Btrfs gibt es als Dateisystem schon seit mehreren Jahren im Linux-Kernel, openSUSE setzt etwa seit Version 13.2 als Standard auf Btrfs als Dateisystem. Eine Spezialität des jungen Dateisystems liegt darin Copy-On-Write zu unterstützen. So lassen sich Daten kopieren, ohne dass zusätzlicher Speicherplatz benötigt wird. Erst wenn sich eine der beiden Kopien ändert, wird diese auch auf die Festplatte geschrieben — und zwar auch nur der Speicherblock, der die Änderung enthält. Dies eignet sich daher ideal für Snapshots von Datenpartition, da sich zahlreiche Snapshots erstellen lassen, ohne dass man viel Speicher verbrät. Zahlreiche weitere Informationen zu Btrfs und dem Umgang mit dem Dateisystem in einem Linux-System finden sich inzwischen zum Beispiel im Wiki von Ubuntuusers.

Diskstation auf Btrfs-Snapshots umrüsten

Für mich war es daher einer der Kriterien auf eine Diskstation DS216+ umzusteigen — andere NAS-Hersteller wie QNAP etwa unterstützen Btrfs allerdings selbstverständlich auch, ich bin allerdings jedoch schon ein wenig länger mit Synology-Geräten unterwegs, daher bleibe ich in der Syno-Community. Für die Umrüstung einer Diskstation auf Btrfs muss man nun leider die Datenpartition einmal löschen und wieder neu aufsetzen. Dazu gilt es zuallererst ein Backup eurer Daten zu erstellen, dann im Speicher-Manager das gewünschte Volume zu löschen und es anschließend gleich wieder mit Btrfs als Dateisystem wieder neu aufzusetzen.

Beim Anlegen der neuen gemeinsamen Ordner auf dem Volume unter Systemsteuerung | Gemeinsame Ordner achtet ihr am besten gleich zusätzlich darauf, dass im Reiter Erweitert die Option Erweiterten Datenintegritätsschutz aktiviert ist — was bei einem Btrfs-Volumen eigentlich von Haus aus der Fall sein sollte. Die Option sorgt dafür, dass Btrfs Prüfsummen erstellt und ihr im Falle von Bitrot die betroffenen Daten wiederherstellen könnt. Bei Bitrot treten schleichend und bitweise Fehler in den Daten auf, ohne dass das System diese tatsächlich als Fehler interpretiert. Nachträglich lässt sich diese Option, genauso wie die in Btrfs integrierte Dateikomprimierung, nicht mehr de-/aktivieren. Überlegt euch also schon im vorhinein genau, was dieser Ordner können soll.

Btrfs-Snapshots aktivieren und Zeitplan erstellen

Für die Snapshots müsst ihr nun die Erweiterung Schnappschuss & Replikation aus dem Paketzentrum installieren und diese dann anschließend aus dem Anwendungsmenü heraus öffnen. Für jeden gemeinsamen Ordner lässt sich dort dann im Reiter Schnappschüsse in den Eigenschaften ein Zeitplan bestimmen, der regelt wie oft das System einen Snapshot archiviert. Da bei Btrfs-Snapshots nur die zwischenzeitlich angelaufenen Änderungen als zusätzliche Datenmenge entstehen, könnt die Snapshots durchaus recht häufig erstellen lassen, ohne dass die Festplatte vollläuft. Im Reiter Aufbewahrung könnt ihr zudem dann noch festlegen, wie lange das System die einzelnen Snapshots archivieren soll. Danach gilt es abzuwarten, bis die Snapshot-Funktion das erste mal zuschlägt, alternativ könnt ihr mit Einen Schnappschuss machen manuell einen Snapshot auslösen.

Zugriff geht auch über den Dateimanager

Der Vorteil der Btrfs-Snapshots liegt nun darin, dass ihr über einen ganz normalen Dateimanager Zugriff auf die Sicherungen erhaltet. Im Stammordner eines jeden gemeinsamen Ordners des Systems (bei dem ihr die Snapshot-Funktion aktiviert habt) erscheint ein Verzeichnis mit der Bezeichnung #snapshots — unter Windows ist dies mit einem Kamera-Icon hervorgehoben. In diesem findet ihr die bisher angelaufenen Sicherungen; in diesen dann direkt den Stand eurer Daten zum Zeitpunkt der Sicherung. Löscht ihr also nun mal eine Datei oder ein Verzeichnis aus Versehen oder seid ihr mit einer Änderung an einem Dokument unzufrieden und möchtet einen älteren Stand wiederherstellen, dann müsst ihr einfach nur die #Snapshots ansteuern und die verbastelte Datei mit der gewünschten Version überschreiben.

Im Großen und Ganzen deckt man so mit Btrfs und einem RAID 1 schon zahlreiche Szenarien ab. Fällt eine der Platten aus, ist auf der zweiten alles gespielt. Also einfach die defekte Platte ausbauen, eine neue einsetzen und das System das RAID wiederherstellen lassen. Die Snapshots decken jetzt die Fälle ab, bei denen man als User zu dumm war: Also versehentliches Löschen und Änderungen an Daten, die man später bereut. Hängt man nun noch in regelmäßig Abständen eine externe Festplatte an das NAS und lässt eine „richtige“ Sicherung erstellen, ist man auch vor Komplettausfällen des NAS-Geräts abgesichert.

Gegen Bitrot sichern die Btrfs-Snapshots noch nicht

Einzig gegen den vorhin angesprochenen „Bitrot“ oder besser die Silent Data Corruption ist die Synology-Lösung noch nicht das Wahre. Dies liegt nicht an Btrfs selber, sondern an der Art und Weise wie Synology den Speicher organisiert: Bei einem klassischen Software-RAID (Mdadm-RAID) übernimmt das System die Daten von dem Speichermedium, das sich als Erstes meldet. Btrfs wählt hingegen nun aber die Quelle aus, bei der auch die Prüfsumme der ausgelieferten Daten stimmt (deswegen müsst ihr wie oben beschrieben die Option Erweiterten Datenintegritätsschutz aktivieren). Von Bitrot beschädigte Daten fallen dann sofort auf, so dass das System sie theoretisch automatisch mit jenen aus dem intakten Datenbereich ersetzen kann.

Synology legt nun aber unter das Btrfs-RAID ein LVM, wodurch diese automatische Korrektur nicht mehr möglich ist. Das System erkennt nun zwar eine Datei mit defekten Bits, da die Prüfsummen nicht stimmen. Es kann den Schaden aber nicht mehr automatisch reparieren, da es nicht weiß, von welcher Platte die defekten Daten stammen — Ich muss das Szenario noch austesten, aktuell habe ich hier keine Festplatten übrig. Im Forum von Synology gibt es zu diesem Thema eine ausführliche Diskussion, und auch Synology musste schon Marketingmaterial ändern, weil die die Implementation von Btrfs seitens Synology diesen Schutz nicht bietet. Vielleicht ist das auch ein Grund, warum Synology DSM 6.0 bisher noch nicht offiziell an den Start gebracht hat.

Die Snapshot-Funktion mittels Btrfs kommt zusammen mit DSM 6.0, das aktuell „nur“ als Release Candidate zur Verfügung steht. Beim Einrichten des Systems gilt es also die aktuelle Testversion zu installieren und nicht die vom Einrichtungsassistenten vorgeschlagene Version DSM 5.2. Beim Umstieg auf eine neue Diskstation müsst ihr lediglich die Festplatten aus dem alten Gerät nehmen, diese in das neue Gerät packen und es anschalten. Die Diskstation startet mit der „fremden“ Platte nicht komplett durch, sondern muss nochmal frisch installiert werden. Dabei gehen jedoch keine Daten und Einstellungen verloren, lediglich das Betriebssystem wird auf der von euren Daten getrennten Partition neu installiert.

Migration auf neue Diskstation

Dazu ermittelt ihr über euren Router die IP der neuen Diskstation und ruft diese in einem Browser von eurem Rechner aus auf. Alternativ installiert ihr auf eurem System den Synology Assistant und nutzt diesen, um die noch unkonfigurierte Diskstation aufzuspüren. Synology stellt den Assistent für Linux-User als DEB- und RPM-Paket zur Verfügung, Anwender mit Arch auf dem Computer finden das Programm im AUR. Der Eintrag funktioniert (Stand März 2016) jedoch nicht, in den Kommentaren findet sich allerdings ein Paket, das sich ohne weiteres bei Bedarf installieren lässt.

### Synology Assistant unter Arch installieren...
$ wget http://insolita.se/dsassistant-5566-1-x86_64.pkg.tar.xz
$ sudo pacman -U dsassistant-5566-1-x86_64.pkg.tar.xz

Im Web Assistant findet ihr nun die Option das System auf eine neue Disktation zu migrieren. Im zweiten Schritt bietet euch der Assistant an die bestehenden Einstellungen zu erhalten (Migration) oder das System neu aufzusetzen (Clean installation). Bei dieser überschreibt das Setup lediglich eure Einstellungen und Konfigurationen, eure auf dem NAS gespeicherten Daten bleiben hingegen erhalten. Mit Manual install habt ihr im darauffolgenden Schritt die Möglichkeit die zuvor als PAT-Datei heruntergeladene Testversion von DSM 6.0 einzuspielen. Wählt ihr direkt den Button Install Now an, spielt das Setup die offizielle Firmware (aktuell also DSM 5.2 ohne Btrfs-Unterstützung) ein.

Einspielen von DSM 6.0 mit Btrfs-Unterstützung

Der Umstieg auf eine neue Diskstation hat bei mir etwa 15 Minuten gebraucht, danach stand das System umgehend mit allen Daten und Einstellungen wieder zur Verfügung. Das gilt allerdings nur für das System: Wer für die Snapshot-Funktion auf Btrfs umsteigen möchte, der muss die für die Sicherung gewünschten Datenpartitionen löschen und mit Btrfs neu formatieren. Es gilt also sämtliche Daten der betroffenen Partition zu sichern. Bei mir brauchte das Sichern von gut 1 TByte an Daten auf einer externen USB3.0-Festplatte knapp 6 Stunden. Das Formatieren nur Minuten, doch das Rückspielen der Daten wieder ein paar Stunden. Für den Umstieg auf Btrfs sollte man daher — je nach Datenmenge — schon einen Tag oder mehr Auszeit einplanen.

Für den Shell-Zugang zum Terminal der Synology Diskstation muss nach wie vor der SSH-Dienst des Systems aktiviert werden. Ihr erreicht die Einstellung auch im überarbeiteten DSM 6.0 noch unter Systemsteuerung | Terminal & SNMP | Terminal | SSH-Dienst aktivieren. Anschließend könnt ihr euch wie gewohnt als Admin oder mit eurem Benutzernamen auf der Diskstation einloggen. Ändert ihr wie vom den Synology-Sicherheitsberater vorgeschlagen die Portnummer des SSH-Daemons, so müsst ihr diese selbstverständlich beim Aufbau der SSH-Verbindung mit angeben. Somit hat sich bei DSM 6.0 in Sachen SSH also nicht viel verändert.

### Als Admin auf Diskstation einloggen
$ ssh admin@diskstation
### Als User auf Diskstation einloggen
$ ssh user@diskstation
user@diskstation's password:
user@DiskStation:~$
### Allgemein mit Portangabe
$ ssh USERNAME@diskstation -p PORTNUMMER

Nun hat man mit dem Admin-Konto auf der Weboberfläche administrative Rechte, unter der Haube zählt dieser User jedoch zu den normalen Benutzerkonten. Man merkt dieses schnell, wenn man direkt im dem der DSM-Oberfläche zugrunde liegenden Linux-System Veränderungen vornehmen möchte. Dafür braucht es „richtige“ Root-Rechte: Bislang bekam man diese, wenn man sich direkt per SSH als Root anmeldete oder via su zum Root-Account wechselte. Das Passwort für den Root-Account entsprach laut der Synology-Hilfe bis zu DSM 5.x dem Passwort des Admin-Accounts. Nach dem Update auf DSM 6.0 steht man hier nun aber vor verschlossenen Türen.

$ ssh root@diskstation
root@diskstation's password:
Permission denied, please try again.
root@diskstation's password:

$ ssh admin@diskstation
admin@diskstation's password:
admin@DiskStation:~$ su
Password:
su: Permission denied

Wer nun schon länger mit Linux unterwegs ist, dem wird die „neue“ Root-Methode für die Diskstation jetzt nicht sonderlich überraschen: DSM 6.0 nutzt nun von Haus aus das Kommando sudo zum Ausführen von Kommandos mit administrativen Rechten. Für Root-Rechte loggt ihr euch daher jetzt ganz normal auf der Diskstation per SSH ein und setzt einfach vor Kommandos, deren Ausführung Root-Rechte erfordern, eben ein simples sudo, gefolgt vom Passwort des jeweiligen Users. Dies funktioniert selbstverständlich beim Admin-Account, aber auch automatisch bei allen Benutzerkonten, denen ihr administrative Rechte eingeräumt habt.

$ ssh user@diskstation
user@diskstation's password:
user@DiskStation:~$ cat /etc/sudoers
cat: /etc/sudoers: Permission denied
user@DiskStation:~$ sudo cat /etc/sudoers

We trust you have received the usual lecture from the local System
Administrator. It usually boils down to these three things:

#1) Respect the privacy of others.
#2) Think before you type.
#3) With great power comes great responsibility.

Password:
## sudoers file.

# Enable logging of a command's output.
# Use sudoreplay to play back logged sessions.
Defaults syslog=authpriv

# Allow root to execute any command
root ALL=(ALL) ALL

# Allow members of group administrators to execute any command
%administrators ALL=(ALL) ALL
user@DiskStation:~$ id
uid=1026(user) gid=100(users) groups=100(users),101(administrators)

Dazu loggt ihr euch als Admin auf der Diskstation ein, öffnet in der Systemsteuerung die Konfiguration der Benutzer, wählt den entsprechenden Benutzernamen an und klickt in der Menüleiste auf Bearbeiten. Im neuen Fenster wechselt ihr dann in den Reiter Benutzergruppen und setzt einen Haken in die Zeile „administrators“. Für Linux-Einsteiger gilt es eventuell noch zu Beachten, dass bei der Eingabe des Passworts während des Sudo-Befehls keine Sterne oder andere Platzhalter erscheinen und das Terminal wie eingefroren wirkt. Keine Angst: Da ist nichts kaputt, tippt einfach euer Passwort ein und schließt die Eingabe mit einem Return ab.

Synology DSM 6.0 unterstützt Let’s Encrypt

Nun lässt sich Synology wohl nicht lange bitten und rollt Let’s Encrypt in der kommenden Version der DSM-Software aus. Mit der aktuell vorliegenden Version DSM 6.0 Beta 2 des Betriebssystems lässt sich das Ganze bereits testen — bis zum endgültigen Release wird sich an dieser Stelle wohl auch nicht mehr viel ändern. Wer nun Let’s Encrypt zusammen mit seiner Diskstation nutzen möchte, der muss den Port 80 von seinem Router auf die Diskstation weiterleiten. Auf einer Fritzbox etwa könnt ihr diese Portweiterleitung unter Internet | Freigaben | Portfreigaben einrichten. Ihr braucht Port 80/TCP (http) für den Let’s Encrypt-Client und für später dann selbstverständlich auch Port 443/TCP (https) für die verschlüsselten Daten.

Danach öffnet ihr das Webfrontend eures Synology-Systems und geht in die Systemsteuerung. Dort wählt ihr dann Sicherheit | Zertifikate an. Die Liste ist selbstverständlich anfangs noch leer, mit einem Klick auf Hinzufügen startet ihr hier das Erzeugen eures Let’s Encrpyt-Zertifikats. Der Assistent fragt euch im ersten Schritt ob ihr ein Neues Zertifikat hinzufügen möchtet oder ob ihr ein Vorhandenes Zertifikat ersetzen möchtet — in meinem Fall gab es bereits eines, im Endeffekt unterscheidet sich das weitere Vorgehen jedoch nicht.

Let’s Encrpyt auf Synology einrichten

Der mit DSM 6.0 überarbeitete Zertifikats-Assistent bietet euch nun den Punkt Zertifikat von Let’s Encrypt abrufen. Dieser Menüpunkt startet nun, genauso wie auf einem „richtigen“ Webserver, den Let’s Encrpyt-Client. Dieser erzeugt die Schlüsselt, authentifiziert euch automatisch gegenüber Let’s Encrpyt und spielt dann abschließend die erhaltenen Zertifikate in das System ein. Mehr als ein paar Klicks braucht die Installation der Let’s Encrpyt-Zertifikate daher also nicht mehr. Das umständlich Basteln und hier und her Schieben der Daten fällt komplett weg.

Am Ende sollte euer Browser mit einem grünen Schloss-Symbol in der Adresszeile signalisieren, dass mit der Verschlüsselung eures Synology-NAS alles stimmt. Das Zertifikat kommt nun automatisch nicht nur beim Aufruf der Weboberfläche zum Einsatz, sondern unter anderem auch bei FTP- oder WebDAV-Verbindung. So könnt ihr super einfach von unterwegs — die meisten Dateimanager unter Linux unterstützen ja Verbindungen zu entfernten Systemen — auf die Daten eures NAS-Systems zugreifen. Damit dies allerdings ohne Warnungen funktioniert, müsst ihr wahrscheinlich noch das Stammzertifikat von Let’s Encrypt auf eurem Linux-System installieren.

UPDATE 22.01.2016: Dieser Artikel ist inzwischen veraltet, da Synology DSM 6.0 das Einbinden und Aktualisieren von Lets’s Encrypt-Zertifikaten out-of-the-box unterstützt. Wer eine halbwegs aktuelle Diskstation besitzt, sollte daher besser das System auf einen aktuellen Stand bringen, sodass DSM 6.0 läuft und sich dann an diese Anleitung halten: Mit DSM 6.0 Let’s Encrypt-Zertifikate auf Synology-NAS einrichten.

Zum Erzeugen des Let’s-Encrpyt-Zertifikat holt ich euch den vom Projekt bereitgestellten Client auf den Rechner. Unter Arch Linux bekommt ihr das Programm schon aus den offiziellen Paketquellen, für Ubuntu hat zum Beispiel Thomas Leister bereits eine kleine Installationsanleitung geschrieben. Der Client fungiert als Schnittstelle zwischen eurem System und den Servern des Projekts. Er kann auch Zertifikate direkt im System installieren und in Apache einbinden. Für das Erstellen eines Zertifikats, das später einmal auf einem NAS landen soll, braucht man diese Funktionen allerdings gar nicht.

$ pacman -Ss letsencrypt
community/letsencrypt 0.1.0-1 [Installiert: 0.0.0.dev20151201-1]
    A tool to automatically receive and install X.509 certificates to enable TLS
    on servers. The client will interoperate with the Let’s Encrypt CA which
    will be issuing browser-trusted certificates for free.
community/letsencrypt-apache 0.1.0-1
    Apache plugin for Let’s Encrypt client
community/letsencrypt-nginx 0.1.0-1
    Nginx plugin for Let’s Encrypt client
community/letshelp-letsencrypt 0.1.0-1
    Let's help Let's Encrypt client
$ sudo pacman -S letsencrypt

Anschließend ruft ihr den Let’s-Encrpyt-Client mit Root-Rechten auf. Die Option certonly -a manual sorgt dabei dafür, dass der Client das Zertifikat nur erzeugt, aber nicht auch noch zu installieren versucht. In der Beta-Version musste man zudem noch mit etwa --server https://acme-v01.api.letsencrypt.org/directory der Server angeben, mit der heute veröffentlichten Version 0.1.0 des Clients ist diese Option nun nicht mehr nötig. Verzichtet ihr auf die Angabe einer Domain und einer E-Mail-Adresse wird euch das Programm nach diesen Angaben fragen, alternativ gibt ihr diese Infos dem Client gleich mit auf dem Weg.

### Ohne Optionen, Abfragen erfolgen in einer Ncurses-Oberfläche
$ sudo letsencrypt certonly -a manual
### Direkt mit allen Angaben
$ sudo letsencrypt certonly -a manual --email du@email.de -d domain.example.com

Voraussetzung für diese Aktion ist natürlich, dass euer NAS über HTTP und HTTPS aus dem Netz zu erreichen ist und dass ihr eine DynDNS-Adresse besitzt, unter der euer Netzwerkspeicher aus dem Internet zu erreichen ist. Eine Synology erfüllt diese Kriterien, wenn ihr unter Systemsteuerung | Externer Zugriff | DDNS ein entsprechendes Konto eines DynDNS-Anbieters einträgt (alternativ können diese Aufgabe aber auch Router wie eine Fritz!Box übernehmen und unter Systemsteuerung | Webdienste die Web Station als Dienst aktiviert und weiter unter die Option HTTPS-Verbindungen für Webdienste aktivieren setzt. Beachtet bitte auch, dass ihr mindestens die Ports 80 (für HTTP) und 443 (für HTTPS) von eurem Router auf das NAS weiterleitet müsst.

Weiter geht es mit der Zertifikat: Der Let’s-Encrpyt-Client versucht nun die angegebene Domain zu erreichen und zeigt euch bei Erfolg eine Adresse wie „http://domain.example.com/.well-known/acme-challenge/hierkommteinzufälligercode“ mitsamt einem langen kryptischen Code an. Diese URL mitsamt der damit verbundenen Datei dient zur Identifikation eures Webservers. Die Installations-Skripte des Clients könnten euch diese Aufgabe nun abnehmen, allerdings kann der Client mit eurem NAS-System nun natürlich weniger anfangen, daher müsst ihr diese Datei von Hand auf dem Webserver des NAS-Systems anlegen.

Loggt euch also beispielsweise per Samba auf eurem NAS ein, wechselt in das Verzeichnis mit den Webdaten, erzeugt die Ordnerstruktur .well-known/acme-challenge (ja, der Punkt gehört da hin) und in diesem dann die Datei hierkommteinzufälligercode mitsamt dem länglichen String, den euch der Client ausgibt. Das ganze funktioniert natürlich in der Regel auch über die Weboberfläche des NAS-Systems. Zur Kontrolle könnt ihr danach einfach mal auf den Link klicken und ihn in einem Browser auf eurem Rechner öffnen. Dazu muss natürlich die Namensauflösung der Internetdomain auch aus eurem lokalen Netzwerk heraus funktionieren. Zeigt dieser den Inhalt der Datei an, dann sollte alles funktionieren.

Make sure your web server displays the following content at
http://domain.example.com/.well-known/acme-challenge/hierkommteinzufälligercode before continuing:

o6klFxce...diesercodedientzumidentifiziereneuresnas

If you don't have HTTP server configured, you can run the following
command on the target server (as root):

mkdir -p /tmp/letsencrypt/public_html/.well-known/acme-challenge
cd /tmp/letsencrypt/public_html
printf "%s" o6klFxce...diesercodedientzumidentifiziereneuresnas > .well-known/acme-challenge/o6klFxcezfKWMClYLxIw_HDJ1uPo268aZrtiaUpOtjg
# run only once per server:
$(command -v python2 || command -v python2.7 || command -v python2.6) -c \
"import BaseHTTPServer, SimpleHTTPServer; \
s = BaseHTTPServer.HTTPServer(('', 80), SimpleHTTPServer.SimpleHTTPRequestHandler); \
s.serve_forever()"
Press ENTER to continue

Liegt die Datei auf dem Webserver und habt ihr die Erreichbarkeit über den Browser geprüft, dann geht mit der Eingabe von [Enter] einen Schritt weiter. Die Let’s-Encrypt-Server rufen die Authentifizierungsdatei von eurem Webserver ab, kontrollieren sie auf Gültigkeit und stellen dann das für die angegebene Domain für 90 Tage gültige Zertifikat aus. Dieser landet dann automatisch unter /etc/letsencrypt/live/domain.example.com auf eurer Festplatte. Die begrenzte Gültigkeit begründet Let’s Encrypt mit erhöhter Sicherheit, da so verloren gegangene oder missbrauchte Zertifikate relativ schnell ihre Gültigkeit verlieren. Das Ziel sei es sowieso das Generieren der Zertifikate zu automatisieren, dann soll die Zeitspanne sogar noch weiter sinken.

IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at
/etc/letsencrypt/live/domain.example.com/fullchain.pem. Your cert
will expire on 2016-03-02. To obtain a new version of the
certificate in the future, simply run Let's Encrypt again.

Für die Installation der Zertifikate auf einem Synology-NAS müsst ihr euch nun wieder in die Weboberfläche eures Netzwerkspeichers einloggen und (im Falle eines Synology-Systems) nach Systemsteuerung | Sicherheit | Zertifikat gehen. Dort wählt ihr die Option Zertifikat importieren und gebt die privkey.pem als privaten Schlüssel und die fullchain.pem als Zertifikat an. Damit ihr an diese Dateien kommt, müsst ihr sie allerdings erst einmal aus dem Ordner mit Root-Rechten rauskopieren, da nur Root Zugriff auf diese Dateien hat und somit der Browser fehlende Rechte moniert. Ein Weg dies zu tun, wäre beispielsweise der Folgende, natürlich führen hier zahlreiche andere Wege zum selben Ziel.

$ sudo -s
# cd /etc/letsencrypt/live/domain.example.com/
# ls
cert.pem chain.pem fullchain.pem privkey.pem
# cp fullchain.pem privkey.pem /tmp
# exit
$ sudo chown $USER /tmp/*.pem

Am Ende meldet die Zertifikats-Verwaltung des Synology-NAS nun ein von der „Let’s Encrypt Authority X1“ signiertes SSL-Zertifikat. Die Gültigkeit beträgt wie gesagt 90 Tage, ihr solltet das Zertifikat vor Ablauf dieser Zeitspanne erneuern, wiederholt dazu einfache alle hier gezeigten Schritte. Aktuell führt daran kein Weg vorbei, hier müssen Synology und Co. aktiv werden und eine Funktion direkt in die Software der NAS-Geräte implementieren, über die sich Let’s-Encrypt-Zertifikate direkt aus dem System heraus erzeugen und Verwalten lassen. Die wird mit Sicherheit kommen. Ich hoffe, dass die Hersteller dabei aber auch ältere Geräte nicht außen vor lassen. Noch ein Hinweis am Rande: Meldet das System ein von „Happy Hacker Fake CA“ ausgestelltes Zertifikat, dann seid ihr noch mit einem Beta-Client unterwegs.

Am Ende muss auch noch der von euch genutzte Browser das Zertifikat akzeptieren. Das wäre zum Testzeitpunkt mit Chrome 47.0 wie auch mit Chromium 47.0 der Fall. Beide Browser signalisieren über ein grünes „https://“ in der Adresszeile, dass mit dem Zertifikat alles stimmt. Firefox 42.0 hingegen und beispielsweise der in Gnome integrierte Browser stoßen sich jedoch weiterhin am Aussteller des Zertifikats und melden „This Connection is Untrusted“. Ironischerweise muss als noch Mozilla als einer der wichtigsten Platinum-Sponsoren seine Hausaufgaben machen, was allerdings mit Sicherheit bald geschehen wird.

In dem Kommentaren aus den letzten Beiträgen ist jedoch auch herauszulesen, dass viele Synology-User das Update auf DSM 5.0 scheuen — wohl ab und an auch zurecht. Ich habe daher bei Sysnology angeklopft, ob es auf auch für DSM 4.3 zumindest ein per Hand installierbares Hotfix geben wird, bisher aber noch keine Antwort bekommen — die Anfrage ist aber auch noch nicht lange her. Ich werden euch aber diesbezüglich hier an dieser Stelle auf dem Laufenden halten, schaut also gegen Abend noch mal hier in diesem Beitrag vorbei.

[UPDATE 10.04.2014: Inzwischen ist von Synology eine Antwort eingetroffen: Gerade eben wurden wie angesprochen die Heartbleed-Updates für DSM 5.0 veröffentlicht, es werden Updates für DSM 4.3 und DSM 4.2 folgen. Diese sind bereits in der Bearbeitung und werden so schnell wie möglich in den kommenden Tagen veröffentlicht.​ Zuerst kommt das Update für DSM 4.2 und danach DSM 4.3, da DSM 4.3-Nutzer potentiell auf DSM 5.0 upgraden können, behandelt Synology das Update für DSM 4.2 mit höherer Priorität.]

[UPDATE 11.04.2014: Das Update sollte man vielleicht aktuell eher mit etwas Vorsicht genießen. Diverse Medien und auch mehrere User im Synology-Forum berichten, dass das Update auf DSM 5.0-4458 Update 2 die Diskstation schrotten kann. Insbesonders scheinen die Modelle DS211j, RS214 und DS112j betroffen zu sein. In der Redaktion der Golem ging eines dieser Modelle flöten. Auf meiner DS412+ lief das Update hingegen glatt durch.]

[UPDATE 14.04.2014: Inzwischen wurde das Update-Problem wohl behoben, im Synology-Forum schreibt ein Mitarbeiter „Regarding DSM 5.0 4458 update-2, the update issue on DS112j and RS214 has been addressed, and users who have not applied this update should be able to proceed the update without any issue now.“ Man kann seine Synology nun also sicher updaten. Wer sein Synology-NAS gebrickt hat, muss jedoch ein Ticket bei Synology erstellen. Per Telnet kann der Synology-Support die Box wiederbeleben.]

Synology Diskstation von Heartbleed betroffen!

Betroffen sind wohl mindestens alle Synology Diskstations mit der aktuellen Firmware in der Version DSM 5.0-4458 Update 1. Wie es mit älteren Ständen der Firmware aussieht, kann ich mangels Gerätepark leider nicht sagen — ich würde jedoch auf jeden Fall dazu raten meine Diskstation überprüfen. Wer den Zugang zu seiner Synology Diskstation über das Internet freigegeben hat, der sollte diese daher bis zum Update der Firmware seitens Synology nicht über https ansteuern, sondern besser erst einmal ein VPN zur Diskstation einrichten und sich dann komplett verschlüsselt auf der Diskstation anmelden. [Update 10.04.14: Inzwischen gibt es ein Heartbleed-Update für DSM 5.0, die älteren Version DSM 4.2 und DSM 4.3 werden ebenfalls noch mit Updates versorgt.]

Das FRITZ!OS der weit verbreiteten FRITZ!Boxen hingegen zeigt in der aktuellen Version FRITZ!OS 06.03 keine Heartbleed-Schwächen — zumindest spuckt der Heartbleed-Checker bei mir keine Warnung aus. Aber da so gut wie jeder Router im Inneren mit einem Linux arbeitet, solltet ihr diesen mit dem dem Heartbleed Test überprüfen — Sinn macht dies natürlich nur, wenn ihr das Konfigurationsbackend eures Routers oder andere Dienste für das Internet geöffnet habt. Wer nicht weiß, wie man seine aktuelle IP herausfindet, der bekommt diese zum Beispiel über wtfismyip.com im Browser angezeugt. Vergesst nicht den Serverport des Backends an die IP-Adresse mit einem :1234 anzuhängen.

Eigene IT-Hardware auf Heartbleed überprüfen

Wer einen Rechner in einem lokal begrenzten Netzwerk in den eigenen vier Wänden auf den Heartbleed-Bug hin überprüfen möchte, der kommt mit dem Web-basierten Test nicht weit. Der Heartbleed-Checker lässt sich über das Github des Autors allerdings auch lokal auf dem Rechner installieren. Besonders Arch-Linux-User haben es hier — mal wieder — leichter, das Paket lässt sich bequem aus dem AUR installieren.

$ sudo pacaur -S heartbleed-git

Der Test spuckt entweder ein „SAFE“ aus, dann ist das von euch geprüfte System nicht von Heartbleed betroffen, oder die Yello Submarine meldet ein „VULNERABLE“, dann solltet ihr entweder endlich mal die anstehenden Updates installieren, oder euch — besonders bei Geräten mit fest verbauter Firmware — beim Hersteller melden.  Dieser muss dafür sorgen, dass die Sicherheitslücke so schnell wie möglich behoben wird — besonders wenn das Gerät direkt im Internet hängt.

Bei mir tickert schon länger eine Synology DS 412+ (*) in einer stillen Ecke. Die Lösung hat sich über die Jahre hinweg bewährt. Bisher hat Synology eigentlich immer sehr genau darauf geachtet, dass sämtliche Dienste des NAS plattformübergreifen zur Verfügung stehen. Nur eben bei der CloudStation gab es eine Lücke, den entsprechenden Client gab es auf der PC-Seite nur für Windows und MacOS X.

Neuerungen bei DSM 4.3 Beta

• reduziert Netzwerk-Traffic und CPU-Auslastung dank Windows® Offloaded Data Transfer (ODX)-Unterstützung
• bietet eine bis zu 10-mal höhere Performance und spart bis zu 99,9% des Speicherplatzes dank einzigartiger Klon-Technologie
• steigert die Effizienz beim Neuschreiben von Daten dank SSD TRIM-Technologie
• unterstützt HFS +, NSFv4, Windows DFS Links und Symbolische Links für einen verbesserten Datenaustausch
• bietet Cloud Station nun auch für Linux
• ermöglicht nun das Teilen ganzer Ordner über einen Link und das Herunterladen auf den Desktop mit Drag&Drop
• gibt Ihren Fotos dank überarbeiteter eleganter Photo Station mehr Platz und neuen Glanz
• erlaubt nun den Empfang von noch mehr TV-Kanälen über DVB-S und das Video-Streaming über Google TV
• u.v.m.

Für Linux-User hier besonders interessant ist nun eben, dass für die selbst und zuhause gehostete Dropbox-Alternative CloudStation nun auch einen Linux-Client gibt. Wer also keinen Bock mehr auf Dropbox, Google Drive und Co hat, aber auch nicht wirklich Lust hat eine OwnCloud-Instanz aufzusetzen, kann nun auch direkt mit der DiskStation seine eigene kleine Cloud aufsetzen. CloudStation-Client gibt es nun für Windows, MacOS X, Linux und natürlich auch für die mobilen Betriebssysteme Android und iOS.

Zum Aufsetzen des CloudStation-Pakets in der Synology DiskStation möchte ich hier an dieser Stelle keine großen Worte verlieren, dazu gibt es bei Synology ein ausführliches Tutorial mit Bildchen und allem drum und dran. Innerhalb von ein paar Minuten sollte die eigene Cloud eigentlich aufgesetzt sein. Interessant ist aber, was es denn nun mit dem Linux-Client für die CloudStation auf sich hat und wie man ihn installieren kann.

CloudStation für Linux

Den Linux-Client findet ihr aktuell ebenfalls noch auf der Beta-Downloadseite der Synology-Firmware. Unter „Download Here“ seht ihr neben der Firmware für das NAS auch die Auswahl für die Client-Software. Für Linux werden euch 32- und 64-Bit Binaries zum Download als .tar.gz-Archiv zum Download angeboten. Fertige DEB- oder RPM-Pakete gibt es bisher noch nicht.

Die Installation erfolgt über ein Skript, das wohl eigentlich für Ubuntu und Fedora gedacht ist, allerdings konnte ich es auch problemlos unter Arch Linux ausführen und den Client installieren. Daraus resultierende Probleme habe ich auf den ersten Blick nicht ausmachen können. Wie bei Dropbox ist die Integration in den Dateimanager aber auch nur bei Nautilus gegeben, wer auf KDE, Xfce oder eine selbst gestrickte Desktopumgebung setzt, muss ohne eine Status-Anzeige an jeder Datei auskommen.

Der Client kommt als CloudStation-Linux-Installer-2537-32bit.tgz bzw. CloudStation-Linux-Installer-2537-64bit.tgz zu euch. Speichert das tar.gz-Archiv in einem beliebigen Ordner ab und entpackt die Datei, dabei wird ein neuer Ordner CloudStation-Linux-Installer-2537 angelegt. Wechselt zur Installation mit einem Terminal in diesem und führt dort dann das Installations-Skript aus.

./install

Das Skript entpackt nochmal ein paar Daten und  führt dann die eigentliche Installation aus. Entsprechend eures Linux-Setups werden eventuell noch ein paar Pakete installiert. Abschließend wird der CloudStation-Client gleich gestartet, so dass ihr wie bei der Windows-Version eure Zugangsdaten zu eurer eigenen Cloudspeicher-Lösung eingeben könnt.

Den Rest muss man eigentlich nicht groß erläutern, wer Dropbox und Co. kennt, wird sich auch schnell bei der CloudStation zurecht finden. Der große Unterschied ist eben, dass alle Daten lokal auf dem NAS liegen und nicht auf fremden Servern wie bei Dropbox. Eure Daten bleiben daher unter eurer Kontrolle, zudem hängt die Kapazität nur von den verbauten Festplatten ab. Im Gegensatz zu Owncloud ist die Synology-Lösung jedoch nicht OpenSource-Software, die Firmware basiert zwar auf einem Linux, doch der Aufsatz von Synology ist geschlossen.

Beim Kauf einer Synology Disk-Station wird üblicherweise keine Platte mitgeliefert. Ihr müsst daher das nackte Gerät erstmal mit Platten bestücken und dann auch noch das Betriebssystem installieren. Der Einbau der Festplatten ist relativ schnell geschehen, man braucht nichtmal Werkzeug dafür. Für diese Installation des OS war früher immer ein Windows oder Mac OS nötig, weil die dafür nötige Software nicht für Linux bereitstand. Hier hat Synology zum Glück schon länger nachgebessert und liefert den Synology Assistant auf der mitgelieferten CD mit aus. Allerdings war die auf der CD enthaltene Version so veraltet, dass sie auf meinem Ubuntu Natty 64-Bit nicht starten wollte.

Die Installation des OS

Abhilfe schaffte der Download der aktuellen Version über die Homepage von Synology. Das heruntergeladene Archiv müsst ihr entpacken und danach die Installationsroutine starten. Wählt als Installationspfad zum Beispiel /opt als Verzeichnis aus, den Pfad für den Symlink könnt ihr unverändert lassen.

$ unzip dsassistant_Linux_1593.zip
$ cd linux
$ chmod +x install.sh
$ sudo ./install.sh

Nach der Installation könnt ihr dann den Installations-Assistenten starten. Der Assistent sollte euer NAS nun automatisch im LAN aufstöbern und auch anzeigen, dass auf dem Gerät noch nicht die Firmware installiert wurde. Holt euch daher auch wieder von der Homepage die aktuelle Firmware.

$ SynologyAssistant

Der Rest sollte eigentlich recht selbsterklärend sein. Gebt den Pfad zum Image der Firmware an, bestimmt was mit den eingebauten Platten gemacht werden soll und lasst dann das Setup durchlaufen. Das NAS wird abschließend neu starten und euch über ein „Beep“ signalisieren, dass es ordentlich gebootet ist.

Synology-NAS einrichten

1 von 4

Nach Installation könnt Ihr das Webfrontend des NAS öffnen. Die IP bekommt ihr entweder über euren Router oder über den Installations-Assistenten heraus. Das Webfrontend ist in den wichtigsten Funktionen ziemlich selbsterklärend, so dass ich an dieser Stelle gerne drauf verzichte auf alle Einstellungen einzugehen. Klickt euch einfach durch alle Menüs einmal durch, richtet Benutzer ein, stellt die Dateifreigaben nach euren Wünschen ein und macht euch mit der Box ein bisschen bekannt.

Energieverbrauch und Lautstärke

Erstmal zu den Punkten, warum ich ein NAS abseits der Datensicherheit und permanenten Verfügbarkeit der Daten interessant finde. Zum einen ist da natürlich der Stromverbrauch, das Synology DS211j  ist eigentlich ein kompletter Server mit allem drum und dran, der im Betrieb gerade einmal 22W verbraucht. Rechnet man noch zwei mal 10W für zwei Festplatten hinzu, so kommt die Synology bei voller Last auf eine Leistungsaufnahme von rund 40W, lässt man bei Nichtgebrauch die Platten runterfahren und setzt auch sonst die Einstellung auf „Stromsparen“, so kommt die Box auf einen Stromverbrauch von 10W.

Wenn ich also mal annehmen würde, dass das NAS 24/7 durchläuft und im Schnitt 20W zieht, dann kommt man bei Stromkosten von 22 Cent/KWh auf rund 40 Euro im Jahr. Ganz umsonst bekommt man ein immer zu Verfügung stehendes NAS also nicht gerade und der Betrag lässt Cloud-Speicherdienste (lassen wir mal die Möglichkeit eines Fremdzugriffes auf die eigenen Daten außen vor) eigentlich recht attraktiv erscheinen. Für ~$70 also rund 50€ bekommt man bspw. bei Ubuntu One 40GB Speicherplatz pro Jahr.

Was mich jedoch etwas stört ist der permanent laufende Lüfter. Selbst wenn die Platten runtergefahren sind , kann man das Surren des Lüfters vernehmen, richtig lautlos ist die Synology DS211j nie. Richtig nervend ist jedoch, dass der Lüfter in regelmäßig unregelmäßigen Abständen meint für kurze ein paar Minuten deutlich hochdrehen zu müssen. Die Synology DS211j eignet sich daher nicht gerade für ein kleine Studentenbude und auch im Büro würde mich das Gelüfte langfristig stören.

Performance

Im nächsten Schritt bin ich natürlich an der Performance des NAS interessiert. Der Flaschenhals solcher Netzwerkplatten ist nicht die Leistungsfähigkeit der eingebauten Festplatte, sondern die Performace der eingebauten CPU. Ich merke das ziemlich deutlich an meiner FRITZ!Box oder früher an meiner NSLU2. Mehr als ein paar MB/s bekomme ich nicht auf die Platte. Von daher habe ich mir eine 1GB große Testdatei gebastelt und diese über das Netz auf das jeweilige Gerät geschoben.

$ time cp 1gb.test /mnt/synology_samba/1gb.samba
real	0m34.214s
$ time cp 1gb.test /mnt/synology_nfs/1gb.nfs
real	0m32.347s
$ time cp 1gb.test /media/fritzbox/
real	4m49.930s

Man sieht also, dass die DS211j deutlich mehr Dampf macht als das „Schmalspur-NAS“ der FRITZ!Box. Ist ja eigentlich auch kein Wunder, da in der DS211j ein 1.2Ghz ARM Prozessor seinen Dienst tut mit dem die Synology im Normalfall rund 30MB/s transferieren kann. Das Protokoll ist dabei nicht so wichtig, ich hab den Test ein paar mal laufen lassen und mal ist Samba schneller, mal NFS. Die FRITZ!Box quält sich dagegen mit ~3,5MB/s heftig ab, so dass das Sichern großer Datenmengen wie bspw. ein Backup aller meiner Daten zu sichern mit der FRITZ!Box keinen Spaß macht.

Features

Hier kommen ich mal zu den wirklichen Stärken der Box. Die Synology DS211j ist nicht nur ein simpler Netzwerkspeicher, sie ist ein richtiger Homeserver. Webserver, Mailserver, MySQL-Server, FTP-Server, BitTorrent, Emule, PPTP-VPN, OpenVPN, DLNA/UPnP, iTunes usw. sind entweder schon von Haus aus an Bord, oder lassen sich über eine integrierte Funktion ganz offiziell nachrüsten. Wer zuhause oder von unterwegs also immer auf seinen eigenen Server zuhause zugreifen möchte, der hat mit dem Synology DS211j also ziemlich leichtes Spiel.

Das interessante dabei ist, dass dies alles keine extra von Synology entwickelten Dienste sind, sondern da es ein Linux ist, bedient sich Synology aus dem FOSS-Sortiment. Als Webserver kommt daher natürlich Apache zum Einsatz, bei MySQL ist die Sache natürlich auch klar. Emule wird von amule bewältigt, BitTorrent von Transmission usw. Also alles letztendlich alte Bekannte aus der Welt freier Software.

Diese Funktionalität relativiert daher natürlich die vorhin angesprochenen Stromkosten von 40€/Jahr. Wer beruflich einen Webserver zuhause braucht um Geschäftspartner Dokumente zukommen zu lassen, oder wer öfters mal etwas über ein P2P-Netzwerk herunterladen möchte und sonst seinen Rechner über Nacht durchlaufen lassen würde, der spart mit dem Synology-NAS nicht nur Strom, sondern auch Geld.

Extras/Zubehör

Gespannt war ich auf das Zubehör, dass es für die Synology zu kaufen gibt. Meinem Paket lag die Synology Remote mit der man das NAS direkt an die Stereoanlage anschließen und die Musik auch per Funkfernbedienung steuern kann. Das Set besteht aus einer Box, die quasi einfach nur eine USB-Soundkarte mit integriertem Funkempfänger darstellt und der besagten Fernbedienung. Da sie eben funkt und nicht mir Infrarot-Signalen arbeitet, kann man sie auch vom Raum nebenan benutzen.

Gemanagt wird die Musik über das in der Box eingebaute Programm Audio Station. Die Funktionalität ist ähnlich wie bei „normalen“ Medienverwaltungen wie Banshee oder Amarok, so dass man sich im „Programm“ relativ schnell zurecht findet. Die Bedienung ist für eine Web-App recht brauchbar und schnell. Allerdings wünscht man sich doch ab und an eine „richtige Desktop-App zurück, da man z.B. nicht einfach die Medientasten der Tastatur nutzen kann um mal schnell einen Song zu überspringen oder die Ausgabe zu Unterbrechen wenn ein Anruf eingeht.

Die Audio Station kann man auf zwei Arten benutzen, einmal als reinen Streaming-Dienst bei dem die Musik auf dem Computer abgespielt wird und einmal als Quelle für die angeschlossene USB-Soundkarte, so dass man das NAS als Zuspieler für die Stereoanlage nutzen kann. Leitet man die entsprechenden Ports der Box weiter, so kann man den Dienst auch von unterwegs aus nutzen und so seinen eigenen Musik-Dienst im Stile von Simfy oder Grooveshark einrichten.

Das Ganze funktioniert sehr gut und ist eigentlich auch sehr komfortabel, aber irgendwie fehlt mir ein (Touch-) Display an der Synology selber. Wenn man einfach nur schnell ein neues Album heraussuchen möchte, braucht man sonst immer einen Rechner oder ein Smartphone.

Android und die Synology

Apropos Smartphone… Synology stellt selber eine ganze Reihe von Apps für Android, die alle kostenlos benutzt werden können, zur Verfügung. So kann man bequem auf die Dateien oder Photos auf dem NAS zugreifen usw. Da ich ja mit der Synology Remote das NAS an meiner Stereoanlage hängen hab, gehe ich ein bisschen weiter auf DS audio ein.

Die App kann man entweder dafür benutzen Musik auf das Handy zu streamen, wie bei der Web-Applikation für den Browser kann man somit auch von unterwegs seine Musik per Stream hören, ohne dass man einen Cloud-Speicherdienst oder einen kommerziellen Streaming-Dienst benutzen muss.

Alternativ kann man mit ihr natürlich auch wieder die Ausgabe über die Stereoanlage steuern, so dass man mit der Kombination Smartphone, Synology Remote und Synology NAS eigentlich eine ziemlich komfortable und zentral gesteuerte Lösung für alle Musikbedürfnisse hat. Einzig ein Display fehlt mir persönlich, aber dafür könnte man sich ja ein günstiges Android-Tablet neben die Anlage stellen.

Fazit

Synology macht mit der Synology DS211j schon einen sehr guten Job. Das NAS ist ausreichend schnell für zuhause, so dass einem auch beim Übertragen größerer Datenmengen kein Bart wächst. Allerdings stört mich die etwas labrige Verarbeitung des Plastik-Gehäuses und der immerzu laufende Lüfter der Box. Ein absoluter „lautlos“ Modus – gerade im Standby – wäre etwas mit der man das NAS aufwerten könnte. Das Zubehör und die Android-Apps sind natürlich ein Extra, das man gerne mitnimmt. Linuxer mit einem Android-Smartphone können mit dem Gerät daher ziemlich aus dem vollen schöpfen.