Proxy- und Reverse-Proxy-Server in DSM Mehr Sicherheit und Kontrolle durch Proxy-Server im Synology-NAS

Synology-NAS lassen sich mit Proxy- und Reverse-Proxy-Servern zu leistungsfähigen Sicherheits- und Steuerungsknoten im Netzwerk aus­bauen. Der kombinierte Einsatz ermöglicht nicht nur eine zentrale SSL-Verwaltung und flexible Zugriffsregeln, sondern reduziert auch Angriffs­flächen und vereinfacht das Management externer wie interner Webdienste.

Synology-NAS bieten mit integriertem Proxy- und Reverse-Proxy-Server Möglichkeiten zur Steuerung, Beschleunigung und Absicherung von Webzugriffen aus und in das Internet. Der kombinierte Einsatz ermöglicht zentrale SSL-Verwaltung, flexible Regelwerke und reduzierte Angriffsflächen im Netzwerkbetrieb.

Ein Proxy-Server fungiert als vermittelnde Instanz zwischen einem Client, beispielsweise einem Webbrowser, und einem externen Webdienst. Er nimmt Anfragen entgegen, prüft sie auf Zulässigkeit, speichert häufig angeforderte Inhalte in einem Cache und liefert sie bei Bedarf aus diesem Zwischenspeicher zurück. Das entlastet die Internetanbindung, reduziert Ladezeiten und bietet zugleich Möglichkeiten zur Zugriffskontrolle.

Der Proxy agiert dabei im Auftrag der Clients, um deren Anfragen zu verarbeiten. Im Gegensatz dazu arbeitet ein Reverse-Proxy in entgegengesetzter Richtung. Er steht als vorgelagerter Zugangspunkt vor einem oder mehreren Backend-Servern, nimmt Anfragen aus dem Internet entgegen und leitet diese gezielt an interne Systeme weiter, ohne deren tatsächliche Struktur oder interne IP-Adressen preiszugeben.

Während der klassische Proxy also die Kommunikation der internen Clients nach außen vermittelt, ist der Reverse-Proxy das Schutzschild und der Steuerungsmechanismus für eingehende Verbindungen auf interne Dienste. Diese funktionale Trennung ist entscheidend, wenn es um die sichere, effiziente und skalierbare Bereitstellung von Webanwendungen und internen Services geht.

Bildergalerie

Bildergalerie mit 6 Bildern

Sichere Speicherlösung

Daten im Network Attached Storage schützen – das braucht's dazu

Funktionsprinzip und Nutzen des Proxy-Servers in DSM

Der Synology Proxy-Server ist als eigenständiges Paket verfügbar und unterstützt ausschließlich HTTP-basierte Dienste. Sobald ein Benutzer eine HTTP-Anfrage stellt, prüft der Proxy die Anfrage, greift im Idealfall auf zwischengespeicherte Inhalte zu und liefert diese aus dem Speicher oder vom Datenträger zurück. Diese Cache-Mechanismen, sowohl RAM-basiert als auch auf Festplattenebene, ermöglichen eine deutliche Beschleunigung von Webseiten­abrufen, insbesondere wenn viele Nutzer wiederholt dieselben Inhalte anfordern.

Neben der Performanceoptimierung dient der Proxy-Server auch der Zugriffskontrolle. Administratoren können präzise festlegen, welche IP-Adressen oder Hostnamen Zugriff auf bestimmte Ressourcen erhalten oder blockiert werden. Damit lassen sich nicht nur Produktivitätssteigerungen im Unternehmensumfeld erzielen, sondern auch Sicherheits­vorgaben durchsetzen, indem unerwünschte oder riskante Webziele gesperrt werden.

Inbetriebnahme, Datensicherung und Wiederherstellung der Proxy-Konfiguration

Die Aktivierung erfolgt im DSM-Hauptmenü über den Eintrag "Proxy-Server". Zunächst muss dazu die Anwendungen aus dem Paketzentrum installiert werden. Für Ausfallsicherheit und Konfigurationsschutz lässt sich der gesamte Funktionsumfang in eine Hyper Backup-Strategie einbinden. Über "Hyper Backup > Erstellen > Datensicherungsaufgabe" kann der Proxy-Server als zu sichernde Anwendung ausgewählt werden.

Dies beinhaltet sämtliche Konfigurationsdateien, die im Bedarfsfall vollständig zurückgespielt werden können. Die Wiederherstellung erfolgt über "Hyper Backup > Wiederherstellen > Daten". Nach Abschluss dieses Vorgangs überschreibt DSM alle aktuellen Proxy-Server-Konfigurationsdateien mit den gesicherten Versionen. So lässt sich im Falle einer fehlerhaften Konfiguration oder nach Testläufen schnell ein funktionsfähiger Ausgangszustand wiederherstellen.

Benutzerkonten schützen

Synology-NAS-Systeme mit 2FA absichern

Zentrale Parameter und Protokolloptionen im Proxy-Server-Menü

Unter "Einstellungen" werden sämtliche grundlegenden Betriebsparameter konfiguriert. Dazu gehört die E-Mail-Adresse des Proxy-Managers, die Nutzern bei Verbindungsproblemen oder beim Aufruf gesperrter Seiten angezeigt wird. Der zu nutzende Proxy-Port ist ein Pflichtfeld, voreingestellt ist 3128. Über die Option "Caching aktivieren" lässt sich die Zwischenspeicherung einschalten, die erweiterte Konfiguration erfolgt dann im Register "Cache". Mit "Protokollierung aktivieren" wird jede HTTP-Anfrage protokolliert, wobei die Logdateien standardmäßig unter "/var/packages/Proxy­Server/target/squid/var/logs/" gespeichert werden. Wer eine zentrale Auswertung betreibt, kann die Protokolle direkt an einen Syslog-Server weiterleiten, indem Protokolltyp, Ziel-IP und Port des Syslog-Servers angegeben werden. Mit "Standard wiederherstellen" lassen sich sämtliche Einstellungen zurücksetzen und gleichzeitig der gesamte Datenträger-Cache leeren, ein sinnvoller Schritt bei grundlegenden Änderungen der Proxy-Architektur.

Detailkonfiguration des Cache-Systems für optimale Leistung

Das Cache-Management des Synology Proxy-Servers ist zweistufig aufgebaut, ein Datenträger-Cache für längerfristige Speicherung sowie ein RAM-Cache für besonders schnelle Aus­lie­fe­rung. Für den Datenträger-Cache wird zunächst der Speicherort festgelegt. Die Größe wird in Gigabyte definiert. Die Minimal- und Maximalwerte für zwischenspeicherbare Dateien werden in Kilobyte angegeben, mit festen Ober- und Untergrenzen (maximal 2048 KB minimal, mindestens 8 KB maximal).

Darüber hinaus steuern "Untergrenze für Cache-Swap" und "Obergrenze für Cache-Swap" den automatischen Austausch alter Cache-Dateien, wenn der belegte Speicher bestimmte Schwellenwerte erreicht. Der Speicher-Cache wird in Megabyte festgelegt und ergänzt den Datenträger-Cache um zusätzliche, besonders schnelle Abrufmöglichkeiten. Hier gilt es, den verfügbaren Arbeitsspeicher des NAS zu berücksichtigen, um eine sinnvolle Balance zwischen Systemleistung und Caching-Kapazität zu finden.

Bildergalerie

Bildergalerie mit 6 Bildern

NAS als Domänencontroller

So binden Sie Ihr Synology-NAS an das Active Directory an

Feingranulare Zugriffskontrolle für präzise Filterregeln

Über die Registerkarte "Zugriff" lassen sich Regeln definieren, die nach Priorität von oben nach unten abgearbeitet werden. Kriterien können Quell-IP, Quell-Hostname, Ziel-IP oder Ziel-Hostname sein. Hostnamen erfordern eine funktionierende Reverse-DNS-Auflösung. Jede Regel kann mehrere Argumente enthalten, getrennt durch Leerzeichen, und unterstützt sowohl Einzeladressen als auch CIDR-Notation. Bearbeitung, Löschung und Prioritätsanpassung sind direkt in der Oberfläche möglich. In der Praxis empfiehlt es sich, verweigernde Regeln über den zulassenden zu platzieren, um die Sicherheitswirkung zu maximieren. Greift keine Regel, blockiert der Proxy standardmäßig die Anfrage.

Authentifizierung für kontrollierten Zugriff aktivieren

Mit "Authentifizierung erforderlich" lässt sich der Proxy so absichern, dass nur Benutzer mit gültigen Anmeldedaten Zugriff erhalten. Dies kann über lokale DSM-Konten erfolgen oder, in größeren Umgebungen, über AD- oder LDAP-Server. In diesen Fällen muss ein voll qualifizierter Domainname angegeben werden. Über das Feld "Willkommensnachricht" lässt sich ein individueller Hinweistext gestalten, der im Authentifizierungsdialog des Browsers erscheint.

Netzwerkweite Bereitstellung per WPAD-Protokoll

Für Umgebungen mit vielen Clients ist die automatische Konfiguration über WPAD (Web Proxy Auto-Discovery) sinnvoll. Aktiviert wird sie in der Proxy-Bereitstellung, indem die gewünschte Netzwerkschnittstelle ausgewählt wird. DSM legt automatisch eine "wpad.dat"-Datei im freigegebenen Ordner "web" an und generiert die passende DHCP-Konfiguration. Wird der Synology-DHCP-Server genutzt, lässt sich die Option "Automatische Web Proxy-Erkennung aktivieren" direkt dort setzen. Clients im LAN übernehmen daraufhin die Proxy-Einstellungen automatisch, ohne dass manuelle Konfigurationen in den Browsern notwendig sind.

Mit OpenVPN-Client

VPN-Server mit dem Synology-NAS aufbauen

Reverse-Proxy in DSM – zentrale Steuerung eingehender Anfragen

Der Reverse-Proxy in DSM wird über "Systemsteuerung > Anmeldeportal > Erweitert" konfiguriert. Ziel ist es, eingehende Anfragen für verschiedene interne Dienste über eine zentrale öffentliche IP-Adresse und Port 443 zu steuern. Jede Webanwendung erhält dabei eine eigene Subdomain, was die interne Struktur vor direkter Einsicht schützt und die Zahl offener Ports im Router auf ein Minimum reduziert. Die Quelle einer Regel umfasst Protokoll (in der Regel HTTPS), Hostname und Port. Als Ziel werden das interne Protokoll, die interne IP-Adresse oder der Hostname sowie der interne Port des Dienstes angegeben.

Praktische Umsetzung: Interne und externe Dienste absichern

Ein häufiges Szenario ist die Bereitstellung einer auf dem NAS laufenden Docker-Anwendung. Läuft diese beispielsweise auf Port 5005, wird als Quelle "HTTPS", Subdomain "app.firma.de" und Port 443 eingetragen, als Ziel "localhost", Protokoll HTTP und Port 5005. Das zugehörige SSL-Zertifikat lässt sich direkt aus DSM heraus über Let’s Encrypt beantragen.

Ein weiteres Szenario ist die Einbindung externer Systeme wie Home Assistant auf einem separaten Server. Hier wird die Zieladresse auf dessen interne IP und den Anwendungsport gesetzt. Die Verschlüsselung erfolgt weiterhin zentral am NAS, sodass der externe Dienst unverschlüsselt intern erreichbar bleibt, nach außen jedoch über HTTPS gesichert wird.

Bildergalerie

Bildergalerie mit 6 Bildern

QuickConnect als VPN-Alternative

Sicher von unterwegs auf das eigene Synology-NAS zugreifen

Sicherheits- und Verwaltungsvorteile im Produktivbetrieb

Der größte Vorteil des Reverse-Proxy liegt in der zentralen Steuerung aller extern zugänglichen Dienste. Die Zahl der im Router geöffneten Ports lässt sich auf die Standard-HTTPS-Verbindung reduzieren. Interne IP-Adressen bleiben verborgen, Subdomains sorgen für klare Strukturen und erleichtern die Trennung von Anwendungen. Über die in DSM integrierte Zertifikats­ver­wal­tung können auch Wildcard-Zertifikate eingebunden werden, um eine Vielzahl von Subdomains mit einem einzigen Zertifikat abzusichern. Zugriffsprofile im Reverse-Proxy erlauben es zudem, nur bestimmten IP-Bereichen den Zugriff auf definierte Dienste zu gewähren, was die Angriffsfläche weiter reduziert.

Fazit und Empfehlung für den Einsatz

Durch die Kombination von Proxy-Server und Reverse-Proxy in DSM erhalten Administratoren ein flexibles Instrumentarium, um sowohl ausgehende als auch eingehende Web­kom­mu­ni­ka­ti­on zu kontrollieren, zu optimieren und abzusichern. Die Möglichkeiten reichen von der Last­ver­teilung über zentrale Zertifikatsverwaltung bis zur fein abgestuften Zugriffskontrolle. Ent­schei­dend für den erfolgreichen Einsatz ist eine saubere Planung der DNS-Struktur, eine klare Definition der Zugriffspfade und eine konsequente Pflege der Zertifikate. So lässt sich mit vergleichsweise geringem Konfigurationsaufwand eine professionelle, skalierbare und sichere Webarchitektur auf Basis eines Synology NAS realisieren.

NAS richtig absichern mit diesen essentiellen Sicherheitstipps

Security-Checkliste für Synology NAS-Systeme

(ID:50614262)