Synology NAS interne Domain mit Zertifikat

[dedication]

Hey zusammen,
ich glaube ich brauche etwas Hilfe.

Momentan greife ich auf mein NAS und damit den Loginbereich intern via IP im Browser zu. Auf diese Weise bekommt man allerdings immer den Hinweis, dass die Verbindung nicht sicher ist, wegen Zertifikat und so weiter. Ich denke das muss ich nicht weiter erklären.
Nun würde ich das gerne ändern und mein NAS in Zukunft mit einem DNS-Namen bzw. Alias ansprechen und dieser internen Domain dann ein Zertifikat von Let's Encrypt oder von mir aus auch einem selbst signierten Zertifikat zuweisen, damich ich die Meldung bezüglich des nicht-vertrauenswürdigen Zertifikats in Zukunft nicht mehr bekomme.
D.h. der interne Eintrag z.B. [nas.DOMAIN.home] soll an den Login des NAS verweisen [Port 5001] ohne jedoch Zugriff von außen zuzulassen (kein externer Zugriff). Da ich jedoch für interne Zugriffe das NAS selbst als DNS verwende (und nicht den Router), weiß ich jetzt nicht genau, wie ich das am besten (bzw. sichersten) einrichte.

Kurz zum Setup:

• Das NAS läuft mit einer statischen IP, d.h. DDNS ist vermutlich nicht notwendig.
• Das NAS dient als DNS-Server, eine entsprechende Domain wurde bereits eingerichtet (für Mail-Server und co.)

-> Ich habe also bereits eine lokale Domain auf dem NAS [DOMAIN.home], welche ich z.B. für meinen Mail-Client verwende [imap.DOMAIN.home], nun möchte ich die selbe Domain verwenden, um dieser ein Zertifikat mitgeben zu können.
-> Ist so etwas möglich und kann ich überhaupt mein NAS-DNS-Server verwenden, um auf sich selbst zu verweisen oder muss ich hierfür zwingend den Router mit ins Boot holen und demenstprechend konfigurieren?

Da mein Router mein Standardgateway ist, muss ich diesem wohl irgendwie mitteilen, dass er bei der Eingabe des Aliases eben an das NAS im internen Netz und damit an die Login-Seite (Statische IP mit Port 5001) weiterleitet anstatt dafür im öffentlichen Web nach einem Eintrag zu suchen. Wie stelle ich das am Besten an, so dass das mit dem Zertifikat zuverlässig und sicher funktioniert? (vorausgesetzt es klappt nicht doch irgendwie mit dem NAS-DNS ohne den Router anfassen zu müssen).

WICHTIG: Ich möchte das NAS ausschließlich vom internen Netz aus erreichen können, ich spreche also NICHT von externem Zugriff von außen, wofür ja zwingend Port Forwarding von außen nach innen notwendig wäre.

Danke euch!

 

[Renegade334]

Gehört dir DOMAIN.home? Ansonsten bekommst du von keiner öffentlichen CA ein Zertifikat.
Dann bleiben dir ansonsten nur selbst signierte Zertifikate, oder eine eigene interne CA. Die eigene CA lohnt sich, sobald du mehrere Geräte ohne Warnung erreichbar machen willst (z.B. fritzbox.domäne.home), da du dann nur ein Root Zertifikat verteilen müsstest statt jedes selbst signierte Zertifikat.
Theoretisch kannst du auch eine eigene CA faken indem du ein Root Zertifikat selbst erstellst und damit andere Zertifikate ausstellst/signierst. Dann hast du aber keine Sperrlisten oder ähnliches und weniger Komfort.

Der aktuell übliche Standard wäre intern eine subdomain einer Domäne die dir gehört zu nutzen. Also sowas wie home.deinedomäne.de. Die Domäne komplett zu nutzen geht zwar auch, aber dann hast du mehr Arbeit mit der DNS Auflösung (Split-Brain DNS). Dann kannst du auch ohne Probleme Zertifikate von einer öffentlichen CA wie Let's Encrypt beantragen und brauchst die nicht zu verteilen.
Das wäre auch die Methode, die ich dir empfehlen würde. Der einzige "Nachteil" wäre, dass deine registrierten Geräte in öffentlichen Listen zu sehen sind. Da du die aber nicht routbar machen willst, ist das total egal. Security by obscurity kann man eh vernachlässigen.

 

[Rickmer]

Der Router ist egal, aber du musst auf den einen oder anderen Weg deinem PC beibringen, dass er dem Zertifikat auch vertrauen kann.

Nun würde ich das gerne ändern und mein NAS in Zukunft mit einem DNS-Namen bzw. Alias ansprechen und dieser internen Domain dann ein Zertifikat von Let's Encrypt oder von mir aus auch einem selbst signierten Zertifikat zuweisen, damich ich die Meldung bezüglich des nicht-vertrauenswürdigen Zertifikats in Zukunft nicht mehr bekomme.

Let's Encrypt gibt mWn nur öffentliche Zertifikate, das wird bei dir nichts.

Gehört dir DOMAIN.home?

Keine Chance. Das ist keine gültige TLD
https://en.wikipedia.org/wiki/.home

 

[Renegade334]

Keine Chance. Das ist keine gültige TLD
https://en.wikipedia.org/wiki/.home

.home hätte ja auch ein Beispiel sein können

 

[dedication]

Gehört dir DOMAIN.home?

Jein. Das ist keine offizielle Domain, sondern lediglich der Name der internen Domain, welche ich selbst angelegt habe (primary zone). D.h. die Domain gehört mir, ich muss aber nicht dafür zahlen. Is ja schließlich lediglich intern und nicht von außen erreichbar. Ich könnte den Namen dieser internen Domain jederzeit ändern.
Für außen habe ich eine externe Domain [DOMAIN.de], für die bezahle ich natürlich. Aber nochmal: Mir geht es ja nicht um den externen Zugriff, sondern lediglich intern. Und für genau diese interne Domain möchte ich nun ein Zertifikat vergeben und das muss auch nicht von einer öffentlichen Stelle kommen. Ich vertraue schließlich meinen eigenen Zertifikaten.

 

[Renegade334]

D.h. die Domain gehört mir, ich muss aber nicht dafür zahlen. Is ja schließlich lediglich intern und nicht von außen erreichbar.
Für außen habe ich eine externe Domain [DOMAIN.de], für die bezahle ich natürlich. Aber nochmal: Mir geht es ja nicht um den externen Zugriff, sondern lediglich intern.

Für eine CA ist das ein Unterschied.
Die Domain gehört dir nicht, sondern du nutzt die einfach. Ich könnte meine interne Domain auch google.com nennen.

Auch wenn du nicht extern zugreifen willst, würde ich an deiner Stelle an etwas wie intern.DOMAIN.de überlegen. Dann hast du die ganzen Probleme nicht. Dazu muss keines deiner Geräte von extern erreichbar sein. Die Bestätigung, dass die Domäne dir gehört, kannst du auch über DNS oder, je nach Anbieter, mit einem API Schlüssel deines Domain Anbieters bestätigen.
Dann kannst du beliebige Zertifikate für deine Domäne ausstellen lassen. Auch für nicht erreichbare interne Geräte.

//edit:
Außer der Name wie z.B. router.intern.domäne.de wird dir zu lang...

 

[dedication]

Für eine CA ist das ein Unterschied. Die Domain gehört dir nicht, sondern du nutzt die einfach.

Stimmt, das ist natürlich richtig.

Auch wenn du nicht extern zugreifen willst, würde ich an deiner Stelle an etwas wie intern.DOMAIN.de überlegen.

Was genau meinst du damit? DOMAIN.de ist ja die extern erreichbare Domain, wozu genau sollte ich die jetzt verwenden, um auf interne Geräte zu verweisen?
Verstehe den Gedankengang dahinter gerade nicht ganz.

Wenn ich das so machen würde, dann würde das doch im Umkehrschluss bedeuten, dass sobald das Internet bei mir mal ausfällt, auch die Weiterleitung an das NAS wegfällt und ich somit in diesem Zeitraum nicht über den Alias (Domain) sondern wieder nur via IP auf das NAS komme?
Eine interne Lösung hätte halt den Vorteil, dass ich von allen externen Einflüssen isoliert bin. Ich möchte meinen Zugriff auf das NAS eigentlich ungern vom Internet-Zugriff abhängig machen (externer oder interner Zugriff hin oder her).

Die Bestätigung, dass die Domäne dir gehört, kannst du auch über DNS oder, je nach Anbieter, mit einem API Schlüssel deines Domain Anbieters bestätigen.

Da ich der Anbieter der internen Domain bin, kann ich diesen Schlüssel also selbst setzen?
Wenn das das Zertifikat-Problem löst, gerne.
Wie genau sieht so ein Schlüssel aus? Das ist bestimmt kein einfacher A-Eintrag im DNS-Server?
Oder geht das wirklich nur mit externen Domains, die von offiziellen Anbietern kommen?

Ergänzung (26. Oktober 2024)

https://www.reddit.com/r/synology/comments/inoq0a/using_domain_for_internal_access_nas/

Gemäß dem Link sollte das eigentlich nicht so schwer sein.

"If your gateway does not support hairpin nat (and it’s seems it doesn’t based on your symptoms) you need to add dns record to its resolver to point the FQDN to LAN IP."
-> Genau so etwas hätte ich mir vorgestellt. Weiß nur nicht genau wie.

"You can use DNS server and point your router to it"
-> Alternativ zu oben eben über diesen Weg.

 

[DevD2016]

Bei deiner Synology ein Zertifikat erstellen und die Synology als CA in dem Windows eintragen. Sprich Windows sagen das er dem Zertifikat der Synology vertrauen kann.

 

[dedication]

@DevD2016 Hab das Synology-Zertifikat manuell unter Windows importiert, das hat aber nicht ausgereicht.
Wie kann ich unter Windows einstellen, dass Synology als CA herhalten soll und damit vertrauenswürdig ist?

 

[DevD2016]

"vertrauenswürdige Stammzertifizierungstelle" -> da auch drin? Die Synology selbst muss als CA vertraut werden. Bislang ja nur das Zertifikat da, welches von der Synology erstellt wurde. Windows vertraut aber der CA nicht,

 

[Rickmer]

Was genau meinst du damit? DOMAIN.de ist ja die extern erreichbare Domain, wozu genau sollte ich die jetzt verwenden, um auf interne Geräte zu verweisen?

Damit man ein Wildcard Cert nutzen kann? Das geht auch intern und dann hast du keine Probleme mit dem Thema der vertrauenswürdigen Stammzertifizierungsstelle.

Teilweise bekommst du ein Zertifikat auch über deinen Registrar kostenlos, alternativ halt Let's Encrypt.

 

[Renegade334]

Stimmt, das ist natürlich richtig.

Was genau meinst du damit? DOMAIN.de ist ja die extern erreichbare Domain, wozu genau sollte ich die jetzt verwenden, um auf interne Geräte zu verweisen?
Verstehe den Gedankengang dahinter gerade nicht ganz.

Deine interne Domain muss nicht über einen externen DNS laufen.
Deine DOMAIN.home verteilst du ja jetzt auch schon irgendwie intern. Vermutlich über dein NAS als DNS, da die FritzBox das nur über Umwege kann. Da würdest du dann z.B. home.DOMAIN.de hinterlegen. Solange in deinem internen Netz alle Anfragen erst über deinen internen DNS Server laufen, brauchen öffentliche DNS nichts von der Subdomain zu wissen.

Wenn ich das so machen würde, dann würde das doch im Umkehrschluss bedeuten, dass sobald das Internet bei mir mal ausfällt, auch die Weiterleitung an das NAS wegfällt und ich somit in diesem Zeitraum nicht über den Alias (Domain) sondern wieder nur via IP auf das NAS komme?
Eine interne Lösung hätte halt den Vorteil, dass ich von allen externen Einflüssen isoliert bin. Ich möchte meinen Zugriff auf das NAS eigentlich ungern vom Internet-Zugriff abhängig machen (externer oder interner Zugriff hin oder her).

Wie gesagt, die externe Auflösung ist nur als Bestätigung für Let's Encrypt, damit du bestätigst, dass du Zertifikate anfordern darfst. Da trägst du aber nicht deine internen Geräte ein.

Da ich der Anbieter der internen Domain bin, kann ich diesen Schlüssel also selbst setzen?
Wenn das das Zertifikat-Problem löst, gerne.
Wie genau sieht so ein Schlüssel aus? Das ist bestimmt kein einfacher A-Eintrag im DNS-Server?
Oder geht das wirklich nur mit externen Domains, die von offiziellen Anbietern kommen?

Das gilt nur für externe Domains. Deswegen war der Tipp eine subdomain deiner externen zu nutzen. Die gilt als extern. Das heißt aber nicht, dass du die subdomain auch extern setzen musst. Alles unter deiner Domain gehört dir. Das reicht für das Zertifikat.

"If your gateway does not support hairpin nat (and it’s seems it doesn’t based on your symptoms) you need to add dns record to its resolver to point the FQDN to LAN IP."
-> Genau so etwas hätte ich mir vorgestellt. Weiß nur nicht genau wie.

Das verstehe ich gerade ohne Kontext nicht so ganz
Ja, man kann im externen DNS deine internen IPs angeben, aber das macht man eigentlich nicht. Wenn man nichts umstellt, blockiert dein Router das auch. (Stichwort Rebind Schutz)

"You can use DNS server and point your router to it"
-> Alternativ zu oben eben über diesen Weg.

Das machst du doch aktuell, oder? Irgendwoher bekommt dein PC doch die Info, dass PC1.DOMAIN.home eine bestimmte IP Adresse hat. Eine FritzBox kann das nur über Umwege, daher gehe ich davon aus, dass du DNS weiterleistest, oder dein NAS das alles übernimmt.

 

[dedication]

"vertrauenswürdige Stammzertifizierungstelle" -> da auch drin?

Gut zu wissen, dass Windows da noch differenziert. Habs eben also auch dort noch hinzugefügt und sogar eine Warnung erhalten, ob ich diesem CA tatsächlich vertrauen möchte 😊

Nun heißt es wie folgt:
"Websites bestätigen ihre Identität mittels Zertifikaten. Firefox vertraut dieser Website nicht, weil das von der Website verwendete Zertifikat nicht für 192.168.XXX.YY:5001 gilt. Das Zertifikat ist nur gültig für synology."

Ich schätze also mal, dass man einer IP nicht einfach so ein Zertifikat anfügen kann, sehe ich das richtig?
Das würde uns wieder zu oben zurück bringen, also den Weg über eine interne Domain und dessen Validierung.

 

[Renegade334]

Ich schätze also mal, dass man einer IP nicht einfach so ein Zertifikat anfügen kann, sehe ich das richtig?
Das würde uns wieder zu oben zurück bringen, also den Weg über eine interne Domain und dessen Validierung.

Mit eigenen Zertifikaten geht das, aber eigentlich macht man das nicht.
Im Zertifikat steht der Name (oder mehrere bei SAN / Wildcard) für den das gilt. Über den passenden Namen solltest du also keine Warnung bekommen.

//edit:
Mal als Beispiel wie das intern aussehen kann

Ohne Domäne und mit IP macht man eigentlich nicht und ist auch mit einer öffentlichen CA nicht möglich.
Genauso wenig wie fritz.box, da die Domäne inzwischen AVM gehört.

Was man intern macht ist dabei egal. Meinen Zertifikaten vertrauen ja nur meine Geräte.
Eine öffentliche CA darf dir so ein Zertifikat aber nicht ausstellen.

 

[dedication]

Damit man ein Wildcard Cert nutzen kann? Das geht auch intern und dann hast du keine Probleme mit dem Thema der vertrauenswürdigen Stammzertifizierungsstelle.

Deine interne Domain muss nicht über einen externen DNS laufen.

ah, jetzt verstehe ich so langsam was ihr meint.
Aber wie genau stelle ich sicher, dass der externe DNS nichts von den internen Geräten weiß?
Wenn ich jetzt also eine externe Subdomain einrichte würde, welche auf mein NAS im Haus verweist (so wie aktuell eben beim Verweis mittels CNAME meiner Cloud von extern nach intern, also von cloud.DOMAIN.de nach localhost: PORT für Cloudzugriff), hätte doch jeder von außen Zugriff darauf? Also theoretisch zumindest mit Passwort usw. sobald er diese Subdomain ansteuert oder nicht?

Oder meint ihr das folgendermaßen:
Externe Domain [beispiel.DOMAIN.de] verweist lediglich auf mein NAS (und nicht auf einen spezifischen Dienst oder Gerät im Netz) und von dort übernimmt dann der interne DNS-Server des NAS die Weiterleitung an die anderen Geräte im Netz? Und über diesen Weg würde ich dann ein offizielles Zertifikat für meine externe Subdomain erhalten, welches auch intern für alle Geräte als valide angesehen wird?
Man muss das alles so kompliziert sein? 😂

Deine DOMAIN.home verteilst du ja jetzt auch schon irgendwie intern. Vermutlich über dein NAS als DNS, da die FritzBox das nur über Umwege kann. Da würdest du dann z.B. home.DOMAIN.de hinterlegen. Solange in deinem internen Netz alle Anfragen erst über deinen internen DNS Server laufen, brauchen öffentliche DNS nichts von der Subdomain zu wissen.

Genau so ist es. Aber selbe Frage wie oben: Wie stelle ich absolut und 100% sicher, dass die öffentlichen Dienste nichts von der Subdomain wissen und es dennoch mit den Zertifikaten klappt?

 

[DevD2016]

AFAIK muss es ein Name sein. Bisschen grauwissen bei mir. ;-)

 

[Renegade334]

In dem öffentlichem DNS stellst du einfach nichts ein.
Der wird höchstens genutzt um zu bestätigen, dass dir die Domäne gehört.
Das geht entweder mit einem DNS Eintrag oder mit einer API über deinen Anbieter.
Es gibt auch die Möglichkeit das mit einem unter der Adresse erreichbarem Webserver zu machen, aber das macht man kaum noch, weil du damit nur für die eine Adresse ein Zertifikat erhältst.

Deinen internen DNS stellst du auf die subdomain um. Den erreicht von extern niemand, also kann auch niemand extern die Adressen auflösen. also anstelle von DOMAIN.home stellst du den um auf home.DOMAIN.de. Deine Geräte sollten dann auch unter der Adresse erreichbar sein (wer macht DHCP? Oder pflegst du das händisch?).

Wenn dir die Hauptdomäne domain.de gehört kannst du für alles darunter Zertifikate anfordern. Egal wie oft verschachtelt. Dazu musst du das nicht im DNS hinterlegen. Alles unter der Ebene die du bestätigst gilt als deins, also stellt dir die CA Zertifikate aus.

//edit:
Beispiel:

• Deine Domäne ist domain.de
• Deine interne Domäne soll home.domain.de sein
• Wenn ich im DNS nach PC1.home.domain.de suche, bekomme ich die Antwort, dass die Domäne nicht gefunden wurde.
• Wenn du intern danach suchst, sagt dein NAS PC1.home.domain.de ist IP 192.168.0.51
• Wenn du von außerhalb (z.B. bei einem Freund zuhause) danach suchst, hat dein Gerät das entweder noch im Cache, kann es aber nicht erreichen (oder findet unter der IP ein Gerät im Netzwerk in dem du gerade bist), oder du bekommst auch die Antwort, dass die Domäne nicht gefunden wurde.
• Suchst du intern nach domain.de leitet dein NAS die Anfrage an einen öffentlichen DNS weiter, da dein DNS nur home.domain.de kennt. Der öffentliche DNS gibt dann z.B. deine Homepage zurück.

 

[dedication]

Deinen internen DNS stellst du auf die subdomain um. Den erreicht von extern niemand, also kann auch niemand extern die Adressen auflösen. also anstelle von DOMAIN.home stellst du den um auf home.DOMAIN.de. Deine Geräte sollten dann auch unter der Adresse erreichbar sein (wer macht DHCP? Oder pflegst du das händisch?).

DHCP macht ebenfalls das NAS selbst. Zum Glück aber nur ein Subnetz bisher, von .1 bis maximal .255 also kein internes Routing zwischen Subnetzen nötig.
Danke für die Erklärung, das hat schonmal geholfen. Komplett verstanden habe ich es noch nicht ganz aber wir kommen der Sache näher 😂

home.DOMAIN.de wäre in dem Fall dann der Ersatz für den momentan verwendeten internen DNS (DOMAIN.home), also im Grunde lediglich ein neuer Name für die selbe Funktion, verstehe ich das richtig?
Und da dieser neue Name dann dem Namen meiner offiziellen, externen Domain entspricht, bekomme ich dafür auch Zertifikate, sowie alle Geräte, die unter dieser Domain verwaltet werden. Soweit korrekt? Möchte das nur einmal richtig verstanden haben.

Falls ja, müsste ich ja lediglich die Einträge im aktuell verwendeten internen DNS (DOMAIN.home) anpassen, also alle Einträge dort eben auf die externe Domain (home.DOMAIN.de) ummünzen, richtig?

Wenn dir die Hauptdomäne domain.de gehört kannst du für alles darunter Zertifikate anfordern. Egal wie oft verschachtelt. Dazu musst du das nicht im DNS hinterlegen. Alles unter der Ebene die du bestätigst gilt als deins, also stellt dir die CA Zertifikate aus.

Danke, das hat ebenfalls geholfen. Gut zu wissen.

 

[Renegade334]

home.DOMAIN.de wäre in dem Fall dann der Ersatz für den momentan verwendeten internen DNS (DOMAIN.home), also im Grunde lediglich ein neuer Name für die selbe Funktion, verstehe ich das richtig?
Und da dieser neue Name dann dem Namen meiner offiziellen, externen Domain entspricht, bekomme ich dafür auch Zertifikate, sowie alle Geräte, die unter dieser Domain verwaltet werden. Soweit korrekt? Möchte das nur einmal richtig verstanden haben.

Falls ja, müsste ich ja lediglich die Einträge im aktuell verwendeten internen DNS (DOMAIN.home) anpassen, also alle Einträge dort eben auf die externe Domain (home.DOMAIN.de) ummünzen, richtig?

Genau.
Meist ist das nur ein Eintrag in der Oberfläche vom NAS der geändert wird und alles was dazu gehört (DHCP, DNS, ...) wird mit angepasst.

Feinheiten wie die automatische Suchdomäne (wenn du PC1 eingibst sucht dein Gerät z.B. auch automatisch nach PC1.domain.home.) kommen dann, wenn die Geräte sich einmal neu ihre IP anfordern. Ob dein NAS erstmal alle bekannten Geräte zurücksetzt (vergisst) hängt von der Software ab, aber spätestens wenn die ihre IP neu anfordern, sollte alles wieder passen.

 

[dedication]

@Renegade334

So sieht es aktuell aus:

DHCP kann so bleiben wie er ist nehme ich an?
Oder muss der Verweis auf den primären DNS dann ebenfalls statt der IP des NAS dann die externe Domain enthalten (home.DOMAIN.de)?
Oder versteht er das auch von alleine, wenn ich auf die IP verweise, dass er dann auch auf die DNS-Einträge des NAS verwendet?
Selbes gilt auch für den Client-PC (Windows). Dort ist aktuell die IP des NAS als DNS eingetragen, sollte ich auch dort auf den neuen Namen der Domain umebennen oder versteht er das auch so? IP ist statisch, solle also gehen nehme ich an. Aber vielleicht mach ich es dennoch, einfach um für die Zukunft sicher zu gehen (also falls sich die IP doch mal ändern sollte).

Und bei DNS muss ich die primary zone (Zonen-ID) umbenennen und alle Einträge darin sollten sich eigentlich automatisch an den neuen Domain-Namen anpassen hoffe ich.
Falls nicht, muss ich da eben nochmal händisch drüber und alle Werte anpassen.

Und wenn das erledigt ist, besorge ich mir ein Zertifikat für die neue Domain von Let's Encrypt oder lieber eines von Synology selbst?
Und das Zertifikat soll dann gleich für die ganze Domain [DOMAIN.de] und nicht nur für [home.DOMAIN.de] ausgestellt werden richtig? Also dann gleich für alles was mit der Domain zu tun hat oder sollte man das lieber differenzieren?