configuración NAS Synology con router Mitrastar

Buenas OscarH2 

En primer lugar, ten mucho mucho mucho... cuidado con lo que haces y como lo haces. Aquí la ignorancia/desconocimiento se paga muy caro, haciendo que el NAS sea carne de cañón para cualquier hacker de tres al cuartos. Todo lo que preguntas es comprensible, lo que pasa es que se entre cruzan mucho asuntos diferentes que son más importantes aun

Así que si me lo permites te hago una rápida introducción de toda la problemática, porque en esencia todo se resume en el mismo origen.

Los Router domésticos (no grandes empresas y demás), el 99.99% son dispositivos NAT. Es decir, te permiten compartir tu conexión de Internet con todos tus dispositivos. Al Router se le asigna una IP pública, por parte de Movistar, pero luego todos tus dispositivos conectados a él tienen su propia red privada, independiente de Internet, con su propia IP. Esto te permite que puedas tener una sola conexión contratada y que todos puedan tener conexión. Pero más importante también, todos tus dispositivos están protegidos. Por qué? Porque nadie del exterior puede "hablar" con un dispositivo de tu interior, no sabría como llegar a él, llegarían al Router, no al dispositivo Interno. Claro, pero cuando tu visitas una web o cualquier cosa el servidor te contesta bien... sí, pero porque tu equipo inició la comunicación, y el Router hace un seguimiento de esa conexión, y cuando le responden al Router, este sabe que esa conexión es para tu equipo.

Esto hace necesario que sea obligado lo que llamamos "abrir puertos" o "reenvío de puertos" cuando necesitamos que la conexión se inicie en el exterior. Es decirle en esencia al Router que si le llega tráfico al puerto X, lo envíe siempre al puerto Y de un equipo de la red. Pero esto  siempre entraña un riesgo, puesto que cuando se hace eso realmente estamos exponiendo el dispositivo de nuestra red local, o al menos el servicio/aplicación que esté usando dicho puerto en nuestro dispositivo.

Entendido esto, el resto es sencillo de seguir.

1º. Que el Router tenga habilitado upnp perfecto, de echo es recomendable sobre todo para usuarios que no son muy avanzados en esto de abrir puertos manuales y toda la pesca. Pero ojo, hay que tener en cuenta algo importante, cuando se usa upnp un dispositivo/aplicación puede abrir el puerto que quiera potencialmente. Esto per sé no es malo, pero si no se tiene un mínimo de control es un fallo de seguridad enorme, porque estás exponiendo hacia el exterior servicios/dispositivos importantes. Además por lo general upnp no cambia el puerto externo del Router, asigna el mismo externo al interno que use la aplicación/servicio, ESTO ES LO PEOR QUE PUEDE HACERSE, JAMAS USAR LOS PUERTOS POR DEFECTO

2º. Que quieras usar el servicio propio de Synology DDNS no hay mayores problemas, pero ya estás empezando a vender tu alma a ellos, y esto sí es un problema, porque expones servicios a ellos por lo general, y cuanto menos control puedan tener ellos sobre tu NAS mejor. Si no te queda otra opción ok, pero hay mejores alternativas a esto

3º. Synology, con perdón, te vende hardware mediocre a precio de oro, y su software está más enfocado a que el usuario no se entere de lo que pasa que a reconocer muchos problemas que tienen, personalmente es infinitamente mejor opción QNAP, pero cada cual que haga lo que estime. Ejemplo de ello es como dices el "configurador" que tienen, que en esencia lo que hace es usar upnp para mapear todos los puertos que le de la gana al NAS en el Router. Por un lado, es habitual el mensaje de que no es compatible porque no lo tiene en su lista. Nada le impediría usar upnp para crear los mapeos de puertos, que por suerte no lo hace, por cierto. NO SE TE OCURRA USAR UPNP EN EL NAS, al menos en cuanto a configuración con el Router se refiere. JAMAS. El NAS crearía puertos abiertos para cualquier servicio que esté en ese momento usando, y encima en sus puertos por defectos. Dicho de otro modo sería como poner un cartel luminoso diciendo: Pirateenme, roben todos mis datos.

-------------

El modo a actuar es mucho mucho más sencillo que todo eso.

1º. Asegurarse de que el NAS tiene deshabilitado upnp (no el Router), upnp en cuanto a la configuración con el Router. Todo hacerlo manual.

2º. Pensar muy bien y exactamente que servicios realmente se requieren para acceso externo. Jamás uno más de la cuenta, y jamás el puerto por defecto, esto lo expando más abajo. Si lo único que se requiere es acceder de forma remota al administrador del NAS, DMS en Synology, solo se requiere un puerto, ni más ni menos, un puerto TCP.

3º. Usar siempre puertos externos arbitrarios y altos. El principal problema es usar puertos conocidos. Una red zombi o un hacker no barre por lo general los 65535 puertos posibles, esto tarda la vida, no es práctico. Lo que hacen es escanear un conjunto muy pequeño, a lo mejor 50-100 puertos, que son conocidos. Por ejemplo, 80/443/22/21/20/5000/53... aunque no hace invisible realmente modificar el puerto externo, si evita automáticamente el 99.9% de todos los problemas, aprovechándonos de usar puertos arbitrarios. Todo esto se traduce en que si DSM usa por defecto el puerto 5000, no hace falta tampoco que lo cambies dentro del NAS o para acceder desde tu red local, pero cuando lo añades en el Router, usas otro puerto como puerto externo del Router, por ejemplo el 15345. Es decir, se configura un puerto que sea externo 15345 TCP a Interno 5000 en la IP 192.168.1.X. La única diferencia haciendo esto es que cuando la conexión es remota, la aplicación usada o el navegador Web usado hay que especificar el puerto correctamente, nada más.

No hacer esto, repito, implica exponer un servicio conocido, en este caso el administrador del NAS a Internet, y esto hace que sea atacado constantemente en busca de vulnerabilidades, que antes o después aparecen, y en definitiva te quedarte de un día para otro con todo el contenido encryptado o perdido por la mala praxis de exponer hacia Internet lo que no se necesita, o del modo incorrecto.

-----------

Configura manualmente los puertos que realmente necesites, ni uno más, ni uno menos, y siempre usando puertos externos no conocidos. En el Router al abrir los puertos asegúrate simplemente de realizarlo bien, el puerto externo adecuado, el puerto interno adecuado, la IP del NAS correctamente configurada (usar DHCP estático en el Router para asegurarse de que siempre tenga la misma IP local), y por último que el puerto se abre en la Interfaz WAN correcta del Router.