{"id":2856,"date":"2022-02-22T10:30:00","date_gmt":"2022-02-22T09:30:00","guid":{"rendered":"https:\/\/ictknow-how.ch\/blog\/?p=2856"},"modified":"2022-03-07T11:51:49","modified_gmt":"2022-03-07T10:51:49","slug":"synology-wie-beschraenkt-man-den-zugriff-auf-das-eigene-land-und-verhindert-die-laestige-brute-force-passwort-raterei-aus-der-ganzen-welt","status":"publish","type":"post","link":"https:\/\/ictknow-how.ch\/blog\/2022\/02\/22\/synology-wie-beschraenkt-man-den-zugriff-auf-das-eigene-land-und-verhindert-die-laestige-brute-force-passwort-raterei-aus-der-ganzen-welt\/","title":{"rendered":"Synology – Wie beschr\u00e4nkt man den Zugriff auf das eigene Land (und verhindert die l\u00e4stige Brute-Force Passwort Raterei aus der ganzen Welt)?"},"content":{"rendered":"\n

Vermutlich haben die meisten Synology-Benutzer diese Situation schon erlebt: Die Firewall ist mit den Standard-Einstellungen eingeschaltet und auch der Kontoschutz mit einer automatischen Blockade nach ein paar misslungenen Anmeldeversuchen ist aktiviert. Pl\u00f6tzlich wird man mit einer Anmelde-Attacke aus den verschiedensten L\u00e4ndern konfrontiert.<\/p>\n\n\n\n

WICHTIG:<\/strong> Bevor man jetzt diese Anleitung „blind“ befolgt: Diese Firewall-Einstellungen d\u00fcrfen nur so eingerichtet werden, wenn man auf der Synology keinen eigenen Webserver oder Blog oder Mail-Server betreibt. Diese Dienste sollen ja von der ganzen Welt erreicht und benutzt werden k\u00f6nnen.
Diese Firewall-Einstellungen sorgen daf\u00fcr, dass z.B. nur noch aus dem internen Netzwerk oder via sicherem VPN auf den eigenen Synology-Dateiserver zugegriffen werden kann. Dienste wie z.B. SSH oder rsync sind nur noch aus dem eigenen Land erreichbar. Alle anderen Dienste sind f\u00fcr den Rest der Welt nicht mehr erreichbar.<\/p>\n\n\n\n

Schritt f\u00fcr Schritt-Anleitung:<\/p>\n\n\n\n

1.<\/td>Anmeldung auf der eigenen Synology mit Administrator-Rechten<\/td><\/tr>
2.<\/td>Unter VPN-Server notiert man sich den IP-Bereich f\u00fcr die VPN-Verbindungen, z.B.
\"\"<\/td><\/tr>
3.<\/td>Unter Systemsteuerung -> Sicherheit -> 2. Tab „Firewall“
1<\/strong> Pr\u00fcft man, ob die Firewall aktiviert ist. Wenn nicht, die eben erst aktivierte Firewall unten rechts „\u00dcbernehmen“
2+3<\/strong> W\u00e4hlt man „custom“ als zu verwendendes Firewall-Profil aus
4<\/strong> Klickt man auf „Regeln bearbeiten“
\"\"<\/td><\/tr>
4.<\/td>Einzelne Firewall-Regeln erstellt man wie folgt:
1<\/strong> Button „Erstellen“ oben links.
2<\/strong> Im erscheinenden Detail-Fenster w\u00e4hlt man dann die Ports und die Protokolle
3<\/strong> sowie die betroffenen Quell-IP-Adressen oder -Bereiche
4<\/strong> Unter Aktion w\u00e4hlt man ob die gew\u00e4hlten Eigenschaften zu(ge)lassen oder verweigert werden sollen
F\u00fcr die Regel #1 s\u00e4he das z.B. so aus:
\"\"<\/td><\/tr>
4.<\/td>Die Firewall Regel-Einstellungen werden von oben nach unten abgearbeitet (=aktiviert) und bedeuten dabei folgendes:
1<\/strong> Alle Ports und alle Protokolle aus dem internen Netzwerk zulassen
2<\/strong> Alle Ports und alle Protokolle aus dem VPN-Netz zulassen (siehe Hinweis)
3<\/strong> Alle Ports von der fixen externen IP-Adresse 193.x.y.z zulassen
4<\/strong> rsync<\/em> mit Protokoll TCP f\u00fcr Zugriffe aus der Schweiz zulassen
5<\/strong> Windows Dateiserver<\/em> und alle Protokolle f\u00fcr Zugriffe aus der Schweiz zulassen
6<\/strong> Verschl\u00fcsselter Terminal-Dienst<\/em> mit Protokoll TCP f\u00fcr Zugriffe aus der Schweiz zulassen
7<\/strong> VPN-Server<\/em> mit Protokoll UDP wird f\u00fcr die ganze Welt zulassen
8 <\/strong>Alle anderen Ports und alle anderen Protokolle f\u00fcr die ganze Welt verweigern

\"\"<\/td><\/tr>
<\/td>Hinweis zu Regel #2:<\/strong> In vielen Anleitungen im Internet fehlt die 2. Regel. Die ist aber entscheidend, damit man nicht nur eine VPN-Verbindung aufbauen kann, sondern damit man bei bestehender VPN-Verbindung auch auf die Synology zugreifen kann.
F\u00fchrt man obige \u00c4nderungen z.B. \u00fcber VPN aus und versucht diese ohne die 2. Regel zu speichern, erscheint folgende Fehlermeldung:
\"\"
-> Ihr Computer wurde durch die neue Firewall-Konfiguration blockiert.<\/em>
Hier verhindert zum Gl\u00fcck eine \u00e4usserst intelligente interne Pr\u00fcfung, dass man sich schon beim Einrichten der Firewall-Regeln selber ausschliessen kann.
(Man kann sich selbstverst\u00e4ndlich immer noch ins eigene Knie schiessen, wenn man VPN z.B. nur auf das eigene Land beschr\u00e4nkt und erst in den Ferien im Ausland merkt, dass man keinen Zugriff mehr hat)<\/em>.<\/td><\/tr>
<\/td>Hinweis zu Regel #3:<\/strong> Der externe Zugriff via fixe IP ist dann hilfreich, wenn z.B. der VPN-Server auf der Synology nicht mehr l\u00e4uft. Das setzt voraus, dass man z.B. aus dem Gesch\u00e4ft mit der immer gleichen IP-Adresse 193.x.y.z auf die private Synology zu Hause zugreift. Diese Regel kann man auch weglassen.<\/td><\/tr>
<\/td>Hinweis zu Regel #8:<\/strong> Wie schon einleitend erw\u00e4hnt: Mit der 8. Regel wird alles Andere – was nicht in den 7 zuvor abgearbeiteten Regeln enthalten ist – VERWEIGERT. Wenn also in den 7 Regeln zuvor nichts von „Web Station“ (Webserver\/Blog) oder „Photo Station“ oder „Web Mail“ oder „Cloud Station“ steht, dann werden diese Dienste mit der Regel 8 f\u00fcr die ganze Welt verweigert. Die ganze Welt schliesst sich selber ein, bzw. man verweigert auch sich selber zuk\u00fcnftig den Zugriff auf diese Dienste von aussen!<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Mit diesen Einstellungen sollte die l\u00e4stige Brute-Force Passwort Raterei aus der ganzen Welt verhindert werden. Ganz streng technisch gesehen, kann jemand mit einer IP-Adresse aus dem eigenen Land immer noch Unfug betreiben. Es schr\u00e4nkt die Anzahl m\u00f6glicher Angreifer aber doch extrem stark ein (mindestens wenn man nicht in China, Russland oder Amerika wohnt 😉). Die Liste blockierter Angreifer sollte also unmittelbar nach Aktivierung obiger Firewall-Einstellungen praktisch nicht mehr weiter anwachsen:<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n
\n \n
\n \n
\n
\n \n\n
<\/div>\n <\/div>\n
\n \n\n
<\/div>\n <\/div>\n
\n \n\n
<\/div>\n <\/div>\n
\n \n\n
<\/div>\n <\/div>\n
\n \n\n
<\/div>\n <\/div>\n <\/div>\n \n
\n
\n \n\n
<\/div>\n <\/div>\n
\n \n\n
<\/div>\n <\/div>\n
\n \n\n
<\/div>\n <\/div>\n
\n \n\n
<\/div>\n <\/div>\n
\n \n\n
<\/div>\n <\/div>\n <\/div>\n<\/div>\n \n\n
\n Rate this post<\/span>\n <\/div>\n <\/div>\n","protected":false},"excerpt":{"rendered":"

Vermutlich haben die meisten Synology-Benutzer diese Situation schon erlebt: Die Firewall ist mit den Standard-Einstellungen eingeschaltet und auch der Kontoschutz mit einer automatischen Blockade nach ein paar misslungenen Anmeldeversuchen ist aktiviert. Pl\u00f6tzlich wird man mit einer Anmelde-Attacke aus den verschiedensten L\u00e4ndern konfrontiert. WICHTIG: Bevor man jetzt diese Anleitung „blind“ befolgt: Diese Firewall-Einstellungen d\u00fcrfen nur so … Weiterlesen<\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[104,177],"tags":[225,224,101,226],"class_list":["post-2856","post","type-post","status-publish","format-standard","hentry","category-netzwerk","category-synology","tag-brute-force","tag-firewall","tag-vpn","tag-zugriff"],"_links":{"self":[{"href":"https:\/\/ictknow-how.ch\/blog\/wp-json\/wp\/v2\/posts\/2856","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/ictknow-how.ch\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/ictknow-how.ch\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/ictknow-how.ch\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/ictknow-how.ch\/blog\/wp-json\/wp\/v2\/comments?post=2856"}],"version-history":[{"count":0,"href":"https:\/\/ictknow-how.ch\/blog\/wp-json\/wp\/v2\/posts\/2856\/revisions"}],"wp:attachment":[{"href":"https:\/\/ictknow-how.ch\/blog\/wp-json\/wp\/v2\/media?parent=2856"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/ictknow-how.ch\/blog\/wp-json\/wp\/v2\/categories?post=2856"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/ictknow-how.ch\/blog\/wp-json\/wp\/v2\/tags?post=2856"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}