標題: QuickConnect and DDNS(synology.me)的分別 ? [打印本頁]

---

作者: raypoon    時間: 2022-2-24 14:19     標題: QuickConnect and DDNS(synology.me)的分別 ?

為安全, 很多文章講不要用QuickConnect要用DDNS
是什麼原因 ?

---

作者: ChingTszHong    時間: 2022-2-24 14:35

提示: 作者被禁止或刪除 內容自動屏蔽

---

作者: 飯團A號    時間: 2022-2-24 14:40

提示: 作者被禁止或刪除 內容自動屏蔽

---

作者: jackwong717    時間: 2022-2-24 14:59

本帖最後由 jackwong717 於 2022-2-24 16:49 編輯

回復 1 #raypoon

成功申請左qc，
可以登入到nas,
簡單而速度慢。
申請左ddns，
唔開port係登入唔到nas的，
唔好用nas外網存取/路由器配置，
Router 關Upnp，router開port比nas。
想再安全dd就唔好申請qc同port forwarding，
用router或nas開vpn,
登入vpn後當內網咁就可以登入。
Ps我有開qc,
有ddns port5000/5001
有用nas開openvpn,
但我有backup nas2部，
1部每日更新，1部每星期更新，
自動做完關機。
再有外置hdd backup。

下面有簡單教學去了解一下。

1.https://youtu.be/OREcJTZj53Y
2.https://youtu.be/iHKQlmr2-x4



Android 紅米note8pro

---

作者: jackwong717    時間: 2022-2-24 15:31

本帖最後由 jackwong717 於 2022-2-24 15:36 編輯

如果睇完都唔明白，而又想用外網連入，我會建議nas/外部存取/路由器果度咩都無set,
只申請qc,這樣比較安全。

我會相信synology多過一般人
（包括一班Youtuber)
大多都叫人用UPnP去開port。


Android 紅米note8pro

---

作者: jackwong717    時間: 2022-2-24 17:11

呢張圖係某CHING既,
一般人就係跟網上教學去設定,經UPNP,
NAS開了一大堆PORT都唔知,
咁就相對比用QC危險了

圖片附件: 2.jpg (2022-2-24 17:11, 144.19 KB) / 下載次數 53
https://www.hkepc.com/forum/attachment.php?aid=2308071&k=e96b7ad7bcf181cfe336138206bf9cf7&t=1794731492&sid=1t7LI3donm

---

作者: KinChungE    時間: 2022-2-24 18:00

DDNS: 外面user --> 你部NAS
QuickConnect: 外面user --> Synology Server <-- 你部NAS

前者仍然受你Router/Firewall等控制, 你唔set uPnP/Port Forwarding外人係入唔到黎
後者乜都經哂Synology, 等於你完全相信Synology安全, 人人都可以經Synology Server再入黎八掛下, 撞下password

---

作者: raypoon    時間: 2022-2-24 22:39



Here is 2 examples

1.
https://sportsclinictampico.com/ ... as-from-ransomware/

2.  From Taiwan Synology NAS 商用技術研究社  P.8
NAS的設定建議 2022-02-23-11:30更新
1.不要讓NAS直接接上外網要放在路由器或防火牆後面(不是物理性放置 )
2.關閉admin帳號登入
3.開啟兩因素身份驗證
(不要用Google Authenticator，建議使用Authy)
4.密碼建議使用數字+大小寫字母+符號
(網路上有密碼生產器，我用的是16位數的密碼然後不要選常用)
4.更改登入頁面預設的Port
(群暉 : 控制台>系統>登入入口>網頁服務)
5.去路由器關閉多餘的Port
6.不要去相信只要封鎖台灣以外IP就能安全的想法
(國外能夠透過台灣電腦當挑版攻擊所以鎖了根本沒用)
7.如果可以就不要開SMB(網路芳鄰)
(如果同個網路的電腦被攻擊，NAS就可能會遭受坡及)
8.不去用QuickConnect ID而是用DDNS
(群暉 : 控制台>連接能力>外部存取>DDNS>新增)
勾選 啟動 DDNS 支援讓使用者以註冊的主機名稱連接伺服器。
服務供應商：Synology (Synology有提供免費的域名)
主機名稱： 自己想名稱 .Synology.me (大多人都是用.Synology.me)
使用者名稱/電子郵件：NAS管理員名稱
密碼/金鑰：NAS管理員密碼
外部位址(IPv4)：可以按自動設定
外部位址(IPv6)：可以按自動設定
勾選 從 Let's Encrypt 取得憑證，並設定其為預設憑證
(可以獲取免費且自動續約的SSL憑證)
(當然，請不要以為用DDNS就不會被攻擊)
9.幫你的登入入口網站及其他頁面獲取SSL憑證
(群暉 : 控制台>連接能力>安全性>憑證)
10.可以設定自動封鎖功能
(群暉 : 控制台>連接能力>安全性>保護>自動封鎖)
(可以自動封鎖同一個嘗試登入的IP位置)
嘗試登入次數：建議設置2
幾分鐘內：建議設置4320(也就是三天)

---

作者: freefdhk    時間: 2022-2-24 23:03

QuickConnect 無視你 Firewall 直接所有流量指晒去你台 NAS
不論好與壞，當然吧理論上 無做 Port forward 是很安全。

但實際就叫你食屎， 用 QuickConnect 只要 Hacker 找到有 Zero-days bugs 再撞下 id 就可以輕鬆入侵，撞 IP 都有機會對方無 NAS ， Synology ID 你話連入去果台唔係 Synology NAS 搵鬼信 ? 仲要 bypass 晒地區封鎖，而且當有 Bugs 出現時 S記是 堅持維持流量轉送服務，讓你的 NAS 被綁票完成。

Synology 既 DDNS 盡量都唔好用，因為都係輕易探出 子域名是否存在然後就暴露 IP ，當然吧你可能有限制地區，但不排除 Hacker 都係會搵返同你Server 同國家的跳板來 Hack 入去。 既然 搵到有 abcd.synology.me  咁這個 IP 好大機會會有連線，只要掃下 Port 又成功了。

最好還是自備 domain 或用 noip 那類，始終找到 你的 noip ddns 也不一定有 nas 存在，不過建議連 port forward都不要開，連 router 既 vpn server 再連會安全一點。 萬一真的想 port forward 就要搞 Reverse Proxy 綁定 domain 。

---

作者: t1174-3    時間: 2022-2-24 23:19

本帖最後由 t1174-3 於 2022-2-24 23:23 編輯

From Taiwan Synology NAS 商用技術研究社  P.8
這個有D 問題, 有點我不同意的.
比如. 8.不去用QuickConnect ID而是用DDNS, 但又用 .Synology.me
之所以不用 QC, 主要其實是用 QC或是 QNAP 的MYQCLOUD, 其實就是同HACK 說明你用的 NAS/OS 是乜吧. 那就是一個風險. 也是 HACK SCAN 時的第一批目標. 如果是不要用 QC 而用 DDNS, 就唔好用 SYNO (或是 QNAP 等) 自廠的 DDNS 啦. 而且用 DDNS, 多少就是要MAP PORT, 現在大多說就是 MAP PORT 出問題嘛.

而第7 點關 SMB 也是一個不太合理的方法. 雖然 SAMBA 多BUG, 不過一方面是內網, 一方面也是WINDOWS 主要用的, 要家用 MOUNT NFS 其實有D 不實用. 而且 NFS 其實只是少家用, 我不見得它就一定比 SAMBA 少問題.

---

作者: yuktat    時間: 2022-2-26 02:30


Hahaha 未睇過名我已經知邊個回覆
Ching 幾時開始有系統咁樣拍youtube 好多人都未必有你講解咁詳盡

via HKEPC Reader for Android

---

作者: jackwong717    時間: 2022-2-26 11:44

回復 11 #yuktat

識少少扮代表，
比專業人士睇到笑死。


Android 紅米note8pro

---

作者: eilot    時間: 2022-3-3 10:52

如果在NAS防火牆設定全封非香港IP登入，對以QC方式來登入是否有影響?

---

作者: kcthomlau    時間: 2022-3-3 11:17

唔信dsm不如唔好用syno

---

作者: freefdhk    時間: 2022-3-3 11:46

回覆 13# eilot


    之前測試過. 所有國家都會經 Quickconnect 呢個 proxy 入到你部機.
因為唔洗port forward 根本唔到你個 nas firewall 去封.
其實係 outgoing 既 client 來.


所以唔用會安全過用

---

作者: ChingTszHong    時間: 2022-3-3 12:07

提示: 作者被禁止或刪除 內容自動屏蔽

---

作者: jackwong717    時間: 2022-3-3 12:16

回復 16 #ChingTszHong

ddns或vpn後都可以連

Android 紅米note8pro

---

作者: eilot    時間: 2022-3-3 12:40




   那對QC的唯一保護就只得兩步?
假如QC有零日能無視兩步的話...如上年的QNAP的影音插件源代碼事故?

---

作者: ChingTszHong    時間: 2022-3-3 12:42

提示: 作者被禁止或刪除 內容自動屏蔽

---

作者: freefdhk    時間: 2022-3-3 12:50



看過 Q記 的 Quickconnect  曾經出現危險. 而 S記 Quickconnect 無交代過有什麼 Firewall rule 去由佢主動幫用戶阻隔入侵.
用 Cloudflare CDN 都有很多Rule 可以啟用或停用.  

但感覺上 如果 Quickconnect  是 Bypass 左 自己個 firewall 真係唔敢講佢安唔安全.
始終 Hacker 試到個 Quickconnect ID 存在就連到去自己台機 . 除非 S 記會保證只用 Quickconnect  都被人 Hack 左會代交贖金.  

其實 S/A/Q 既 Quickconnect  應該要有個控制台好似 cloudflare 咁比用戶去設定 佢既 firewall rule .
咁就應該可以安心得多.

---

作者: fakeman    時間: 2022-3-3 19:03




    唔完全正確，Quick Connect 唔係直接左手交右手咁俾人係出面連去你部機（至少你無辦法用 Quick Connect 去 ssh 自己部 NAS 吧），佢應該限制咗好多嘢唔俾用，而且 web service 為主

當然如果 web service 有 bug 都有機會出事的，而且同你講既一樣，佢冇交代點樣保護 Quick Connect

---

作者: fakeman    時間: 2022-3-3 19:03




    玩下 cloudflare....

---

作者: freefdhk    時間: 2022-3-3 20:00




    而家係怕 DSM Panel 漏洞多.  Quick Connect  直接比人連 DSM 個 Panel 係事實.
佢既Zero-day 應該唔會單純唔開 SSH 就無事. 而且 SSH 正常都無人會開 佢出去.

如果係自己裝埋D有問題既第三方軟件落去而中招係無得怨。

如果有米王整個dummy 吉機  開:5000 , 5001 唔改Port 真空上陣~
唔限地區睇下會唔會被人Hack.   (唔裝任何第三方軟件免得s記賴皮, 只 開dsm port, 唔對外開 ssh ,smb , vpn )

咁就知S記安唔安全

---

作者: fakeman    時間: 2022-3-3 20:18




    所以而家 DSM7 都唔俾 3rd party app 用 root....少一個問題先

而且其實佢轉接時可以做 detection 不過冇人知點做就真，加上 Quick Connect = 背後一定係 S 牌 NAS hacker 的確係有個目標

---

作者: freefdhk    時間: 2022-3-3 20:37




    可惜 DSM6沒這種安全規格.
DSM7 有 btrfs 問題真係唔敢升上去. 一陣 100TB 炒左真係殺左佢都似.

---

作者: eilot    時間: 2022-3-4 01:27

本帖最後由 eilot 於 2022-3-4 01:29 編輯



  稍為惡搞一點
即是QC 的ID 要定期改名?以免被駭客撞中....
不過之前設定的QC 名，是原本帳號名後面隨手亂打一堆數字，居然說已經有人用了...

不過我沒用docker(其實是上網摸索中，想找一些支援更多音樂格式的播放器，但現在來看，用第三方總感覺好危險)，手機裝的都是S記的自家APP、DS finder和DS file，不過之前看了A記都出事後就暫時關了QC

---

作者: fakeman    時間: 2022-3-4 01:30




    都係果句，多做 backup