Accesso al NAS da esterno (no QuickConnect)

ady976

Ho cercato per diversi giorni prima di mettere in pratica quella ch'è la mia intenzione, un pochino ho colmato le mie lacune, ma ammetto di avere parecchi buchi nella mia conoscenza di reti/NAS/VPN. Cercherò di spiegarmi alla meglio.

La mia situazione è un synology DS224+ collegato ad un router Netgear D6400; come ISP una FWA 200/50 con IP statico.
La mia necessità è poter accedere e far accedere a documenti o files sul NAS.
Al momento uso il servizio di Synology "QuickConnect", semplicissimo, funzionale, ma veramente lento...
So che la situazione ideale sarebbe una VPN sul router, ma non penso di esserne capace, inoltre mi darebbe fastidio obbligare i collaboratori ad installare VPN sui loro dispositivi (se le mie conoscenze sono scarse, le loro sono prossime allo zero) o io stesso sono alquanto riluttante a dover installare questi programmi su tablet o smartphone. Lo trovo alquanto scomodo, ma forse questa mia riluttanza è dettata dal fatto che non ho mai usato un sistema simile e lo reputo alquanto ostico.
Avendo un IP pubblico e statico, pensavo di esporre direttamente il NAS, ovviamente operando sul router affinchè risulti raggiungibile dall'esterno. So ch'è una cosa alquanto rischiosa e sconsigliata, ma poi continuando nella ricerca, ho visto i vari modi per difendersi da eventuali attacchi.

riservo un IP interno al NAS;
disabilito l'utente Admin;
autenticazione a doppio fattore (qui un dubbio: ad esempio con l'app Photo che sincronizza le foto dello smartphone, dovrò effettuare l'autenticazione ad ogni sincronizzazione?);
attivo regole sul firewall Synology bloccando tutti gli IP non italiani;

Come la vedete come soluzione? Ci sono altri accorgimenti che potrei adottare se dovessi optare per una connessione diretta? O sono obbligato a dover cedere ed utilizzare una VPN?

Chiedo scusa se ho detto qualche eresia e vi sarò ulteriormente grato per ogni suggerimento non contemplato sopra.

Gabriele

ady976 pensavo di esporre direttamente il NAS

No… non esporre nulla.
Io farei una VPN con WireGuard e sei tranquillo.
Devi cambiare però il router con uno che lo supporta.
La configurazione è semplice, ma meglio farsi seguire.

MaxBarbero

ady976 Come la vedete come soluzione? Ci sono altri accorgimenti che potrei adottare se dovessi optare per una connessione diretta? O sono obbligato a dover cedere ed utilizzare una VPN?

Devi arrivare solo all'app photo? Usi solo http/https?

fabio1999ita

Gabriele non serve cambiare router, basta usare la vpn diretta che c'è nel nas

ady976

Ringrazio per i contributi, immaginavo sarebbero stati indirizzati all'utilizzo di una VPN, e sia, mi fermo ancora un pochino e provo a realizzare un sistema con VPN.

Gabriele No… non esporre nulla.
Io farei una VPN con WireGuard e sei tranquillo.
Devi cambiare però il router con uno che lo supporta.
La configurazione è semplice, ma meglio farsi seguire.

Spesso mi sono imbattuto in questo consiglio, qualche consiglio sull'hardware da prendere? Preferirei un solo dispositivo che faccia da modem/router se possibile 😐

fabio1999ita non serve cambiare router, basta usare la vpn diretta che c'è nel nas

avevo valutato questa soluzione, ma mi sono stoppato alla scritta in rosso che si vede dal seguente screenshot. Ma potrei aver interpretato male....

alex8sei Ciao, anche io ho un Synology e la cosa migliore che puoi fare per accedere da remoto è usare una VPN. Però mi viene anche da pensare, dato che definisci scarse le vostre conosce in ambito informatico perché andarsi a complicare la vita con un NAS? Da quello che scrivi lo usi in ambito lavorativo perché non ti fai un account Google business e vivi sereno?

Non è un ambito strettamente lavorativo, qualcosina si (appartenenti ad una forza di polizia che hanno necessità di condividere manualistica ed editabili, ma non per conto dell'amministrazione, giusto un aiutino per un gruppo di 20 persone circa), ma la maggior parte dei documenti o foto, sono da condividere con amici e parenti. Probabilmente sarebbe stata ottima come soluzione quella di Google business, ma ormai è andata per il NAS 😑.

Gabriele

fabio1999ita
Si, è vero, ma a mio avviso resta un lavoro concettualmente più pulito passare dal router.
Inoltre, vorrebbe dire svegliare il NAS e accendere i dischi anche quando magari non serve.

Nel suo caso inoltre, visto il router in possesso, potrebbe essere buona occasione per fare un upgrade.

fabio1999ita

Gabriele ma a mio avviso resta un lavoro concettualmente più pulito passare dal router.

perchè mai? la porta va sempre aperta e che punti sul router stesso o sul nas non cambia nulla

Gabriele vorrebbe dire svegliare il NAS e accendere i dischi anche quando magari non serve

quello che deve fare è proprio usare il nas, quindi i dischi gli attivi lo stesso

Gabriele visto il router in possesso

eviti anche di spendere soldi

ady976 avevo valutato questa soluzione, ma mi sono stoppato alla scritta in rosso che si vede dal seguente screenshot. Ma potrei aver interpretato male....

openvpn funziona sia su ios che su android, magari synology ha una sua app apposta ma basta usare quella di openvpn

alex8sei

Ciao, anche io ho un Synology e la cosa migliore che puoi fare per accedere da remoto è usare una VPN. Però mi viene anche da pensare, dato che definisci scarse le vostre conosce in ambito informatico perché andarsi a complicare la vita con un NAS? Da quello che scrivi lo usi in ambito lavorativo perché non ti fai un account Google business e vivi sereno?

[cancellato]

ady976 qualcosina si (appartenenti ad una forza di polizia che hanno necessità di condividere manualistica ed editabili

Tenete conto che se qualcosa contiene dati personali di persone terze (anche solo per sbaglio), entra in gioco anche GDPR. Conviene scegliere una soluzioni il più possibile sicura.

ady976 ma la maggior parte dei documenti o foto, sono da condividere con amici e parenti.

Farei anche in modo che i due tipi di dati siano ben separati.

La VPN rimane la soluzione più sicura perché la superficie di attacco è molto ridotta. Non a caso è la soluzione che le aziende adottano per i propri dipendenti che lavorano da remoto e devono accedere a risorse interne. L'hardening che proponi nel primo messaggio è anche un punto di partenza, ma non protegge da vulnerabilità del Synology, una volta che è direttamente accessibile dal web. Si può fare un hardening più sofisticato, ma ci vogliono anche i mezzi e gli skill adeguati. Un sistema esposto direttamente va anche monitorato con attenzione.

ady976 ma mi sono stoppato alla scritta in rosso che si vede dal seguente screenshot.

Quella schermata è probabilmente obsoleta - OpenVPN ha client per iOS e Android, ma se il server VPN è anch'esso obsoleto è meglio affidarsi a qualcosa di più aggiornato - il firmware del NAS è aggiornato?

Juza

ady976 spezzo una lancia anch'io per la soluzione cloud. Mi sembra di capire che non si stia parlando di terabyte di dati e quindi secondo me è inutile complicarsi la vita in termini di sicurezza etc.

ady976

[cancellato] Tenete conto che se qualcosa contiene dati personali di persone terze (anche solo per sbaglio), entra in gioco anche GDPR. Conviene scegliere una soluzioni il più possibile sicura.

No, nessun dato sensibile, solo manualistica e pro-forma editabili. Se dovessero "bucare", mi darebbe più fastidio per la parte personale che per la parte lavorativa che abbiamo regolarmente backuppata in sede.

[cancellato] Quella schermata è probabilmente obsoleta - OpenVPN ha client per iOS e Android, ma se il server VPN è anch'esso obsoleto è meglio affidarsi a qualcosa di più aggiornato - il firmware del NAS è aggiornato?

Si, sto cercando eventuali upgrade, al momento ho individuato il Keenetic Titan (KN-1811), sto cercando di capire se è una soluzione alla mia portata come conoscenza, ho visto che è stato ampiamente trattato su FibraClick. Firmware del NAS aggiornato.

Juza spezzo una lancia anch'io per la soluzione cloud. Mi sembra di capire che non si stia parlando di terabyte di dati e quindi secondo me è inutile complicarsi la vita in termini di sicurezza etc.

La parte "professionale" è relativamente contenuta, nell'ordine di un paio di GB, effettivamente potremmo optare per un cloud, magari anche microsoft 365 che giù utilizzo.
Per la parte personale invece posso superare tranquillamente i 2 TB (anni di foto e video attualmente su HD esterni).

MaxBarbero Devi arrivare solo all'app photo? Usi solo http/https?

No, anche altri applicativi della serie DS (Drive, Audio, File...). Ancora non ho attuato la connessione diretta, ma si, nelle mie intenzioni iniziali era di usare l'htt*s://indirizzoIP:5001.
Ora sono più orientato ad un sistema con VPN su router...
Continuo a documentarmi.

Grazie per i suggerimenti e continuate pure che sono a buon punto 😛

MaxBarbero

ady976 No, anche altri applicativi della serie DS (Drive, Audio, File...). Ancora non ho attuato la connessione diretta, ma si, nelle mie intenzioni iniziali era di usare l'htt*s://indirizzoIP:5001.
Ora sono più orientato ad un sistema con VPN su router...

Se sono in http/s, se non vuoi utilizzare la vpn (che comunque resta la strada più sicura), puoi pensare ad un tunnel cloudflare in modo da esporlo non direttamente ma con un proxy e proteggerlo con il loro waf.
Il tunnel lo tiri su con un container lanciato sul nas

ady976

Di nuovo grazie a tutti, alla fine ho optato per una soluzione più alla mia portata; ho installato direttamente sul NAS il pacchetto VPN SERVER, settato con OpenVPN, configurato i client che si collegheranno da remoto tramite Open VPN Connect.
Possibile che bastava così poco?
Ho disattivato QuickConnect; rispetto alla situazione ante VPN, lato sicurezza, ho soltanto effettuato un inoltro porta dal router al NAS di una singola porta UDP, se provo da esterno, senza VPN a raggiungere INDIRIZZOFISSOIP:UDP non c'è risposta, quindi sembrerebbe ok (ricordo che ho un IP statico).
I dispositivi all'interno della rete domestica continuano ad accedere al NAS direttamente; ad esempio il PC principale, sul quale avevo montato il NAS come unità di rete (\192.168.X.X), continua a vederlo senza passare dalla VPN alla quale ho assegnato una classe di ip 10.8.XXX.XXX.
Posso stare al sicuro o c'è qualche ulteriore accortezza?

Graditissima ogni considerazione o suggerimento. Grazie ancora soprattutto per la pazienza 😉.

seymourddr

ady976 ho un ds 220+, io uso openvpn per collegarmi proprio come fai tu ma non avendo ip statico uso il ddns fornito gratuitamente da synology che trasforma l'ip qualunque esso sia con un indirizzo di dominio *.synology.me che decidi tu.
quick connect e utente admin ovviamente disabilitati. alla fine ti basta accendere la vpn nel tuo dispositivo ed è come se fossi in locale.

Informativa privacy - Informativa cookie - Termini e condizioni - Regolamento - Disclaimer - 🏳️‍🌈 🇵🇸
P.I. IT16712091004 - info@fibraclick.it

♻️ Il server di questo sito è alimentato al 100% con energia rinnovabile