NAS DIY - samogradnja, oprema, operativni sustavi, pitanja,...

[Libertus]

Nema potrebe razvlačiti priču. Pogledao sam linkove što je @tomek@VZ gore naveo i imam osjećam da svi mi ovdje slično mislimo samo svako tepe svoje.

Što se tiče SSL certifikata i HTTPS-a, jedino se spajam na Synology preko HTTPSa kada nisam u lokalnoj mreži. Default je 443 i 5001, dok je kod mene neki random. To je web port za DSM sučelje i većinu (ili možda sve) DSM android aplikacije. HTTP port je off, tj. nije dostupan izvana.

[tomek@vz]

A jebo...


https://www.thesslstore.com/blog/is-...cure-https-is/
https://stackoverflow.com/questions/...ata-over-https
https://www.eff.org/deeplinks/2011/1...re-https-today
https://www.kaspersky.com/blog/https...an-safe/20725/


Ukratko - HTTPS nije nekaj na kaj se mozes osloniti 100% kao "hacker proof" tehnologiju. Sigurnost sustava je delikatna tema i odraduje se u slojevima - sto vise slojeva - sustav je sigurniji. HTTPS je dobar da netko na lokalnoj mrezi ne vidi traffic ali nije garancija za ista. VPN je dodatni sloj zastite kojim osiguravas sigurnu i DIREKTNU konekciju izmedu 2 uredaja. Ako imas gore samo Severinin pornic - HTTPS je dosta. Ako imas ista privatno gore na istoj kanti , bilo da se radi o dokumentima, slikama itd - zelis da sustav bude sto sigurniji ako ga spajas na internet, bez obzira koji port bio u pitanju.

[Nick7]

Autor tomek@vz

HTTPS je dobar da netko na lokalnoj mrezi ne vidi traffic ali nije garancija za ista.

E jebga... sad procitaj sam linkove sto si napisao.

HTTPS *je* dovoljno secure. Problem nastaje kad se ne upotrebljava 'ispravno', kad se ignoriraju certifikati, itd... tocnije - najveca greska je korisnik sam.

Kako se HTTPS moze hackirati, tako se moze i VPN (OK, nije 'ista' stvar, ali znas sto mislim).

Za home usera VPN smanjuje glavobolju najvise na nacin da taj prvi layer - VPN mora biti dovoljno 'hack-proof', sto u vecini slucajeva je.

Sa HTTPS-om, tu dolazimo do mogucih greski u konfiguraciji, potencijalnih bugova kod web servera, itd... no, vecinom se svodi na konfiguraciju.

[tomek@vz]

Autor Nick7

HTTPS *je* dovoljno secure. Problem nastaje kad se ne upotrebljava 'ispravno', kad se ignoriraju certifikati, itd... tocnije - najveca greska je korisnik sam.

Bingo

[m4dm4n]

Autor Libertus

Nema potrebe razvlačiti priču. Pogledao sam linkove što je @tomek@VZ gore naveo i imam osjećam da svi mi ovdje slično mislimo samo svako tepe svoje.

Što se tiče SSL certifikata i HTTPS-a, jedino se spajam na Synology preko HTTPSa kada nisam u lokalnoj mreži. Default je 443 i 5001, dok je kod mene neki random. To je web port za DSM sučelje i većinu (ili možda sve) DSM android aplikacije. HTTP port je off, tj. nije dostupan izvana.

Ok, onda sam dobro skužio. Za početak, httpS služi isključivo da bi se enkriptirao promet izmedju tebe i Synologya. I sve je to divno i krasno, no tvoj uređaj je javno dostupan i to tvoje igranje sa portovima ne znači ništa, odnosno vrlo malo. 5 milijardi aktivnih ljudi na internetu ima svo vrijeme svijeta da ti nađe rupu.
Zaključak, radi što hoćeš, tvoj život i podaci, no ovaj setup nije pametan ni siguran.

Sent from my SM-G991B using Tapatalk

[xlr]

Vrijedi li isto misljenje i ako pristup nas-u kontrolira proxy manager (instaliran na odvojenom hardveru, ne nas-u)?

Primjer: imam Drive app na remote kompu, logiram se preko moje domene mojsynology.com, domena je na cloudflareu, a na lokalnoj mrezi proxy manager upravlja pristupom prema synologyju. Na proxy manageru je importani cloudflare CA certifikat, SSL je podesen na full (strict) i sve je maxano. Na cloudflare firewallu je izmedju ostalog blokiran non-https traffic (vidim masu takvih blokiranih upita na mjesecnoj bazi), forsira se redirekcija na https itd itd.

Nisam neki web expert, mjesecima sam se jezio kada sam trebao pustiti domenu online, pa sam dosta vremena ulozio u setup i ucenje. E sad... Uvijek moze bolje/sigurnije, to mi je jasno. Znam samo da nisam htio otvarati portove direktno na nas-u nego od starta ici iskljucivo preko proxyja na 443.

[tomek@vz]

Autor xlr

Vrijedi li isto misljenje i ako pristup nas-u kontrolira proxy manager (instaliran na odvojenom hardveru, ne nas-u)?

Primjer: imam Drive app na remote kompu, logiram se preko moje domene mojsynology.com, domena je na cloudflareu, a na lokalnoj mrezi proxy manager upravlja pristupom prema synologyju. Na proxy manageru je importani cloudflare CA certifikat, SSL je podesen na full (strict) i sve je maxano. Na cloudflare firewallu je izmedju ostalog blokiran non-https traffic (vidim masu takvih blokiranih upita na mjesecnoj bazi), forsira se redirekcija na https itd itd.

Nisam neki web expert, mjesecima sam se jezio kada sam trebao pustiti domenu online, pa sam dosta vremena ulozio u setup i ucenje. E sad... Uvijek moze bolje/sigurnije, to mi je jasno. Znam samo da nisam htio otvarati portove direktno na nas-u nego od starta ici iskljucivo preko proxyja na 443.

Da. RevProxy je dodatan bonus. Tak bi inace trebalo uvijek biti.

[m4dm4n]

Autor xlr

Vrijedi li isto misljenje i ako pristup nas-u kontrolira proxy manager (instaliran na odvojenom hardveru, ne nas-u)?

Primjer: imam Drive app na remote kompu, logiram se preko moje domene mojsynology.com, domena je na cloudflareu, a na lokalnoj mrezi proxy manager upravlja pristupom prema synologyju. Na proxy manageru je importani cloudflare CA certifikat, SSL je podesen na full (strict) i sve je maxano. Na cloudflare firewallu je izmedju ostalog blokiran non-https traffic (vidim masu takvih blokiranih upita na mjesecnoj bazi), forsira se redirekcija na https itd itd.

Nisam neki web expert, mjesecima sam se jezio kada sam trebao pustiti domenu online, pa sam dosta vremena ulozio u setup i ucenje. E sad... Uvijek moze bolje/sigurnije, to mi je jasno. Znam samo da nisam htio otvarati portove direktno na nas-u nego od starta ici iskljucivo preko proxyja na 443.

Bilo koja metoda koja će staviti dodatan layer zaštite i da servis nije direktno dostupan na internetovima.

Sent from my SM-G991B using Tapatalk

[Libertus]

Autor m4dm4n

Zaključak, radi što hoćeš, tvoj život i podaci, no ovaj setup nije pametan ni siguran.

Prvi najsigurniji setup je da nemam NAS.
Drugi da ga spajam preko USB-a i da je cijelo vrijeme offline, ali i u tim trenucima (spajanja) mi netko može štetu nanijeti.

Treba naći balans između korištenja nečega i sigurnosti istog (ili u krajnjem slučaju paranoje). Meni NAS kojem ne mogu pristupiti izvana, jednostavno ne treba. Ako ga stavim 100% iza VPN-a opet, može koristiti samo MENI i nikom drugom u mom kućanstvu ili izvan njega.

VPN server je isto tako izložen Internetu kao i https port, u jednakoj mjeri. Vrlo vjerojatno je VPN server jednostavniji software od DSM-a sa manjom površinom za napad i otkrivanje bugova, ali nije sigurno sveti gral sigurnosti. Treba naći mjeru i način na koji će NAS ostati upotrebljiv, a i maksimalno siguran.

Morat ću se uputiti što točno kolega @xlr misli pod hostanjem domene na cloudflare i kako radi taj proxy manager da vidim ima li smisla uvoditi isto.

Meni je npr. na routeru postavljen firewall na način da komunikacija koja kreće sa NAS-a može ići na Internet isključivo i jedino preko VPN-a (NAS je VPN client na random server od 60-tak mogućih). Jedino kada NAS ne ide na Internet preko VPN-a je kada dobije upit putem normalne veze na taj (https) port, tada odgovara istim putem.
Default admin račun je isključen. Obavezno je korištenje https, sve se preusmjerava na njega. Šifre su ozbiljne, ne igračke. DSM je uvijek ažuran, router također, itd. Znači neka razina sigurnosti postoji, samo ne apsolutne.
Vidjet ćemo da li se može još nešto podići.

[tomek@vz]

Autor Libertus

Prvi najsigurniji setup je da nemam NAS.
Drugi da ga spajam preko USB-a i da je cijelo vrijeme offline, ali i u tim trenucima (spajanja) mi netko može štetu nanijeti.

Treba naći balans između korištenja nečega i sigurnosti istog (ili u krajnjem slučaju paranoje). Meni NAS kojem ne mogu pristupiti izvana, jednostavno ne treba. Ako ga stavim 100% iza VPN-a opet, može koristiti samo MENI i nikom drugom u mom kućanstvu ili izvan njega.

VPN server je isto tako izložen Internetu kao i https port, u jednakoj mjeri. Vrlo vjerojatno je VPN server jednostavniji software od DSM-a sa manjom površinom za napad i otkrivanje bugova, ali nije sigurno sveti gral sigurnosti. Treba naći mjeru i način na koji će NAS ostati upotrebljiv, a i maksimalno siguran.

Morat ću se uputiti što točno kolega @xlr misli pod hostanjem domene na cloudflare i kako radi taj proxy manager da vidim ima li smisla uvoditi isto.

Meni je npr. na routeru postavljen firewall na način da komunikacija koja kreće sa NAS-a može ići na Internet isključivo i jedino preko VPN-a (NAS je VPN client na random server od 60-tak mogućih). Jedino kada NAS ne ide na Internet preko VPN-a je kada dobije upit putem normalne veze na taj (https) port, tada odgovara istim putem.
Default admin račun je isključen. Obavezno je korištenje https, sve se preusmjerava na njega. Šifre su ozbiljne, ne igračke. DSM je uvijek ažuran, router također, itd. Znači neka razina sigurnosti postoji, samo ne apsolutne.
Vidjet ćemo da li se može još nešto podići.

Ti ides iz jednog extrema u drugi. VPN + HTTPS je RAZUMNA razina sigurnosti za tvoje potrebe. Drugo kako to mislis da samo se ti prek VPN-a mozes spojit? VPN-u podrzava vise korisnika, inace ga nitko nebi koristio.

[Libertus]

Vjerojatno se NE razumijemo PONOVNO. HTTPS mi je za pristup NAS-u izvana (DS aplikacije na mobitelima, dijeljenje linkova itd). VPN mi je kada NAS pristupa Internetu.

Znači VPN u mom slučaju nije tunel putem kojeg ja pristupam NAS-u nego tunel putem kojem NAS ide na Internet.

[m4dm4n]

Autor Libertus

Vjerojatno se NE razumijemo PONOVNO. HTTPS mi je za pristup NAS-u izvana (DS aplikacije na mobitelima, dijeljenje linkova itd). VPN mi je kada NAS pristupa Internetu.

Znači VPN u mom slučaju nije tunel putem kojeg ja pristupam NAS-u nego tunel putem kojem NAS ide na Internet.

Tek to je glupost...

Sent from my SM-G991B using Tapatalk

[Libertus]

Najlakše je napisati da je glupost bez razmišljanja. Razmisli još jednom.
Ako ti moram crtati zašto onda stvarno ne vrijedi.

[Nikky]

Dečki budite dobri, bez nepotrebne svađe

[m4dm4n]

Autor Libertus

Najlakše je napisati da je glupost bez razmišljanja. Razmisli još jednom.
Ako ti moram crtati zašto onda stvarno ne vrijedi.

Nije bez razmišljanja, hrpa ljudi ti objašnjava zašto je to bedasto, ali ti i dalje po svome.
Kaj si to točno dobio da NAS ide prek vpna na Internet?
I drugo, izložen ti je na internetu, sretno ti bilo, ransomware ekipa bit će oduševljena, a ti ćeš saznati koliko tvoji podaci vrijede.

@Nikky I nema tu nikakve svađe, valjda se čovjeku može reći da mu rješenje nije kvalitetno.

Sent from my SM-G991B using Tapatalk

[xlr]

Autor Libertus

Morat ću se uputiti što točno kolega @xlr misli pod hostanjem domene na cloudflare i kako radi taj proxy manager da vidim ima li smisla uvoditi isto.

Ukratko, kupis domenu bilo gdje i prebacis je na cloudflare (ili kupis kod njih ako imaju to sto zelis). Nakon toga sav setup oko domene upravljas na cloudflareu. Podesis firewall rules i blokiras cim vise prometa prema domeni (meni domena sluzi samo za nas pa sam pokusao cim vise toga blokirati). Podesis certifikate i https. Podesis poddomene ako ih planiras koristiti (photos.mojnas.com, drive.mojnas.com itd).

Na nas-u slozis updejtanje IP adrese na cloudflare pod external access - ddns - dodas cloudflare kao providera:
https://github.com/mrikirill/Synolog...areMultidomain

Sada ti cloudflare u svakom trenu zna koja je IP adresa na tvom ruteru/nas-u.

Nakon toga malo prouci reverse proxy, sto radi i kako radi. Mozes koristiti synologyjev reverse proxy (ja ga ne volim) ili ga slozis u dockeru ili nekom drugom stroju mimo nas-a. Koristim nginx proxy manager jer mi je jednostavan za setup i zasad mi je vise nego dovoljan.

U proxy manageru importas cloudflare certifikat, forsas https i to je mislim ukratko sto sam slagao. Ako nekad negdje zapne ili imas pitanja, vici.

Moram priznati i mene sada zanima zasto ti je nas iza vpn-a.

[Libertus]

@m4dm4n Nitko osim tebe mi nije objašnjavao zašto je blesavo da NAS ide na net preko VPNa niti je bilo uopće predmet razgovora.

@xlr Zahvaljujem. Ma imamo gotovo identičan setup. Isto imam domenu samo radi DDNSa, ali meni ruter ažurira IP. Ako stavim na NAS izbacivao bi VPN IP. Ali 99% ima za Asus Merlin i couldflare pod DDNS providerima.

Što se tiče pitanja. Zbog videoteke.

@tomek@VZ Nisam vidio pitanje prije. Znam da može ići više ljudi na VPN, ali objasni ti to mojoj ženi i djeci da moraju pokrenuti VPN prije pokretanja Photos aplikacije ili streamings audia itd. A i dijeljenje datoteka sa Drive postaje nemoguće. Uglavom, kužim, sigurnije, manja površina za napad, ali mi toliko okrljašti funkcionalnost da ću prije sve druge sigurnosne stvari pokušati nego staviti iza VPNa.

[Nikky]

Autor m4dm4n

@Nikky I nema tu nikakve svađe, valjda se čovjeku može reći da mu rješenje nije kvalitetno.

Ma naravno da može, dapače poželjno

[xlr]

Autor Libertus

Ali 99% ima za Asus Merlin i couldflare pod DDNS providerima.

Što se tiče pitanja. Zbog videoteke.

Je je, ima built-in nacin makar nisam isprobao jer mi je trenutni setup laksi i jos me nije izdao:
https://github.com/RMerl/asuswrt-mer.../DDNS-services

A i mislio sam, torentosi. Ako si na Merlinu, mozda bi ti to VPN director mogao odraditi. Nisam previse istrazivao, baci oko. Nisam siguran hoce li to biti najlaksi zadatak na svijetu ako ti se trnt klijent vrti na istom lokalnom IP-u kao i nas. Sigurno bi bilo lakse to podesiti ako je trnt klijent virtualiziran (docker) i ima lokalni IP drukciji od nas-a (macvlan). U tom slucaju samo videoteka ide preko vpn-a, ne i ostatak prometa sa nas-a. Ne znam da li bi bas sav promet pustao preko nekog vpn-a, ja im ne vjerujem previse, ali to sam samo ja

Ja sam iz one grupe ljudi koji takve sumLJive rabote separiraju na dedicirani hardver ili ih utrpam u kontejner na odvojenu mrezu. Trenutno me jos ne brine sto ISP vidi jer zivimo tu gdje zivimo.

Sori na monologu, samo sheram misljenje.

[Libertus]

Napokon sam dovršio NAS u potpunosti pa da se pohvalim.
Hardware sam riješio prije dva mjeseca, ali nikako nisam uspio riješiti kućište pa je sve bilo u starom Fractal Design Mini kućištu, tj. midi desktop kućištu.
Jučer sam napokon uz XY kombinacija uspio nabaviti Jonsbo N2 kućište, i svaka preporuka, barem ovako na prvu svježe nakon sastavljanja.

Case: Jonsbo N2
MBO: Asrock B660M-ITX
CPU: Intel i3 13100T
CPU fan: Arctic Alpine 17 CO
RAM: 2 x G.Skill Ripjaws V DDR4-3200Mhz 16GB
HDD: 2 x Seagate IronWolf 8TB - storage disks
SSD: Nvme Adata SX8200 Pro 512GB - cache disk
PSU: Corsair SFX SF450

Nvme i RAM su nepotrebni, ali nvme sam imao na stanju iz starog računala, a RAM, kad je bal...

Drugi NAS sada služi isključivo za kamere i kao backup na koji kopiram podatke sa prvog pomoću hyperdrivea. Mjesta ima za još dva diska jednostavno, treći ukoliko ubacim neku SATA PCI karticu pošto imam samo 4 SATA porta na matičnoj.

[Nikky]

Posloži malo te kabele kako nebi završili u ventilatoru a zbog protoka zraka,
ovi data sata se mogu izolirom po 2 ... barem u ovom gornjem dijelu ...

[Libertus]

Autor Nikky

Posloži malo te kabele kako nebi završili u ventilatoru

Pretpostavljam da misliš na ova dva na vrhu slike. To su USB i USB-C za front panel, trebao bi mi jedno 5cm kabel da bude uredno pošto su priključci na matičnom jedno 2cm daleko od kablova. Samo ću ih nekom vezicom povezati iako oni ne smetaju.

Ovaj drugi je ATX napajanje matične, dolje lijevo je napajanje tako da je to zategnuto, neće nigdje i ne smeta.

Autor Nikky

a zbog protoka zraka,
ovi data sata se mogu izolirom po 2 ... barem u ovom gornjem dijelu ...

Kupio sam srećom 30cm SATA kablove (moraju biti kutni za kućište), i taman su u cm da dosegnu portove na matičnoj. Znači napeto kao u tvornici tregera. Da ih složim sa strane morao bih kupiti kablove od barem 40cm.

[xlr]

Najs! Ako dela jednako dobro kao sto izgleda, vrh

[spiderhr]

Ajd ako ti nije problem cijene komponenti i koliko je došlo na kraju.

I kaj od OS-a ide gore?

[Libertus]

Autor xlr

Najs! Ako dela jednako dobro kao sto izgleda, vrh

Hvala, radi ko urica.

Autor spiderhr

Ajd ako ti nije problem cijene komponenti i koliko je došlo na kraju.

I kaj od OS-a ide gore?

Xpenology

Autor Libertus

Case: Jonsbo N2 - novo 108€ + 40€ pošta sa AliEx u Njemačku + 20€ pošta u HR = 168€
MBO: Asrock B660M-ITX - novo 140€
CPU: Intel i3 13100T - novo 163€
CPU fan: Arctic Alpine 17 CO - novo 19€
RAM: 2 x G.Skill Ripjaws V DDR4-3200Mhz 16GB - novo 92€
HDD: 2 x Seagate IronWolf 8TB - storage disks - novo ne mogu račun naći trenutno
SSD: Nvme Adata SX8200 Pro 512GB - cache disk - iz starog kompjutera
PSU: Corsair SFX SF450 - rabljeno sa PCE 45€

627€ ukupno bez diskova. Usporedivi Synology je DS923+ koji je 650€.

Da idem ponovno jedino bi možda uzeo 13100F umjesto ovoga pošto se iGPU ne može iskoristiti. Prenov je za DSM sustav, ne prepoznaje ga.

[spiderhr]

Autor Libertus

Hvala, radi ko urica.



Xpenology



627€ ukupno bez diskova. Usporedivi Synology je DS923+ koji je 650€.

Da idem ponovno jedino bi možda uzeo 13100F umjesto ovoga pošto se iGPU ne može iskoristiti. Prenov je za DSM sustav, ne prepoznaje ga.

Tnx.

[softwaremaniac]

Pozdrav!


Složio i ja napokon svoj NAS danas.


Sve radi, ali mrežna me zeza. Prepoznaje samo integriranu 1Gbit. Dodatna 10G kartica svijetli, ali TrueNAS kaže LINK STATE DOWN No Traffic

Ista kartica na Windowsima radi perfektno. Izgleda da ću morati staviti Intel X550 T-2 u mašinu. Sreća pa sam ih kupio više.

[Nikky]

Vjerojatno TrueNAS nema drajver u sebi za tu 10G karticu (nisi naveo koja) ili je nije sam konfigurirao kako treba.
Da zaviriš u terminal pa .....

[segregator]

Autor softwaremaniac

Pozdrav!


Složio i ja napokon svoj NAS danas.


Sve radi, ali mrežna me zeza. Prepoznaje samo integriranu 1Gbit. Dodatna 10G kartica svijetli, ali TrueNAS kaže LINK STATE DOWN No Traffic

Ista kartica na Windowsima radi perfektno. Izgleda da ću morati staviti Intel X550 T-2 u mašinu. Sreća pa sam ih kupio više.

A koji je TrueNAS u pitanju, BSD ili Linux bazirani?
Ovaj na Linuxu podržava više hardvera, pogotovo bi me čudilo
da mrežnu ne prepoznaje

[softwaremaniac]

TrueNAS Core zadnja stabilna verzija.


Stavit ću Intel X550-T2 drugi tjedan.


Planet ENW-9801