English
Ob Kabelanschluss, DSL oder Glasfaser – bei immer mehr Internetanschlüssen von Vodafone und anderen Providern wird heutzutage ein sogenannter DS-Lite-Zugang bereitgestellt. Damit fällt die Möglichkeit weg, eine eigene, von außen erreichbare IPv4-Adresse zu nutzen. Soll deine Synology DiskStation über das Internet erreichbar sein, geht das in dem Fall nur über IPv6. Damit das funktioniert, muss der Router („Vodafone Station“) entsprechend konfiguriert werden. Wie das funktioniert, was es mit „IPv6 Host Exposure“ auf sich hat und was du sonst noch wissen solltest, erklären wir in der folgenden Anleitung.
Was bedeutet DS-Lite?
„DS“ steht für Dual Stack. Das bedeutet, dass beide Stacks – IPv4 und IPv6 – parallel verwendet werden. Der Zusatz „Lite“ beschreibt eine eingeschränkte Variante des Dual Stacks:
- IPv6 ist uneingeschränkt verfügbar. Der Kunde erhält für jedes Gerät im Heimnetzwerk jeweils eine vollwertige öffentliche IPv6-Adresse, über die eingehende und ausgehende Verbindungen möglich sind.
- IPv4 hingegen ist nur eingeschränkt verfügbar. Der Internetanschluss erhält nur eine geteilte IPv4-Adresse, die gleichzeitig von vielen anderen Anschlüssen genutzt wird. Das sorgt dafür, dass ausgehende Verbindungen problemlos funktionieren, eingehende IPv4-Verbindungen aber grundsätzlich nicht möglich sind. Klassische Portweiterleitungen für IPv4 können nicht mehr verwendet werden.
Da im heutigen Internet noch nicht alle Server und Webseiten mit IPv6 arbeiten, kann fürs normale Surfen zur Abwärtskompatibilität die gemeinsam genutzte IPv4-Adresse verwendet werden.
Vodafone Station Router: IPv6 Host Exposure
Da jedes Gerät in deinem Heimnetzwerk vom Vodafone Station Router eine weltweit einmalige IPv6-Adresse zugewiesen bekommen hat, ist die Erreichbarkeit aus dem Internet theoretisch unkompliziert möglich. Allerdings schützt die Vodafone Station die Geräte im Heimnetz standardmäßig, indem sie eingehenden IPv6-Traffic blockiert. Das ist ein wichtiges Sicherheitsfeature, da Geräte aus deinem lokalen Netzwerk in der Regel nicht von außerhalb erreichbar sein sollen. Möchte man jedoch gezielt ein Gerät, in unserem Fall die DiskStation, von außen erreichbar machen, muss man diese Zugriffs-Sperre für genau dieses Gerät aufheben.
Die Funktion IPv6 Host Exposure der Vodafone Station deaktiviert die Router-Firewall für das ausgewählte Gerät vollständig. Das bedeutet: Die DiskStation ist danach direkt über ihre IPv6-Adresse im Internet erreichbar. Sei dir der Konsequenzen bewusst und nutze die IPv6-Freigabe nur in Kombination mit geeigneten Sicherheitsmaßnahmen, beispielsweise einer Firewall auf der DiskStation. Im Folgenden wird beschrieben, wie man eine solche Freigabe beim Vodafone Station Router einrichtet und welche Punkte dabei zu beachten sind.
Bereich „IPv6 Host Exposure“ im Vodafone Router öffnen
- Öffne die Oberfläche des Vodafone Station Routers. Das geht meist über diese Adresse http://192.168.0.1 (innerhalb des Heimnetzwerks). Logge dich in die Oberfläche ein.
- Klicke auf Internet ❶ und anschließend im linken Menü auf IPv6 Host Exposure ❷.
- Um eine neue Freigabe zu erstellen, klicke auf + (Plus-Symbol) ❸.
IPv6 Host Exposure für die DiskStation einrichten
- Gib einen Namen für die Freigabe in das Feld Service Name ❶ ein, zum Beispiel
Diskstation Reverse Proxy. - Wähle bei Device ❷ deine Diskstation aus der Liste aus.
- Stelle bei Protocol ❸ das Protokoll
TCPein. - Wähle unter Type ❹ die Option
Portaus. - Gib beim Feld Port ❺ die zu öffnende Portnummer ein, für den Reverse Proxy z. B.
443. - Klicke abschließend auf Apply ❻, um die Regel zu speichern.
Regel aktivieren und Einstellungen übernehmen
- Aktiviere die neue Freigabe durch Klick auf den Schieberegler ❶.
- Bestätige alle Einstellungen durch Klick auf Apply ❷.
Damit ist die IPv6 Host Exposure für deine Synology DiskStation am Vodafone Station Router eingerichtet und sofort aktiv.
Eigenheiten bei der Vodafone Station
Der Begriff „Host Exposure“ bedeutet, dass der gesamte Host (hier also die DiskStation) dem Internet ausgesetzt (exposed) wird. Warum muss man dann, wie oben gezeigt, einen konkreten Port auswählen? Das ist inkonsistent und offensichtlich ein Fehler in der Benutzeroberfläche bzw. Firmware des Routers. Lass dich also durch die Port-Angabe nicht verwirren: Es wird das gesamte Gerät freigeschaltet, also alle Ports, nicht nur der/die angegebene(n)1. Dass das tatsächlich so ist, prüfen wir in diesem Abschnitt.
Fall 1: DiskStation-Firewall deaktiviert
Betrachten wir zuerst den Fall, dass die Firewall auf der Synology DiskStation deaktiviert ist. Das heißt, in der DiskStation-Weboberfläche DSM unter Systemsteuerung ist im Bereich Sicherheit ❶ im Tab Firewall ❷ das Häkchen bei Firewall aktivieren nicht gesetzt.
Da somit auf der DiskStation alle eingehenden Verbindungen grundsätzlich erlaubt sind, greifen ausschließlich die Portfreigaben und Sicherheitsregeln des Routers. Um das zu verifizieren, führen wir einen IPv6-Portscan durch.
In der gezeigten Beispielausgabe wurde der Hostname name.synology.me ❶ im Port-Bereich von 1 bis 1000 ❷ gescannt. Mit Setzen des Hakens ❸ und Klick auf Start Portscan ❹ sieht man folgendes Ergebnis:
- 10 Ports sind offen (open), darunter SSH, SMTP und HTTP. Das stellt ein potentielles Sicherheitsrisiko dar!
- Viele weitere Ports sind geschlossen (closed).
Wenn die Firewall auf der Synology Diskstation deaktiviert ist, sieht man, dass die im Vodafone Router konfigurierte „IPv6 Host Exposure“ als vollständige Exponierung des Geräts im IPv6-Netz wirkt. In der Praxis bedeutet das: Auch wenn im Router nur ein einzelner Port (z. B. 443) bei der Host Exposure ausgewählt wurde, sind tatsächlich alle offenen Ports der Diskstation aus dem Internet erreichbar.
Fall 2: DiskStation-Firewall aktiviert
Folge der verlinkten Anleitung, um die Firewall auf der DiskStation einzurichten und zu aktivieren.
Wenn du den Portscan anschließend wiederholst, sieht das Scan-Ergebnis nun wie gewünscht aus:
- TCP6 Port 443 (https) ist offen (open) – das ist gewünscht, da dieser Port in der Synology-Firewall für den Zugriff über den Reverse Proxy freigegeben wurde.
- 999 von 1000 Ports sind gefiltert (filtered) – das bedeutet, dass alle anderen Ports durch die DiskStation-Firewall blockiert werden und keine Antwort liefern.
Der Zugriff beschränkt sich damit tatsächlich auf die gewünschten Dienste – so wie es sicherheitstechnisch sein soll.
Quellen und weitere Infos
Wir haben noch eine weitere Anleitung zu diesem Themenkomplex:
Disclaimer:
Die hier bereitgestellten Anleitungen und Informationen wurden mit größter Sorgfalt erstellt. Dennoch übernehmen wir keinerlei Haftung für etwaige Schäden, Datenverluste oder andere Probleme, die durch das Befolgen dieser Anleitungen entstehen können. Jede*r handelt auf eigene Verantwortung. Bitte prüfe sorgfältig, ob die beschriebenen Schritte für dich, dein Gerät und dein System passen und erstelle vorab immer ein vollständiges Backup deiner Daten.
Schreibe einen Kommentar