mi sono spiegato, se non entri, stai sbagliando qualcosa.

[DanieleRC5]

Buongiorno a tutto il thread.
Ho ricevuto un paio di giorni fa il mio primo NAS e sto cercando di capire quali applicazioni sarebbero centrate per le mie necessità.
Prima di tutto specifico che il mio nas è un synology DS418 con installati 2x hard disk da 16Tb configurati in Raid 1 e file system Brtfs (fin qui tutto ok? Consigliate altre soluzioni raid o file system differenti?), l'alimentazione elettrica è assicurata da un Ups di dimensioni generose.
L'utilizzo del raid 1 è per assicurare continutà di servizio e maggiore sicurezza; dopo aver avviato tutto acquisterò un drive esterno usb di dimensioni adeguate per realizzare una copia fredda da aggiornare di tanto in tanto che poi conserverò staccata dalla rete (di norma io uso sempre 2 copie fredde che aggirono ciclicamente e conservo in due abitazioni separate per maggiore sicurezza).

Fatte queste premesse vi spiego quello che vorrei fare per sfruttare al meglio il mio NAS:

- archiviazione di documenti e software che ho acquistato e che mi servono per i pc di casa. La farei manualmente con metodo "old style" tipo connetti unità di rete, e vari copia/incolla
- archivio foto e filmati da reflex manualmente dopo averli scaricati sul pc archiviandoli nelle cartelle che definirò io ma non mi è chiaro se potrebbe essermi utile Synology Photos...
- archivio foto e filmati dai cellulari mediante sicronizzazione automatica. Posso usare Synology Drive e Synology Photos solo quando sono connesso al wifi di casa oppure per sfruttarli appieno devo avere il clud sempre attivo con il nas esposto sul web?
- servizio di condivisione di foto e video e film da vedere sulle tv con Fire Stick di casa. Pensavo di utilzzare Video Station
- Archiviazione dei dati (cartelle utente, dektop etc etc) di ognuno dei pc di casa con sincornizzazione automatica in tempo reale o alla connessione (nel caso dei portatili). Andrebbe bene Hyper Backup?

Gli utenti per le mie esigenze possono avere tutti gli stessi diritti di accesso, non ho bisogno di applicare particolari restrizioni a nessuno, anzi mi fa comodo che tutti possano accedere all'intero archivio. Posso far entrare tutti con un utente unico o rischio di creare un gran caos?

Specifico che che NON indendo attivare alcun servizio cloud per non esporre sul web il nas anche se trovo interessante la Synology chat per uso familiare (per evitare servizi quali Whatsapp e simili); se vorrò utilizzare una simile possibiltà in fututo utilizzerò magari una nuova unità dedicata solo a quello.

Avete qualche consiglio relativo alle applicazioni ed alle configurazioni?
Grazie!

[teo180]

Originariamente inviato da DIDAC

Con la prima regolainterfaccia utente aperta su tutto, le due successive sono inutili.
Io interfaccia utente la tengo su tre regole che sono:
Lan
VPN
Ip di country (questa terza regola solo per la https, che ora ho accantonato dato che entro o con VPN e con rev proxy)

Sempre testato in prima persona.
@Batti: a me al momento non si è inchiodato, ma in altro forum c'era un utente a cui un giorno era saltata la VPN, ma non ne conosco il motivo, magari era altro

Basta che scada il certificato openvpn ed ecco che in vpn non entri più.
Con l2tp il problema non c’è

[DIDAC]

Originariamente inviato da teo180

Basta che scada il certificato openvpn ed ecco che in vpn non entri più.
Con l2tp il problema non c’è

In realtà se il certificato lo fai tramite ddns synology, ottieni da un po' a questa parte un certificato rilasciato da R3 (Let's encrypt) che si auto rinnova senza che fai nulla, non devi nemmeno aprire la 80 o la 443 per il suo rinnovo.

Molto comodo.

[burghy]

no didac. ha ragione lui.

puoi generarne uno da più anni

Inviato dal mio SM-G991B utilizzando Tapatalk

[DIDAC]

Il mio certificato si è auto aggiornato a fine anno fino a marzo 2023 senza che io facessi nulla.

[DIDAC]

Anche il "vecchio" synology non di Let's si è aggiornato da solo e fino a fine anno, ma non è usato da nessuna applicazione.

A meno che quando ho resettato e ripristinato il NAS per il cambio SSD abbia in qualche modo indirettamente aggiornato i certiifcati.
Lo scoprirò il prossimo 26/03

[DIDAC]

Però sto dando per scontato che il certificato che ho nella connessione VPN sia lo stesso del ddns, se non è così allora come non detto.
Io come "backdoor" mi tengo l'accesso in reverse proxy dalla 443 alla https interna.

[\_Davide_/]

Originariamente inviato da teo180

Basta che scada il certificato openvpn ed ecco che in vpn non entri più.
Con l2tp il problema non c’è

* con Wireguard: L2TP per le StoS nel 2023 no dai

Inoltre puoi anche creare un certificato che dura 10 anni o configurare il rinnovo automatico (non so nello specifico con l'app Synology)

[Nidios]

Originariamente inviato da DIDAC

No Fabio, io entro dalla porta https (no VPN), lasciando la regola non su "tutti ip" ma con "ip Italia, svizzera, spagna".
Alla fine sono la stessa regola solo che la mia "restringe" gli ip in ingresso a quelle tre country anziché tutte.
Se ti colleghi dalla country che hai settato, non serve la prima regola che hai messo come "ip tutti".
Non so se mi sono spiegato, se non entri, stai sbagliando qualcosa.

Prova disattivare momentaneamente la VPN e fai una verifica...
Se lasci areamgeogafica e Intervallo IP non si entra dall'esterno.

Se non metto IP tutti io dall'esterno non entro

Fabio

[\_Davide_/]

Occhio anche che quelle rules nel 99% funzionano, ma non sono una scienza esatta (ad es. potreste essere in Italia con un IP che per quelle regole si trova in Francia).

[DIDAC]

Originariamente inviato da Nidios

Prova disattivare momentaneamente la VPN e fai una verifica...
Se lasci areamgeogafica e Intervallo IP non si entra dall'esterno.

Se non metto IP tutti io dall'esterno non entro

Fabio

Lungi da me ad essere saccente, ma credo che tu debba studiare ancora un po', tra l'altro stai facendo un po' di confusione.
Ti sto dicendo che entro senza VPN ma con la regola degli ip regionali, più ip lan. E ovviamente porta https aperta sul router, se non ti funziona ti manca qualche passaggio.
Nei tuoi commenti precedenti hai attivato "tutti" perché te lo proponeva il Nas semplicemente perché tu avevi una regola più restrittiva, ma avrebbe funzionato lo stesso.
Se lasci tutti gli ip in ingresso preparati a veder arrivare attacchi dal Kazakistan...
Prova tu a togliere la regola dei tutti, metti prima gli ip lan e poi quelli regionali, e la porta https ed anche la http se non hai attivato il reindirizzamento.
Guarda Fabio, io è un po' di tempo che ci studio e mi applico, senza polemica, ma ti mancano ancora delle basi.
Avessi trovato io un anno fa un didac che mi postava sul forum come aveva settato il firewall e gli avrei fatto un monumento , ma mi son dovuto studiare e testare ogni porta.
Adesso fai come credi, ma stai sbagliando.
Buon lavoro