В общем вопрос в следующем.
Хочу пробросить порт 5000 для того что-б DS Cam ходил на сервер напрямую по айпишнику (а не через задницу в виде quickconnect).
Но проблема в том что порт 5000 - это собственно вебморда Synology. Т.е. если я проброшу порт 5000 - страница входа на мою Synology будет светить на весь интернет)
Возможно-ли сделать так что-б DS Cam таки заходил через порт 5000, но заглавная страница не светилась?
Какие есть мысли по этому поводу?
Возможно-ли сделать так что-б DS Cam таки заходил через порт 5000, но заглавная страница не светилась?Какие есть мысли по этому поводу?
Изменить порт вебморды.
В общем вопрос в следующем.Хочу пробросить порт 5000 для того что-б DS Cam ходил на сервер напрямую по айпишнику (а не через задницу в виде quickconnect).
Но проблема в том что порт 5000 - это собственно вебморда Synology. Т.е. если я проброшу порт 5000 - страница входа на мою Synology будет светить на весь интернет)
Возможно-ли сделать так что-б DS Cam таки заходил через порт 5000, но заглавная страница не светилась?
Какие есть мысли по этому поводу?
странно , у меня ходит напрямую по ddns без QC внешний порт 5000 отсутствует...
странно , у меня ходит напрямую по ddns без QC внешний порт 5000 отсутствует...
Это как?
Чудес не бывает)
Какой-то порт все равно должен быть проброшен. Может у вас 5001 проброшен?
Посмотрите на роутере.
Может у вас вообще фаер вырублен?
Изменить порт вебморды.
В таком случае вебморда все равно будет светить в интернет. Просто вместо порта 5000 или 5001 будет 28506 например...
Это как?Чудес не бывает)
Какой-то порт все равно должен быть проброшен. Может у вас 5001 проброшен?
Посмотрите на роутере.
Может у вас вообще фаер вырублен?
1. у меня натирование, так что проброс портов возможен только ручками или через upnp (который выключен)
2. никаких стандартных портов наружу нет вообще, включая портов управления. Открываю только по необходимости.
3. DS CAM отлично работает.
Под web SS сделано в штатном механизме отдельное имя.
1. у меня натирование, так что проброс портов возможен только ручками или через upnp (который выключен)2. никаких стандартных портов наружу нет вообще, включая портов управления. Открываю только по необходимости.
3. DS CAM отлично работает.
Под web SS сделано в штатном механизме отдельное имя.
А вы проверьте например вот этим - http://www.wservice.info/?checkport
DS Cam не будет работать без открытых 5000 или 5001 портов. Ну или будет но только через квикконнект.
На всякий случай еще 9900 и 9901 посмотрите...
В таком случае вебморда все равно будет светить в интернет. Просто вместо порта 5000 или 5001 будет 28506 например...
А сейчас почему не светит?
Вебморда не будет работать без открытого порта 28506. А DS Cam будет работать при открытом порте 5000
А вы проверьте например вот этим - http://www.wservice.info/?checkportDS Cam не будет работать без открытых 5000 или 5001 портов. Ну или будет но только через квикконнект.
На всякий случай еще 9900 и 9901 посмотрите...
Все перечисленное - закрыто. Замечу что 9900 и 9901 это вообще необязательные порты. И прямой доступ к веб ss можно сделать без них , через отдельное имя.
80 порт тоже закрыт.
Хожу не через qc. Там видео в реальном времени не пролезает...
Все перечисленное - закрыто. Замечу что 9900 и 9901 это вообще необязательные порты. И прямой доступ к веб ss можно сделать без них , через отдельное имя.80 порт тоже закрыт.
Хожу не через qc. Там видео в реальном времени не пролезает...
Очень интересно.
Либо вы нашли как побороть эту проблему, либо что-то не так)
В документации прямо написано что DS Cam работает через порты 5000 или 5001
Если они закрыты - то как оно может работать?
А сейчас почему не светит?Вебморда не будет работать без открытого порта 28506. А DS Cam будет работать при открытом порте 5000
На всякий случай попробовал.
И естественно это НЕ работает.
Когда я меняю порт вебморды с 5000 на 28506, сканер показывает что порт 5000 закрыт) Что в общем и понятно.
DS Cam естественно тоже НЕ работает так как стучится на порт 5000 которого теперь нет.
Если вместо порта 5000 я пробрасываю на роутере новый порт 28506 и в DS Cam в адресе указываю айпишник и порт 28506 - то естественно все работает. Как и вебморда на порту 28506
Короче шило на мыло.
Так.
Путем некоторых экспериментов, всплыли интересные детали)
Оказывается мобильное приложение DS Cam умеет работать не только со стандартными портами вебморды DSM (5000 и 5001) но и с портами Surveillance Station! Те которые 9900 и 9901
В Портале приложений в Панели управления нужно включить пользовательский порт 9900 или 9901 для SS.
Дале на маршрутизаторе пробрасываем эти порты (или один из них).
Далее запускаем DS Cam и в адресной строке вбиваем айпиадрес:9900 или айпиадрес:9901 и оно РАБОТАЕТ! Даже без проброса портов 5000 или 5001.
Естественно в интернет теперь будет светить вебморда Surveillance Station которая висит на портах 9900 и 9901
Но это лучше чем светить в интернет вcю DSM через порты 5000 и 5001.
Короче половина дела сделана)
Если-б можно было как-то заглушить вебморду Surveillance Station (она мне и не нужна через веб), то проблема собственно решена. В интернет светят порты 9901 и 9900 к которым подключается DS Cam и при этом на этих портах не висят никакие вебинтерфейсы.
ЗЫ
В настройках портала приложений есть пункт "Скрыть баннер". Это что вообще?
1. у меня натирование, так что проброс портов возможен только ручками или через upnp (который выключен)2. никаких стандартных портов наружу нет вообще, включая портов управления. Открываю только по необходимости.
3. DS CAM отлично работает.
Под web SS сделано в штатном механизме отдельное имя.
Никак не могу понять как вы это сделали...
Что вы прописываете в адресной строке DS Cam?
Что у вас прописано в Портале приложений относительно SS?
Никак не могу понять как вы это сделали...
Что вы прописываете в адресной строке DS Cam?
Что у вас прописано в Портале приложений относительно SS?
В строке я пишу имя qc
В портале приложений указано имя для ss. Порты не указаны.
В строке я пишу имя qc
Если вы пишете адрес QC - видео с вашего NAS идет к вам через Тайвань по ВПН который ваш NAS автоматически поднимает к облаку Synology. В таком случае естественно никакие порты открывать не надо... но все тормозит.
Правда если вы внутри сети в которой стоит NAS, QC может редиректнуть вас напрямую на NAS.
В портале приложений указано имя для ss. Порты не указаны.
Типа cam.example.com?
Или example.com/cam?
На всякий случай попробовал.И естественно это НЕ работает.
Когда я меняю порт вебморды с 5000 на 28506, сканер показывает что порт 5000 закрыт) Что в общем и понятно.
DS Cam естественно тоже НЕ работает так как стучится на порт 5000 которого теперь нет.
Если вместо порта 5000 я пробрасываю на роутере новый порт 28506 и в DS Cam в адресе указываю айпишник и порт 28506 - то естественно все работает. Как и вебморда на порту 28506
Короче шило на мыло.
Менять то нужно в самом NAS.
Если вы пишете адрес QC - видео с вашего NAS идет к вам через Тайвань по ВПН который ваш NAS автоматически поднимает к облаку Synology. В таком случае естественно никакие порты открывать не надо... но все тормозит.Правда если вы внутри сети в которой стоит NAS, QC может редиректнуть вас напрямую на NAS.
1. Qc всегда вначале осуществляет редирект на nas по ip. И без разницы внутри сети или вне. Внутри сети пойдет loopback... Но только после запроса через вне, с получением ip. Если бы было как думаете вы, то роутер не смог бы сделать loopback, без ip это невозможно...
Никакого трафика при этом через сервера syno не идёт. Только запрос актуального адреса для нужной службы.
Я через videostation так смотрю потоковое видео fhd и 4k. Сомнительно что qc , который интерфейс со скрежетом открывает, даст тянуть такой поток.
2. Причем тут Тайвань? Все редиректы идут через сервера Чехии или Германии. У меня на работе закрыты порты отличные от 80, 8080, 443. По мнению qc доступ к нему есть и меня все время пытается редиректить на мой актуальный белый динамический ip. При 3-4 попытках удается заставить идти через оптимальный ресурс это обычно Чехия или Германия. 1 раз были штаты...
Типа cam.example.com?Или example.com/cam?
Конечно второе. Доменное имя низлежащего уровня не формируется.
Менять то нужно в самом NAS.
Естественно на NASе и меняю.
Не работает.
Естественно на NASе и меняю.Не работает.
В NAS меняете порт 5000 на любой другой. В модеме открываете порт 5000.
Только что на своём NAS проверил. Работает.
Вебморда не доступна, а DS cam работает.
В DS cam ввёл имя.synology.me, можно и просто внешний ip.
В NAS меняете порт 5000 на любой другой. В модеме открываете порт 5000.Только что на своём NAS проверил. Работает.
Вебморда не доступна, а DS cam работает.
В DS cam ввёл имя.synology.me, можно и просто внешний ip.
Чудеса!
У меня не работало.
Буду пробовать на других NASах.
Но вообще, мне непонятно как оно может работать...
Когда вы меняете порт 5000 на какой-то другой, пятитысячный по идее должен автоматически отключатся.
Неа, не работает.
Ни по http ни по https
А что у вас на маршрутизаторе проброшено?
ЗЫ
Надо пройтись nmap-ом по портам NAS-а. Интересно он оставляет открытым порт 5000 если в настройках поменять порт на более другой?
ЗЫНадо пройтись nmap-ом по портам NAS-а. Интересно он оставляет открытым порт 5000 если в настройках поменять порт на более другой?
Нет. Не оставляет. На что поменяли, то и светится...
Нет. Не оставляет. На что поменяли, то и светится...
Значит и DSM будет светится на этом порту.
В NAS меняете порт 5000 на любой другой. В модеме открываете порт 5000.Только что на своём NAS проверил. Работает.
Вебморда не доступна, а DS cam работает.
В DS cam ввёл имя.synology.me, можно и просто внешний ip.
Ну в общем, на всякий случай просканировал открытые порты NAS.
Вот так выглядит скан когда DSM имеет порты по умолчанию (5000 и 5001):
nmap -T4 -A -v 192.168.0.10
Starting Nmap 7.91 ( https://nmap.org ) at 2020-10-23 13:57 MSK
NSE: Loaded 153 scripts for scanning.
NSE: Script Pre-scanning.
Initiating NSE at 13:57
Completed NSE at 13:57, 0.00s elapsed
Initiating NSE at 13:57
Completed NSE at 13:57, 0.00s elapsed
Initiating NSE at 13:57
Completed NSE at 13:57, 0.00s elapsed
Initiating Ping Scan at 13:57
Scanning 192.168.0.10 [2 ports]
Completed Ping Scan at 13:57, 0.00s elapsed (1 total hosts)
Initiating Parallel DNS resolution of 1 host. at 13:57
Completed Parallel DNS resolution of 1 host. at 13:57, 0.02s elapsed
Initiating Connect Scan at 13:57
Scanning 192.168.0.10 [1000 ports]
Discovered open port 554/tcp on 192.168.0.10
Discovered open port 80/tcp on 192.168.0.10
Discovered open port 445/tcp on 192.168.0.10
Discovered open port 443/tcp on 192.168.0.10
Discovered open port 22/tcp on 192.168.0.10
Discovered open port 139/tcp on 192.168.0.10
Discovered open port 5001/tcp on 192.168.0.10
Discovered open port 5566/tcp on 192.168.0.10
Discovered open port 5000/tcp on 192.168.0.10
Discovered open port 161/tcp on 192.168.0.10
Discovered open port 50002/tcp on 192.168.0.10
Discovered open port 3261/tcp on 192.168.0.10
Discovered open port 50001/tcp on 192.168.0.10
Discovered open port 548/tcp on 192.168.0.10
Discovered open port 5510/tcp on 192.168.0.10
Completed Connect Scan at 13:57, 0.14s elapsed (1000 total ports)
Порты 5000 и 5001 как видим присутствуют.
Теперь в DSM меняем стандартные порты (5000 и 5001) на допустим 10000 и 10001
Сканируем:
nmap -T4 -A -v 192.168.0.10
Starting Nmap 7.91 ( https://nmap.org ) at 2020-10-23 14:01 MSK
NSE: Loaded 153 scripts for scanning.
NSE: Script Pre-scanning.
Initiating NSE at 14:01
Completed NSE at 14:01, 0.00s elapsed
Initiating NSE at 14:01
Completed NSE at 14:01, 0.00s elapsed
Initiating NSE at 14:01
Completed NSE at 14:01, 0.00s elapsed
Initiating Ping Scan at 14:01
Scanning 192.168.0.10 [2 ports]
Completed Ping Scan at 14:01, 0.00s elapsed (1 total hosts)
Initiating Parallel DNS resolution of 1 host. at 14:01
Completed Parallel DNS resolution of 1 host. at 14:01, 0.02s elapsed
Initiating Connect Scan at 14:01
Scanning 192.168.0.10 [1000 ports]
Discovered open port 445/tcp on 192.168.0.10
Discovered open port 443/tcp on 192.168.0.10
Discovered open port 139/tcp on 192.168.0.10
Discovered open port 554/tcp on 192.168.0.10
Discovered open port 80/tcp on 192.168.0.10
Discovered open port 22/tcp on 192.168.0.10
Discovered open port 10000/tcp on 192.168.0.10
Discovered open port 5510/tcp on 192.168.0.10
Discovered open port 548/tcp on 192.168.0.10
Discovered open port 10001/tcp on 192.168.0.10
Discovered open port 50002/tcp on 192.168.0.10
Discovered open port 161/tcp on 192.168.0.10
Discovered open port 3261/tcp on 192.168.0.10
Discovered open port 50001/tcp on 192.168.0.10
Discovered open port 5566/tcp on 192.168.0.10
Completed Connect Scan at 14:01, 0.14s elapsed (1000 total ports)
Как и предполагалась, стандартные порты DSM (5000 и 5001) закрылись.
В связи с этим мне совершенно непонятно как оно у вас работает. Если вы пробрасываете на своем "модеме" порт 5000, ничего не должно работать так как на целевом хосте (NAS) этого порта теперь просто не существует.
Можете просканировать свой NAS на предмет открытых портов?
Может у вас на "модеме" еще какие-то порты проброшены помимо 5000 и 5001?
Может UPNP на модеме включен?
ЗЫ
Есть у меня подозрение, что даже если вы на своем модеме отключите проброс пятитысячных портов, ваш DS Cam все равно будет работать)
В NAS меняете порт 5000 на любой другой. В модеме открываете порт 5000.Только что на своём NAS проверил. Работает.
Вебморда не доступна, а DS cam работает.
В DS cam ввёл имя.synology.me, можно и просто внешний ip.
Ну в общем на всякий случай попробовал вашу схему на трех разных серверах в трех разных сетях с разными маршрутизаторами.
Не работает ваша схема...
1. Qc всегда вначале осуществляет редирект на nas по ip. И без разницы внутри сети или вне. Внутри сети пойдет loopback... Но только после запроса через вне, с получением ip. Если бы было как думаете вы, то роутер не смог бы сделать loopback, без ip это невозможно...Никакого трафика при этом через сервера syno не идёт. Только запрос актуального адреса для нужной службы.
Возвращаюсь к вашему варианту)
Вдруг заработает?
Я понимаю что QC всегда пытается сначала зайти по IP. А когда это невозможно (закрыт нужный порт), заворачивает трафик через свой ВПН.
Если вы уверены что в вашем случае QC перенаправляет все напрямую, у вас и по айпи все должно работать.
Если вы в DS Cam вместо адреса QC напишите айпишник - работает?
И второй вопрос - что конкретно вы прописываете в адресной строке DS Cam? адресQC/cam?
Но вообще, мне непонятно как оно может работать...Когда вы меняете порт 5000 на какой-то другой, пятитысячный по идее должен автоматически отключатся.
Зато мне сейчас стало понятно, что я туплю 
У меня тупо шла ретрансляция через сайт Synology.
Зато мне сейчас стало понятно, что я туплюУ меня тупо шла ретрансляция через сайт Synology.
Напрямую оно гораздо шустрее работать будет)
У меня на одном из объектов интернет хреновенький, и когда трафик идет не напрямую а через quickconnect (ВПН от Synology) все дико тормозит.
Но вот как это сделать так что-б вебморда DSM не светила на весь интернет...
Напрямую оно гораздо шустрее работать будет)
Я разницу не замечал. Может то что серваки в Германии.
Я сам в NAS по VPN хожу. Для моего модема специальная эпка есть. Работает в два клика.
Я разницу не замечал. Может то что серваки в Германии.Я сам в NAS по VPN хожу. Для моего модема специальная эпка есть. Работает в два клика.
Так если вы напрямую на NAS по персональному ВПН-у заходите, то ничего тормозить и не будет)
А вот если через гермаааанию....
Но в моем случае ВПН к сожалению не вариант.
Так если вы напрямую на NAS по персональному ВПН-у заходите, то ничего тормозить и не будет)
Пробовал то я конечно без VPN.
Я и сейчас пишу через Германию, живу я тут, может поэтому и
quickconnect фурычит лучше. Хотя может и от нагрузки сервера зависит.
Возвращаюсь к вашему варианту)Вдруг заработает?
Я понимаю что QC всегда пытается сначала зайти по IP. А когда это невозможно (закрыт нужный порт), заворачивает трафик через свой ВПН.
Если вы уверены что в вашем случае QC перенаправляет все напрямую, у вас и по айпи все должно работать.
Если вы в DS Cam вместо адреса QC напишите айпишник - работает?
И второй вопрос - что конкретно вы прописываете в адресной строке DS Cam? адресQC/cam?
А вот не факт.
Там же не только ip. Принцип аналогичный с генерацией ссылки на доступ к файлу. Который наконец то починили.
Я прописываю только имя qc. Без порта.
Я проверял на videostation. Внутренний трафик уходит на loopback, а это только при нормальном входе через внешний ip возможно.
А вот не факт.Там же не только ip. Принцип аналогичный с генерацией ссылки на доступ к файлу. Который наконец то починили.
Я прописываю только имя qc. Без порта.
Я проверял на videostation. Внутренний трафик уходит на loopback, а это только при нормальном входе через внешний ip возможно.
Вот не уверен я...
У вас есть чем на роутере проверить как трафик бегает?
Например на микротике - IP - Firewall - Connections.
Там я четко вижу что при подлючении DS Cam через QC, мой NAS отправляет весь трафик на сервер в германию на адрес 195.181.161.112 на 443-й порт. Естественно смартфон с которого я подключаюсь находится ВНЕ сети в которой находится NAS. Отключаю вайфай и хожу через Билайн.
Когда вместо QC я подключаюсь напрямую к IP NAS-а (на роутере проброшен порт 9901) - вижу как трафик летит на смартфон напрямую.
Есть у меня подозрение что и у вас трафик не напрямую бежит когда вы подключитесь через QC и НЕ находитесь в одной сети с вашим NAS.
ЗЫ.
Я решительно не понимаю как включение пользовательского псевдонима для приложений в панели управления NAS-а может повлиять на хождение трафика. Особенно если на маршрутизаторе наглухо закрыты все порты...
Внешнему приложению просто некуда подключатся! Порты-то закрыты.
Как это работает?
ЗЗЫ
В принципе можно легко проверить как ВАШ NAS раздает файлы.
Дайте мне ссылка на какой-то большой файл с вашего NAS-а, а я при скачке увижу с какого айпишника он льется. С немецкого или с вашего.
Я решительно не понимаю как включение пользовательского псевдонима для приложений в панели управление NAS-а может повлиять на хождение трафика. Особенно если на маршрутизаторе наглухо закрыты все порты...Внешнему приложению просто некуда подключатся! Порты-то закрыты.
Как это работает?
На примере OpenVPN для исходящего подключения - мне на роутере клиента не обязательно открывать порты, чтобы он мог подключиться к серверу OpenVPN. Как только установлен тоннель, весь трафик льётся через него и нет разницы какие там порты открыты на роутерах, если подсеть туннеля маршрутизируется к локалке NAS и доступ из этой локалки в нём не запрещён.
Плюсы и минусы QC - тема отдельная, но это однозначно работает по принципу VPN.
Надеюсь, я верно истолковал Ваш вопрос. Или я не про то? 
На примере OpenVPN для исходящего подключения - мне на роутере клиента не обязательно открывать порты, чтобы он мог подключиться к серверу OpenVPN. Как только установлен тоннель, весь трафик льётся через него и нет разницы какие там порты открыты на роутерах, если подсеть туннеля маршрутизируется к локалке NAS и доступ из этой локалки в нём не запрещён.Плюсы и минусы QC - тема отдельная, но это однозначно работает по принципу VPN.
Надеюсь, я верно истолковал Ваш вопрос. Или я не про то?
Тут немного не так)
Человек подключается через QC, и трафик идет не через QC (VPN) а напрямую в обход QC хотя все порты закрыты.
Естественно смартфон с которого я подключаюсь находится ВНЕ сети в которой находится NAS.
В такой ситуации у вас трафик может бежать как угодно. У меня на работе например все порты кроме 80 и 443 закрыты и при белом ip трафик может бежать только через сервера сино.
Я же говорю про ситуацию когда DS CAM, DC Video находятся в одной сети с NAS, обращение идет по QC имени (роутер не может ни коим образом осуществить по этому имени маршрутизацию, только loopback (особенно чтобы смотреть 4K). Соединения при этом только локальные, хотя вхожу везде по QC.
Есть у меня подозрение что и у вас трафик не напрямую бежит когда вы подключитесь через QC и НЕ находитесь в одной сети с вашим NAS.
тогда каким образом я работаю в рамках своей сети по QC?
как включение пользовательского псевдонима для приложений в панели управления NAS-а может повлиять на хождение трафика
Вы ссылки общего доступа использовали в Сино? Они обезличены и обращаются на сервера сино по "косым" доменным именам. Сервера сино в результате выдают путь до файла с учетом псевдонима, без портов или с портами, как настроено.
Одно время этот механизм был сломан и вместо правильного пути выдавалась строка браузера по которой зашли на сино, сейчас починили вроде как...
только что посмотрел специально. Вхожу в DC cam с использованием имени QC. На роутере смотрю соединения для планшета, с которого зашел. есть соединение <внешний IP>:<мой открытый HTTPS порт DSM отличный от штатного>, но потом по loopback улетает, а внутренняя маршрутизация в простой смотрелке кинетика не видна.
<мой открытый HTTPS порт DSM отличный от штатного> я ни в одном приложении не вписывал.
В такой ситуации у вас трафик может бежать как угодно. У меня на работе например все порты кроме 80 и 443 закрыты и при белом ip трафик может бежать только через сервера сино.Я же говорю про ситуацию когда DS CAM, DC Video находятся в одной сети с NAS, обращение идет по QC имени (роутер не может ни коим образом осуществить по этому имени маршрутизацию, только loopback (особенно чтобы смотреть 4K). Соединения при этом только локальные, хотя вхожу везде по QC.
Да елки-палки...
Что-ж вы сразу не сказали что ходите ВНУТРИ своей сети?!
А я тут голову ломаю...
Внутри сети вы конечно можете ходить как угодно. Хоть по QC, хоть по IP, хоть вообще по nas.local и при этом не пробрасывая никаких портов. Оно вообще без маршрутизатора и интернета так работать может. Разве что без QC.
Но мне-то надо СНАРУЖИ!
У меня куча овнеров "на багамах сидит" которые хотят через DS Cam смотреть что происходит в их московских ресторанах. И локалка как вы понимаете тут вообще не в кассу.
Вот я и ищу способ как мне заставить DS Cam напрямую (без QC) ходить на NAS по IP, но так что-б этот NAS не светил свою вебморду на открытом порту.
Потому что когда открываешь наружу порт на вебморду NASа (5001 или какой-то нестандартный), рано или поздно происходит примерно следующее:
Внимание Подключение 2020-08-18 12:35:13 admin User [admin] from [104.248.133.41] failed to log in via [DSM] due to authorization failure.
Внимание Подключение 2020-08-18 12:33:29 admin User [admin] from [3.208.54.226] failed to log in via [DSM] due to authorization failure.
Внимание Подключение 2020-08-18 12:31:46 admin User [admin] from [165.22.191.125] failed to log in via [DSM] due to authorization failure.
Внимание Подключение 2020-08-18 12:29:30 admin User [admin] from [106.15.198.21] failed to log in via [DSM] due to authorization failure.
Внимание Подключение 2020-08-18 12:28:26 admin User [admin] from [18.207.219.73] failed to log in via [DSM] due to authorization failure.
Внимание Подключение 2020-08-18 12:26:38 admin User [admin] from [93.180.54.197] failed to log in via [DSM] due to authorization failure.
Внимание Подключение 2020-08-18 12:24:54 admin User [admin] from [181.40.66.97] failed to log in via [DSM] due to authorization failure.
И так до посинения....
Кстати этот конкретный NAS таки хакнули)
Radiohead
Слабо представляю как можно что-то спрятать, при этом выставляя на всеобщее обозрение. Вижу 2 варианта - или VPN (я ставил на свой Андроид клиент OVPN, вполне успешно, но не обязательно поднимать клиента именно на смартфоне, можно маршрутизировать к NAS домашний роутер) или статический IP у тех кто подключается (и на Сино разрешить подключение с этих IP онли).
По логам - злостный брутфорс, видимо кто-то знает куда лезет.
RadioheadСлабо представляю как можно что-то спрятать, при этом выставляя на всеобщее обозрение. Вижу 2 варианта - или VPN (я ставил на свой Андроид клиент OVPN, вполне успешно, но не обязательно поднимать клиента именно на смартфоне, можно маршрутизировать к NAS домашний роутер) или статический IP у тех кто подключается (и на Сино разрешить подключение с этих IP онли).
По логам - злостный брутфорс, видимо кто-то знает куда лезет.
Да спрятать было-бы легко если-б вебморда DSM и DS Cam использовали РАЗНЫЕ порты для работы.
Например DS Cloud использует порт 6690 который можно в общем случае безболезненно открывать. На этом порту емнип не висит вебморда DSM и логинится просто некуда)
А тут DS Cam использует именно порт DSM :-(
ВПН не вариант. Люди просто не поймут как им пользоватся. Там все на уровне "ткнул пальцем и заработало".
Статика тоже не вариант так как у мобилок все время разные айпишники. Они гуляют по разным странам)
Пока как промежуточное решение открыл порт 9901. DS Cam c ним прекрасно работает хотя в документации об этом молчок. На нем висит вебморда не всего DSM а только SS. Но уже хоть что-то...
Есть идея просто поломать вебморду SS) Она мне не особо нужна. А в случае необходимости всегда можно будет через SS-клиента на компе зайти)
Да спрятать было-бы легко если-б вебморда DSM и DS Cam использовали РАЗНЫЕ порты для работы.Например DS Cloud использует порт 6690 который можно в общем случае безболезненно открывать. На этом порту емнип не висит вебморда DSM и логинится просто некуда)
А тут DS Cam использует именно порт DSM :-(
ВПН не вариант. Люди просто не поймут как им пользоватся. Там все на уровне "ткнул пальцем и заработало".
Статика тоже не вариант так как у мобилок все время разные айпишники. Они гуляют по разным странам)
Пока как промежуточное решение открыл порт 9901. DS Cam c ним прекрасно работает хотя в документации об этом молчок. На нем висит вебморда не всего DSM а только SS. Но уже хоть что-то...
Есть идея просто поломать вебморду SS) Она мне не особо нужна. А в случае необходимости всегда можно будет через SS-клиента на компе зайти)
Обсуждали как-то похожую проблему и пришли к выводу: просто забить. Порты на нестандартные сменить, стандартные учётки выключить, на остальные учётки - пароли поустойчивее. И пусть себе долбятся. Вебку конечно можно поломать, но лично я как-то привык к ней. Да и по работе иногда ссылки на доступ к данным народу кидаем.
Обсуждали как-то похожую проблему и пришли к выводу: просто забить. Порты на нестандартные сменить, стандартные учётки выключить, на остальные учётки - пароли поустойчивее. И пусть себе долбятся. Вебку конечно можно поломать, но лично я как-то привык к ней. Да и по работе иногда ссылки на доступ к данным народу кидаем.
Так я хочу сломать не вебморду всего DSM а только морду Surveillance Station. На 9901 именно она висит.
Да елки-палки...Что-ж вы сразу не сказали что ходите ВНУТРИ своей сети?!
А я тут голову ломаю...
Внутри сети вы конечно можете ходить как угодно. Хоть по QC, хоть по IP, хоть вообще по nas.local и при этом не пробрасывая никаких портов. Оно вообще без маршрутизатора и интернета так работать может. Разве что без QC.
Но мне-то надо СНАРУЖИ!
У меня куча овнеров "на багамах сидит" которые хотят через DS Cam смотреть что происходит в их московских ресторанах. И локалка как вы понимаете тут вообще не в кассу.
Вот я и ищу способ как мне заставить DS Cam напрямую (без QC) ходить на NAS по IP, но так что-б этот NAS не светил свою вебморду на открытом порту.
Потому что когда открываешь наружу порт на вебморду NASа (5001 или какой-то нестандартный), рано или поздно происходит примерно следующее:
Внимание Подключение 2020-08-18 12:35:13 admin User [admin] from [104.248.133.41] failed to log in via [DSM] due to authorization failure.
Внимание Подключение 2020-08-18 12:33:29 admin User [admin] from [3.208.54.226] failed to log in via [DSM] due to authorization failure.
Внимание Подключение 2020-08-18 12:31:46 admin User [admin] from [165.22.191.125] failed to log in via [DSM] due to authorization failure.
Внимание Подключение 2020-08-18 12:29:30 admin User [admin] from [106.15.198.21] failed to log in via [DSM] due to authorization failure.
Внимание Подключение 2020-08-18 12:28:26 admin User [admin] from [18.207.219.73] failed to log in via [DSM] due to authorization failure.
Внимание Подключение 2020-08-18 12:26:38 admin User [admin] from [93.180.54.197] failed to log in via [DSM] due to authorization failure.
Внимание Подключение 2020-08-18 12:24:54 admin User [admin] from [181.40.66.97] failed to log in via [DSM] due to authorization failure.
И так до посинения....
Ещё раз повторюсь. Я вхожу по qc имени. Обращение идёт на ВНЕШНИЙ АДРЕС , выдаваемый провайдером и внешний порт. Какая разница откуда вход изнутри или извне. Не знает роутер ничего про имена qc он по ним ни как не маршрутищирует. Обращение идёт на сервера Сино.
Если я провод wan выну, то работать ничего вообще не будет. Можно по qc имени долбится всю жизнь. Ещё раз qc имя это не имя ddns от Сино.
Dc cam работает через http/https, так что без ВЭБ вы им пользоваться не сможете. Там нет других протоколов.
Мне не понятно как у вас произвольный порт dsm определяют. У меня за 2 года до произвольного порта ни разу не достучались.
Мне не понятно как у вас произвольный порт dsm определяют. У меня за 2 года до произвольного порта ни разу не достучались.
Зная ip адрес, открытый порт можно узнать с помощью сканера.
Кстати этот конкретный NAS таки хакнули)
Интересно как?
Интересно как?
Перебором скорее всего.
Там тысячи таких записей как я выше показал.
Но глубоко я не копал так как сервер второстепенный. Его падение никто и не заметит)
А заметил потому что сервак перестал меня пускать.
Оказалось что были отключены ВСЕ учётные записи кроме SynologyCMS. Она меня и спасла от дальней дороги. Через групповые политики CMS подсунул другую учетку на этот сервак и он меня впустил)
Зная ip адрес, открытый порт можно узнать с помощью сканера.
это красио звучит на словах. В реальности на переборе портов целевого адреса вас будет блокировать не только самый тупой оконечный роутер, но и вся цепочка управляемых маршрутизаторов провайдера. Есть конечно атака с рандомным IP но что то сомневаюсь, что кому-то нужен пользователь нас, чтобы натравливать на него бот сеть.
а вот то что у какого то пользователя подключающегося к нас Radiohead вирусня, вот из-за этого атаки точно будут идти... Я тут пару свежих комплексов со сканером систем видел, пересылающих пакет целевых объектов на центр управления....
Есть конечно атака с рандомным IP
Судя по логам выше, именно так и добились.
Я как-то тоже пробовал просканировать свой ip на наличие открытых портов (сканировал из другой сети), уже через пару минут отвалился интернет, потом ещё раз, а после пятой попытки интернет пропал на час. Провайдер интернет отрубил. Где то на немецком сайте читал, что за такое сканирование можно и финансовое замечание получить.
Ну и вопрос ближе к теме.
Можно свой QC замутить и подключить к нему NAS ?
Судя по логам выше, именно так и добились.
Там по логам перебор пароля шел из бот сети. Т.е. порт/ip/тип устройства уже были известны. Обычно такое бывает при обращении с зараженной машины...
это красио звучит на словах. В реальности на переборе портов целевого адреса вас будет блокировать не только самый тупой оконечный роутер, но и вся цепочка управляемых маршрутизаторов провайдера.
Вот нихрена подобного.
БОльшая часть отечественных провайдеров никак не защищает от сканирования портов и возлагает эту почетную обязанность на конечного пользователя.
В германии возможно и блокируют (может даже законодательно обязали), а у нас вот так.
И подавляющее большинство бытовых роутеров тоже не умеют защищать от сканирования. Там просто нет такого функционала.
А если говорить о не бытовых маршрутизаторах - там обычно надо предпринимать определенные телодвижения для включения такой защиты.
Например по умолчанию микроток не защищает от сканирования портов. Надо определенным образом модифицировать его фаервол. Например вот так - https://настройка-микротик.укр/blokirovka-s...tov-v-mikrotik/
Ну и вопрос ближе к теме.Можно свой QC замутить и подключить к нему NAS ?
Я думал над этим. Пришел к выводу что ничего не получится.
Можно заставить NAS поднять ВПН куда-то, и держать этот канал.
Панель управления - Сеть - Сетевой интерфейс - Создать профиль ВПН
Но это не решает проблему с приложениями для мобильных типа DS Cam
Они автоматически подставляют quickconnect.to к имени которое вы туда вбиваете.
Вот нихрена подобного.
Отлично. Вот мой внешний белый ip.
95.84.207.205
Расскажите какие порты кроме 80 и 443 у меня открыты. И главное на каком весит dsm.
P.s. повторюсь. Исходя из логов, ваших, атака идёт не по результатам сканирования портов, а по факту наличия среди ПК, которые имеют доступ к вашему nas заражённой машины из состава какой-то бот сети. Если интересно, могу рассказать про ту бот сеть, которую мы выводили у себя на предприятии...
Я думал над этим. Пришел к выводу что ничего не получится.Можно заставить NAS поднять ВПН куда-то, и держать этот канал.
Панель управления - Сеть - Сетевой интерфейс - Создать профиль ВПН
Но это не решает проблему с приложениями для мобильных типа DS Cam
Они автоматически подставляют quickconnect.to к имени которое вы туда вбиваете.
QC онли? Да ну, не бывает чудес. DS Cam, судя по мануалу, в этом смысле мало отличается.
Думаю, Вы зря для себя зарубили эту идею. Тем более что то, что Вы описали, это как бы само собой разумеющаяся схема включения в ЛВС, с внешним статическим IP, удалённого NAS. И это действительно работает.
QC онли? Да ну, не бывает чудес. DS Cam, судя по мануалу, в этом смысле мало отличается.Думаю, Вы зря для себя зарубили эту идею. Тем более что то, что Вы описали, это как бы само собой разумеющаяся схема включения в ЛВС, с внешним статическим IP, удалённого NAS. И это действительно работает.
+1
Они автоматически подставляют quickconnect.to к имени которое вы туда вбиваете.
Но это не решает проблему с приложениями для мобильных типа DS Cam
Добавлю.
1. ничего никуда не подставляется. Есть https://quickconnect.to/<что-то> туда передается ID, оттуда получается ссылка IP + port для доступа к DSM NAS (при белом IP) и уже на веб страницу нас передается логин пароль. при работе через сервера сино - по
другому. Ответ сервера - другой.
2. все приложения для мобильных устройств отлично работают с IP и c DNS. НО с ограничениями связанными с портом...
Соответственно ничего не мешает закатать все выше указанное (IP + Port) в туннель, и вылезти из него сразу на локальный IP NAS с портом внутри DMZ.
Отлично. Вот мой внешний белый ip.95.84.207.205
Расскажите какие порты кроме 80 и 443 у меня открыты. И главное на каком весит dsm.
Последняя цифра порта DSM 1
Plex 0
Kamera 4
И ещё порт 1
Последняя цифра порта DSM 1Plex 0
Kamera 4
И ещё порт 1
И еще 20 портов.
Открытых портов на нас с 1 в конце у меня 3... камеры с 4 на конце нет, или имелось ввиду что то другое?
Открытых портов на нас с 1 в конце у меня 3... камеры с 4 на конце нет, или имелось ввиду что то другое?
По 554-му порту у вас видео с камер. Можете сами посмотреть - rtsp://95.84.207.205:554
Пароль думаю вы знаете)
А вообще, из того что на вскидку - 80, 443, 554, 5551, 9025-9040, 9900, 9901, 16881, 32400 (plex), возможно еще и SSH на 22-м, но это не точно, глубоко не копал. Ну и 6881 для торрентов)
На 80-й вы ftp что-ли повесили? С адресом ftp://pervolianinen.synology.me ???
Сухим остатком:
а - вы НИКАК не защищены от сканирования
б - у вас куча портов светит в инет хоть и большинство со статусом closed
в - ваш DSM висит на порту 5551 с адресом https://95.84.207.205:5551 Заходи кто хошь и делай что хошь)
г - как я и предполагал, вы НАПРМУЮ ходите на свой сервак через DS Cam используя QC ТОЛЬКО ПОТОМУ ЧТО У ВАС ОТКРЫТ ПОРТ 5551. Если вы его закроете - напрямую вы ходить не сможете. Только в обход через облако QC.
А как только вы открыли порт 5551 - вы засветили вебморду своей DSM на весь интернет.
По 554-му порту у вас видео с камеры в интернет идет)А вообще, из того что на вскидку - 80, 443, 554, 5551, 9025-9040, 9900, 9901, 16881, 32400 (plex), возможно еще и SSH на 22-м. Ну и 6881 для торрентов)
На 80-й вы ftp что-ли повесили?
Сухим остатком:
а - вы НИКАК не защищены от сканирования
б - у вас куча портов светит в инет хоть и большинство со статусом closed
в - ваш DSM висит на порту 5551 с адресом https://95.84.207.205:5551 Заходи кто хошь и делай что хошь)
г - как я и предполагал, вы НАПРМУЮ ходите на свой сервак через DS Cam используя QC ТОЛЬКО ПОТОМУ ЧТО У ВАС ОТКРЫТ порт 5551. Если вы его закроете - напрямую вы ходить не сможете. А как только вы открыли порт 5551 - вы засветили вебморду своей DSM на весь интернет.
1. Спасибо что проделали данную работу, мне из дома самого себя смотреть не интересно, так как не ясно как отреагирует оборудование провайдера...
2. На 80 у меня классический http. Просто идёт подмена ответа... Ftp у меня вообще нет.
3. Closed = закрыт, отсутствует
4. Мы уже обсуждали с вами, что если все порты закрыть, то ds cam работать не будет, как и любой сетевой продукт. Нет порта , нет доступа. Вариант - vpn и вход изнутри.
5. Светится по причине того, что вы знаете конкретный текущий ip, учитывая что он плавающий осуществлять автоматизированное сканирование - сложно. Ну и блокировка icmp отключена. Любопытно было посмотреть, что светится. МТС на мобильном за nmap периодически жёстко наказывает. А на работе все исходящие нестандартные залочены.
Странно что на 9901 dsm нет. Должен быть ((
4. Мы уже обсуждали с вами, что если все порты закрыть, то ds cam работать не будет, как и любой сетевой продукт. Нет порта , нет доступа. Вариант - vpn и вход изнутри.
QC так и работает. Если порт не проброшен конечно.
5. Светится по причине того, что вы знаете конкретный текущий ip, учитывая что он плавающий осуществлять автоматизированное сканирование - сложно. Ну и блокировка icmp отключена.
Да не так уж и сложно. Ботсети осуществляют сканирование горааааздо быстрее чем допустим Shodan или там Censys.
А блокировка пингов nmap-у не помеха...
2. все приложения для мобильных устройств отлично работают с IP и c DNS. НО с ограничениями связанными с портом...Соответственно ничего не мешает закатать все выше указанное (IP + Port) в туннель, и вылезти из него сразу на локальный IP NAS с портом внутри DMZ.
Это будет шило на мыло.
Ну подниму я ВПН на NAS в сторону допустим арендованной виртуалки.
Запускаю DS Cam и в поле адреса вбиваю адрес этой виртуалки. Не важно, IP или DNS. И все естественно заработает.
Но если я зайду на эту виртуалку просто по hhtp через браузер - Я ОПЯТЬ УВИЖУ ВЕБМОРДУ СВОЕЙ DSM :-)
Потому что порт для DS Cam ВСЕГДА совпадает с портом DSM. Ну или с портом вебморды Surveillance Station.
По хорошему порты для DS Cam (да и остальных мобильных приложений) и DSM должны быть разными. Но Synology решила сделать так как сделала.
У меня например стоит охранная сигнализация Paradox. Там вебморда работает на стандартном порту 443, а вот управление через мобильное приложение висит на совершенно другом порту который относительно безбоязненно можно выводить в интернет.
Это будет шило на мыло.Ну подниму я ВПН на NAS в сторону допустим арендованной виртуалки.
Запускаю DS Cam и в поле адреса вбиваю адрес этой виртуалки. Не важно, IP или DNS. И все естественно заработает.
Но если я зайду на эту виртуалку просто по hhtp через браузер - Я ОПЯТЬ УВИЖУ ВЕБМОРДУ СВОЕЙ DSM :-)
Потому что порт для DS Cam ВСЕГДА совпадает с портом DSM. Ну или с портом вебморды Surveillance Station.
По хорошему порты для DS Cam (да и остальных мобильных приложений) и DSM должны быть разными. Но Synology решила сделать так как сделала.
У меня например стоит охранная сигнализация Paradox. Там вебморда работает на стандартном порту 443, а вот управление через мобильное приложение висит на совершенно другом порту который относительно безбоязненно можно выводить в интернет.
Не на нас. Какая тогда дмз?
На роутере перед нас. И никаких портов наружу. Вход через vpn сразу на локальный адрес со стандартным портом дсм.
другом порту который относительно безбоязненно можно выводить в интернет.
Хм. Какая разница тогда со сменой порта в дсм? Теже тапки. Вы можете и дсм дать безбоязненый порт...
Не на нас. Какая тогда дмз?На роутере перед нас. И никаких портов наружу. Вход через vpn сразу на локальный адрес со стандартным портом дсм
Тогда на смартфон надо устанавливать клиента VPN.
Т.е. сначала со смартфона надо будет поднять ВПН до маршрутизатора, потом на смарте запускать DS Cam в котором в поле адреса указывать адрес NAS-а в локалке.
За такой изврат стандартные пользователи меня просто разорвут)
Тут люди не понимают куда адрес QC в DS Cam вбивать, а вы предлагаете ТАКОЕ :-)
Хм. Какая разница тогда со сменой порта в дсм? Теже тапки. Вы можете и дсм дать безбоязненый порт...
Разница в том что даже зная служебный порт охранной сигнализации вы абсолютно ничего (в теории) не можете сделать. Вебинтерфейса там нет, управление идет по каким-то непонятным закрытым протоколам. Которые еще и зашифрованы.
А вот что делать с открытой вебмордой которая вам в открытую предлагает ввести логин/пароль - все прекрасно знают)
Возвращяемся к нашим баранам...
Два моих сервера попали в базы сканеров и идет постоянный долбёж на предмет подбора логин/пароль к веб интерфейсу DSM.
Тысячи попыток в день.
При этом попытки хитрожопые. Не более ДВУХ попыток с одного IP. В результате они не попадают под блокировку потому что если я выставлю бан после первой неправильной попытки входа - сам заблокируюсь по ошибке когда нибудь)
Может у кого появились мысли как использовать мобильные приложения типа DS Cam или DS Chat на нестандартных портах на которых нет веб интерфейса DSM?
Может в 7-й версии появились новые возможности?