[Kaufberatung] Sinn oder Unsinn? Ein NAS für Intranet, ein NAS für Internet

[dooyou]

Servus Leute,

ich nutze schon länger ein Synology DS718+ im Heimnetzwerk, welches in Ausnahmefällen per VPN nach draußen darf. Für ein paar Projekte würde ich gerne das Netz auch einfacher im Internet erreichbar machen, da ist VPN zu umständlich. Da es aber eine NAS mit privaten Daten ist, mache ich das eher ungern. Ordentliches Rechtemanagement hin oder her.

Wäre es nicht besser dafür eine kleinere NAS wie die DS118 zusätzlich anzuschaffen? Oder ist das quatsch? Ich finde online leider keine Beispiele, dass Leute das so gemacht haben.

Vielen Dank im Voraus

 

[Supaman]

Trennung ist immer gut. Alternativ einen Virtualisier Deiner Wahl, Server oder NAS VM drauf, ggf. 2 Netzwerkkarten verwenden. Dann hast Du alles sauber getrennt, aber nur 1x Hardware.

 

[Stueckchen]

Also die Frage ist doch erstmal was du überhaut aus dem Internet erreichbar brauchst? Die GUI der NAS, deine Daten, eine Art "Cloud" für Daten, Bilder, Kalender etc...?

Weil manches kannst du mit einem Zweitgerät eher schlecht lösen oder bringt im zweifel keine mehr Wert an Sicherheit. Zudem gegen welche "Gefahr" willst du dich schützen, weil dann musst du natürlich auch sehen das du die Netzwerkseite gut getrennt bekommst.

Evtl geht das ganze ja auch viel einfacher, zudem ist eine DS118 auch nicht gerade potent, was bei manchen anwendungen auch wieder Probleme macht.

Für "Cloud" bringt ein Container (Syno kann ja Docker) schon eine Menge mehr an Sicherheit, für alle deine Daten führt nichts an einer Ordentlichen Rechteverteilung und Absicherung durch ro-Snapshots und Backups vorbei. Selbst die GUI der Syno liese sich "Virtualisieren".

 

[dooyou]

Also die Frage ist doch erstmal was du überhaut aus dem Internet erreichbar brauchst? Die GUI der NAS, deine Daten, eine Art "Cloud" für Daten, Bilder, Kalender etc...?

Also in diesem speziellen Fall Synology Photos. Ich nutze für das Teilen von Bildern (mit Gallerien) bisher teure Fotodienste und dachte mir, dass ich das eigentlich auch selber machen kann. Ich will nicht ausschließen, dass es auch mal um das Teilen von Dateien geht, aber das eher selten.

Gefahren sind natürlich immer abstrakt. Ich möchte einfach nur nicht eine Netzwerkfestplatte mit privaten Daten (potentiell) im Internet haben, deswegen würde ich die lokale NAS "verstecken" und die öffentliche NAS dementsprechend erreichbar machen (DynDNS und ähnlich).

 

[Stueckchen]

Also in diesem speziellen Fall Synology Photos. Ich nutze für das Teilen von Bildern (mit Gallerien) bisher teure Fotodienste und dachte mir, dass ich das eigentlich auch selber machen kann. Ich will nicht ausschließen, dass es auch mal um das Teilen von Dateien geht, aber das eher selten.

Gefahren sind natürlich immer abstrakt. Ich möchte einfach nur nicht eine Netzwerkfestplatte mit privaten Daten (potentiell) im Internet haben, deswegen würde ich die lokale NAS "verstecken" und die öffentliche NAS dementsprechend erreichbar machen (DynDNS und ähnlich).

Dann ist halt die Frage wie gut du Syno Vertraust das der Fotodienst nicht die Ganze NAS kompromitiert.
Wenn es Darum geht hast du eig zwei ( oder 3) Optionen:
- Einfach nur die Ports von Synology Photos an deinem Router freigeben und forwarden. + einen DynDNS Dienst verwenden.
Evtl auch nicht den "Standard" Port nehmen, das beugt automatiserten Anrgriffen schon etwas vor.
Dann ist von außen ja nur die Photo App erreichbar (sollte zu mindest).
- Du kannst aber auch auf der Syno ein DMS virtualiseiern und dann hast du das schonmal dahingehen getrennt.
- ( Natürlich kannst du dafür auch einfach eine weitere NAS kaufen, aber auch da würde ich nur die dienste die du wirklich benutzt von außen erreichbar machen)

 

[dooyou]

Dann ist halt die Frage wie gut du Syno Vertraust das der Fotodienst nicht die Ganze NAS kompromitiert.
Wenn es Darum geht hast du eig zwei Optionen:
- Einfach nur die Ports von Synology Photos an deinem Router freigeben und forwarden. + einen DynDNS Dienst verwenden

Aber um diese Frage geht es nicht, wie ich das mache weiß ich. Deswegen ja die Frage wegen der zweiten NAS, die dann genau für diesen Zweck da wäre. Da kann dann ja nichts kompromittiert werden, da es auf dem Gerät nur Daten gibt, die sozusagen ok sind. Die zweite NAS darf nur kein Einfallstor fürs interne Netzwerk sein.

 

[Stueckchen]

Aber um diese Frage geht es nicht, wie ich das mache weiß ich. Deswegen ja die Frage wegen der zweiten NAS, die dann genau für diesen Zweck da wäre. Da kann dann ja nichts kompromittiert werden, da es auf dem Gerät nur Daten gibt, die sozusagen ok sind. Die zweite NAS darf nur kein Einfallstor fürs interne Netzwerk sein.

Aber das ist doch genau die Frage nach dem "Vertrauen"?!
Vertraust du Syno genug, dass sie die Photoapp sicher gestaltet haben oder eher dem Netzwerk/Router (und deiner Konfiguration), dass da nichts passieren kann und das "zweit" Gerät nicht aus der DMZ raus kann.

Beitrag automatisch zusammengeführt: 06.08.2021

Um wohl nochmal auf die eigentliche Frage zurück zu kommen.

Wäre es nicht besser dafür eine kleinere NAS wie die DS118 zusätzlich anzuschaffen? Oder ist das quatsch? Ich finde online leider keine Beispiele, dass Leute das so gemacht haben.

Prinzipell: Wenn Geld/Strom keine Rolle spielt, das Ding in einer DMZ sitzt, Regelmäßig gebackupt wird und alles gut konfiguriert ist:
erhöht das Konzept auf jedenfall die Sicherheit des Heimnetzten und dann warum nicht.
(Falls die Photostation auf einer 118 gut läuft.)

Persönlich: wäre mir der Kosten/Nuten Faktor zu klein. Gerade wenn man nur Privat unterwegs ist.

 

[dooyou]

Trennung ist immer gut. Alternativ einen Virtualisier Deiner Wahl, Server oder NAS VM drauf, ggf. 2 Netzwerkkarten verwenden. Dann hast Du alles sauber getrennt, aber nur 1x Hardware.

Ich habe mir jetzt doch noch einmal die Lösung mit der Virtualisierung angesehen, damit habe ich mich mit meiner DS718+ von Synology noch nicht beschäftigt gehabt.

Da könnte ich wie du sagst über eine VMM das Betriebssystem virtualisieren und darauf meine Photo-App installieren. Die zweite Netzwerkschnittstelle könnte ich dann für den Weg nach "draußen" nutzen.

 

[Supaman]

Korrekt, der gängige und bequeme Weg ist: virtualisierer Deiner Wahl, im idealfall mit 2 Netzwerkkarten. Dann je nach Dienst(en)beliebige VMs draufpacken und dem jeweiligen Netzwerk zuweisen. Für die Administration musst Du keinen Rechner im Public Netz haben, das geht auch über das Admin Webinterface. Wenn Du Datenaustausch zwischen intern und extern brauchst, kannst Du auch eine Firewall VM dazwischen schalten.

Viele Möglichkeiten