В общем, вопрос почти закрыт.
Кратко: как говорил уважаемый Polanat, все в конечном итоге свелось к iptables. Люнихи я практически никогда не трогал, пришлось поковыряться. Зато почти получил, что хотел (на самом деле жду реализацию от разрабов того, что опишу ниже или, если короче - возможность создавать правила в фаэре для исходящих подключений).
Пишу это с надеждой на то, что кому-то пригодится и человек (не знающий люниха, а привыкший юзать винды) не потеряет столько времени, сколько я.
Знающие люди улыбнутся, но я потратил почти 3 недели на переписку и несколько суток чистого времени на поиск ответов в инете и метод "тыка".
Ответ от их ТП я пока не получил, потому решил сам копать (вспоминается
).
Начну сначала.
Важно! Не верные действия или отсутствие понимания работы протоколов Tcp\Ip могут сделать ваше устройство недоступным для подключения в результате повторения действий, которые опишу ниже. Если у вас несколько сетевух - на одной из них обязательно оставляйте полный доступ, чтобы эксперимент не был плачевным.
После анализа работы различных пакетов и самой DS пришел к выводу, что сама DS и все приложения на ней работающие - свободно имеют доступ в инет (ну или могут транслировать любые порты на адрес шлюза).
Если слышали скандальную историю про ТВ Samsung (да много подобных), которые отсылали в контору производителя данные о пользователях, а также регулярно скачивали рекламные модули, мне это совсем не понравилось (тем паче, учитывая наши последние законы и торренты).
Если на работу основных модулей (лазить в инет за обновами, пакетами, интернет-радио, почта в ТП и т.д.) самой DS я готов был закрыть глаза, то на работу пакетов типа Transmission, Mail Server(+Mail station), Download station (BT+Emule) этого сделать было никак нельзя.
На фаэре, через который подключена DS, увидел множество активности по портам передачи, что сильно печалило.
После разбирательств выяснил, что политика DS по умолчанию (так же как и windows) - "я хорошая и незачем меня ограничивать" - имеет полный доступ на передачу по всем портам с любых модулей и пакетов, на ней установленных.
Долго переписывался с их ТП, описывая проблемы (да, тяжко с плохим знанием анг.языка). И вики ихняя еще на немецком 
Но "кто хочет, тот найдет".
Случайно нашел пакет Webmin (далее WM) (в принципе только ради фаэра (по косвенным запросам на проблему), там есть еще какойто DogGuard или чтотото такое, но как пакет не распространяется, а ставить такие вещи отдельно не умею).
Поставил Webmin* (найдете в сообществе, ссылку на адреса сообществ тут вешал в соседней ветке+на форуме написали что есть отдельная тема). Он отменно работает (говорю только про фаэр, только его тискал), очень удобно и вариантов создания правил множество великое.
Правила применяются мгновенно (надо еще галку в настройках пакета поставить, чтобы сразу в конфиг ОС писал)**.
*Отступление: WM пришлось некоторое небольшое время поизучать, причесать, обновить (обязательно самого, а потом еще по отдельности его компоненты) и настроить.
**Отступление: подозреваю, что там же в настройках можно настроить запись в ваш файл настроек, о котором речь пойдет ниже, но делал на скорую руку, потом сами посмотрите.
++ еще понадобится Putty (я юзал версию 0.63), скачать последние можно тут: http://www.chiark.greenend.org.uk/~sgtatham/putty/ и Midnight Commander (MC) - скачать можно в пакетах сообществ (запустить можно только из терминала(putty) - очень полезен).
При использовании Putty - логинимся на IP DS и порт SSH, который у вас там в настройках (рекомендуют сменить с 22). Не забудьте открыть нужные порты на всех железках.
логин - root (он же админ по умолчанию и admin на DS), пароль - админской учетки DS.
помните, что под "admin" вы в ssh не попадете. там admin=root, логин легко запоминается если вспомнить старый анег: "гаишник останавливает подозрительно виляющее на дороге одинокое авто. - Ваши права! - Root! - отвечает водитель и теряет сознание от алкогольного опьянения".
после входа в консоль пишем mc и жмем enter. получаем чтото типа norton commander.
хотя многие горячие клавиши совпадают - будьте осторожны, у люниха немного другая логика файловой системы + все измения происходят сразу.
+...и начальные знания про команду iptables (найдете поиском, там описание и список ключиков, в принципе не сложно).
Важно! Размер букв в строке аргументов команды - имеет значение. Сначала не мог понять в чем дело, почему команда не отрабатывает, потом вспомнил отличие логина в люнихах и виндах и все встало на свои места.
еще немного помогли следующие ссылки (если поймете о чем тут пишу, найдете больше поиском)
http://www.synology-wiki.de/index.php/Iptables
http://forum.synology.com/enu/viewtopic.ph...3d&start=30
http://posix.ru/network/iptables/
http://www.cyberciti.biz/faq/how-do-i-save...es-or-settings/
Так вот, я уже обрадовался, что все оказалось так просто. Настроил нужные правила и некоторое время пребывал в нирване.
Но зная теорему "рибут" и "радость его была бы не полной", через некоторое время решил перезагрузится.
Как подсказывало - новых правил в WM не обнаружил (его вкладку кстати можно не закрывать, просто после перезагрузки и писка DS о готовности - жмакать F5 на его странице с правилами).
Поковыряв настройки WM, понял, что дело не в нем. Дальнейшее копание привело к Iptables. Добавление туда нужного правила (пока нужно одно - запретить порты на передачу с интерфейса Lan2)*** работало отлично, но после перезагрузки терялось.
***Отступление: конфиг мой (можете аналогично сделать или поняв прицип - заточить под себя):
4 сетевухи, использую 2.
1Lan = 192.168.0.1/24, воткнуто в свитч. Туда же воткнут ПК управления DS. Инета нет. Шлюз и Днс в настройках сети не прописаны.
2Lan = 172.16.0.2/24, воткнуто в роутер, он же фаэр, настройки в нем для DS - зона DMZ, првило "разрешено все на передачу". В общих настройках сети DS - Шлюз 172.16.0.1, Днс 8.8.8.8.
Задача: открыть на DS только нужные на передачу порты. Важно: учитывая список из 4х пунктов в письме от меня выше "19.3.2015, 22:23" (п.2 проверен еще раз****,
уже когда все заработало. Не работают правила внутренего фаэра (с учетом изменений), потому ждем разрабов). Хотя пока просто времени нет дальше потыкать.
Мне нужно было, чтобы на LAN1 (он же br0) можно было все принимать и отправлять (для АРМ управления), а на LAN2 (он же eth1 в файлах конфигурации) отправлять только с тех портов, которые укажу.
По умолчанию было открыто все на передачу отовсюду. Правила фаэра DS все почистил (везде пусто оставил), на всех интерфейсах - правило по умолчанию = блокировать (внизу окошка опция), кроме LAN1 (принимать).
Вернемся к iptables. Прочитав основное про нее (а также про соседние iptables-save и -restore), а также про важный аргумент "--noflush", принялся за дело.
Добавил через нее правил, все работает отлично. Рибут - правил нет. Че за.. Ответ нашел на немецкой wiki SL (ссылка выше).
Там описан хитрый алгоритм чтения и сохранения настроек при старте и выключении.
Через указаные там пути нашел самый важный в этом опусе файл - /usr/syno/etc/rc.d/S01iptables.sh (1)
В нем нашел ссылку на файл с правилами iptables, который загружается каждый раз при загрузке системы: /etc/firewall_rules.dump (там для ipv6 такой же рядом).
Вношу изменения в него, рибут (кстати, перезагружаться можно прямо в MC командой reboot, не входя в веб интерфейс. Putty при этом должен быть перезапущен).
В WM вижу - правила не применились. Открываю файл - изменения не сохранились.
Ок. Думаю: создам такой же со своими правилами, а в (1) имя подправлю на новый. Создаю такой же, с цифрой 9 на конце имени. В (1) правлю. Рибут. Правил нет.
Причем анализ нового файла показывает, что он полностью перезаписан обычными правилами, а старый не тронут! При изучении (1) (если хоть толика прогера в вас была, поймете почему).
Кроме этого, вижу, что сам (1) не тронут и изменения сохранил. Короче в (1) нашел процедуру старта ipv4 и там добавил нужные правила.
Подробнее, концовку, выводы и скрины позже, основное написал. Как будет время - дополню.
Спатушки пора
