Per SSH auf Synology DSM verbinden und Root-Rechte erhalten

Einige Diagnosebefehle auf einer Synology – zum Beispiel tcpdump – lassen sich nicht über DSM oder die File Station ausführen. Dafür wird eine Shell-Verbindung per SSH benötigt. Diese Anleitung zeigt den vollständigen Weg: SSH in DSM aktivieren, mit Windows verbinden, Root-Rechte erhalten und den Zugang anschließend wieder absichern.

1. SSH in Synology DSM aktivieren

Öffne in DSM die Systemsteuerung und gehe zu Terminal & SNMP. Im Bereich „Terminal“ aktivierst du den SSH-Dienst.

Systemsteuerung
└─ Terminal & SNMP
   └─ Terminal
      └─ SSH-Dienst aktivieren

Standardmäßig verwendet SSH TCP-Port 22. Für ein internes Netz ist das grundsätzlich in Ordnung. Ein abweichender Port ersetzt keine Firewall und keinen VPN-Zugang.

2. Benutzer und Berechtigungen prüfen

Melde dich nicht direkt als root an. Verwende ein normales DSM-Administratorkonto, das Mitglied der Gruppe administrators ist. Die Root-Shell wird erst nach der Anmeldung gezielt geöffnet.

Das eingebaute Konto mit dem Namen admin kann deaktiviert bleiben. Im folgenden Beispiel steht robin stellvertretend für dein eigenes Administratorkonto.

3. Verbindung unter Windows herstellen

Öffne PowerShell oder Windows Terminal und verbinde dich mit der lokalen IP-Adresse oder dem internen DNS-Namen des NAS:

ssh robin@192.168.10.250

Verwendest du einen anderen SSH-Port, wird er mit -p angegeben:

ssh -p 2222 robin@192.168.10.250

Erste Verbindung und Host-Schlüssel

Beim ersten Zugriff fragt Windows, ob dem Host-Schlüssel vertraut werden soll. Prüfe, ob IP-Adresse beziehungsweise Hostname stimmen, und bestätige anschließend mit yes.

Are you sure you want to continue connecting (yes/no/[fingerprint])? yes

Danach gibst du das Kennwort des DSM-Benutzers ein. Während der Eingabe werden keine Sternchen angezeigt – das ist normal.

4. Root-Rechte erhalten

Nach erfolgreicher Anmeldung befindest du dich zunächst in der Shell deines Benutzers. Für Systemdiagnosen wechselst du kontrolliert in eine Root-Shell:

sudo -i

DSM fragt erneut nach dem Kennwort des angemeldeten Administratorkontos. Anschließend sollte der Prompt mit einem Doppelkreuz beginnen:

root@Lutze-NAS:~#

Alternativ erkennst du den aktuellen Benutzer mit:

whoami

Die erwartete Ausgabe lautet:

root

5. Beispiel: HTTPS-Verbindungen mit tcpdump prüfen

Jetzt kann der gezielte Paketmitschnitt aus der Firewall- und Google-Search-Console-Anleitung direkt auf dem NAS ausgeführt werden:

tcpdump -ni any -tttt -nn 'dst host 9.3.4.250 and tcp dst port 443 and (tcp[tcpflags] & tcp-syn != 0)'

9.3.4.250 ist die NAS-Adresse aus dem Beispiel. Sie muss durch die tatsächliche interne IP-Adresse des eigenen NAS ersetzt werden.

Mitschnitt beenden

Der laufende Befehl wird mit folgender Tastenkombination beendet:

Strg + C

6. Root-Shell und SSH-Sitzung sauber schließen

Verlasse zuerst die Root-Shell und danach die eigentliche SSH-Verbindung:

exit
exit

Der erste Befehl wechselt von root zurück zum DSM-Benutzer. Der zweite beendet die Verbindung zum NAS.

7. SSH nach der Diagnose wieder absichern

• SSH nur im internen Netz oder über VPN verwenden.
• Keine Portweiterleitung von WAN auf TCP 22 einrichten.
• In der DSM-Firewall SSH ausschließlich für das eigene Verwaltungsnetz erlauben.
• SSH deaktivieren, wenn der Dienst dauerhaft nicht benötigt wird.
• Das Standardkonto admin deaktiviert lassen.
• Ein starkes, eigenes Administratorkennwort verwenden.

Fehlersuche

„Connection timed out“

SSH ist nicht aktiviert, eine Firewall blockiert den Port oder die verwendete IP-Adresse ist falsch.

„Connection refused“

Das NAS ist erreichbar, aber auf dem angegebenen Port läuft kein SSH-Dienst. Prüfe die DSM-Einstellung und den verwendeten Port.

„Permission denied“

Benutzername oder Kennwort stimmen nicht, das Konto ist gesperrt oder der Benutzer besitzt keine erforderlichen Rechte.

sudo -i wird abgelehnt

Der angemeldete DSM-Benutzer gehört nicht zur Administratorgruppe. Verwende ein berechtigtes Konto und gib dessen eigenes Kennwort ein.

Kurzfassung

1. DSM → Terminal & SNMP → SSH aktivieren
2. ssh BENUTZER@NAS-IP
3. sudo -i
4. Diagnosebefehl ausführen
5. Strg+C
6. exit
7. exit
8. SSH bei Nichtgebrauch wieder deaktivieren