Synology DSM Firewall richtig konfigurieren: Website öffentlich, NAS intern

Eine Synology kann gleichzeitig NAS, Webserver, Reverse Proxy und Ziel für weitere Dienste sein. Genau deshalb sollte die DSM-Firewall nicht pauschal „Deutschland erlauben“ oder „alle Ports aus dem Internet“ freigeben. Das Ziel ist klar: Die Website ist öffentlich erreichbar, die Verwaltung und Dateidienste bleiben intern.

Das Sicherheitsprinzip

Firewallregeln werden von oben nach unten verarbeitet. Die erste passende Regel entscheidet. Deshalb gehören spezifische Freigaben nach oben und eine abschließende Verweigerung nach unten.

1. Eigenes LAN zulassen
2. Öffentliche Website: TCP 80 und 443 zulassen
3. Weitere benötigte Dienste einzeln zulassen
4. Alles andere verweigern

1. Internes Netz zulassen

Für das eigene Verwaltungsnetz wird eine Regel mit dem tatsächlichen Subnetz angelegt. Beispiel:

Quelle: 192.168.10.0 / 255.255.255.0
Ports: benötigte interne Dienste
Protokoll: TCP/UDP nach Bedarf
Aktion: Zulassen

Bei einem einzelnen Netz sollte als Quelladresse die Netzadresse verwendet werden – also beispielsweise 192.168.10.0/24 und nicht nur die Routeradresse.

2. Öffentliche Website freigeben

Für WordPress, Web Station und Reverse Proxy reicht eine gezielte öffentliche Regel:

Quelle: Alle
Protokoll: TCP
Ports: 80, 443
Aktion: Zulassen

Port 80 wird benötigt, wenn HTTP auf HTTPS umgeleitet wird oder Zertifikatsprüfungen darüber laufen. Port 443 ist der eigentliche HTTPS-Zugriff.

3. DSM und Dateidienste nicht öffentlich öffnen

Diese Dienste gehören normalerweise nicht in eine Regel mit der Quelle „Alle“:

• DSM 5000/5001
• SSH 22
• SMB 445
• Datenbankports
• Synology Drive und Verwaltungsdienste
• interne Backup- oder Verzeichnisdienste

Auch wenn der Router die Ports aktuell nicht weiterleitet, sollte die NAS-Firewall trotzdem nach dem Prinzip der minimalen Rechte aufgebaut sein.

4. Warum Länderfreigaben für Websites problematisch sind

Eine Regel „Alle Ports aus Deutschland zulassen“ ist gleichzeitig zu breit und für eine öffentliche Website zu eng:

• Sie erlaubt unnötig viele NAS-Dienste für alle deutschen Quelladressen.
• Sie kann Suchmaschinen, Monitoring, Zertifikatsdienste oder legitime Besucher aus anderen Regionen blockieren.

Für die Website werden deshalb nur 80/443 weltweit geöffnet. Alle anderen Dienste bleiben intern oder werden mit einer eigenen, gezielten Quell-IP freigegeben.

5. Router und UniFi nicht vergessen

Die DSM-Firewall ist nur eine Ebene. Vor dem NAS müssen zusätzlich die Portweiterleitungen stimmen:

WAN TCP 80  → NAS TCP 80
WAN TCP 443 → NAS TCP 443

Region Blocking oder zusätzliche Internet-In-Regeln im Gateway können den Zugriff bereits vor dem NAS stoppen.

6. Nach jeder Änderung testen

curl.exe -I https://www.example.de/
curl.exe -I https://www.example.de/robots.txt
curl.exe -I https://www.example.de/wp-sitemap.xml
curl.exe -A "Googlebot" -I https://www.example.de/beispielartikel/

Alle Antworten sollten stabil 200 OK liefern. Anschließend lässt sich mit tcpdump nachweisen, dass neue Verbindungen tatsächlich am NAS ankommen:

tcpdump -ni any -tttt -nn 'dst host 9.3.4.250 and tcp dst port 443 and (tcp[tcpflags] & tcp-syn != 0)'

Die Zieladresse muss an die eigene NAS-IP angepasst werden.

Empfohlener Endstand

[1] Internes Netz
    Quelle: eigenes Subnetz
    Ports: benötigte interne Dienste
    Aktion: Zulassen

[2] Öffentliche Website
    Quelle: Alle
    TCP: 80, 443
    Aktion: Zulassen

[3] Weitere Dienste
    Nur einzeln und mit möglichst enger Quelle

[4] Standardaktion
    Zugriff verweigern

Kontrollfragen

• Ist DSM ausschließlich intern oder über VPN erreichbar?
• Sind öffentlich wirklich nur die benötigten Ports geöffnet?
• Gibt es keine pauschale Länderregel für alle Ports?
• Stehen Zulassen-Regeln oberhalb der abschließenden Verweigerung?
• Funktionieren Website, robots.txt und Sitemap auch mit aktivierter Firewall?