Synology-Forum.nl
Synology Router => Synology Router => Topic gestart door: Babylonia op 16 oktober 2018, 17:33:36
-
Voor de RT1900ac geldt t/m SRM 1.2-7742 - 2 : https://www.synology.com/en-us/releaseNote/RT1900ac
Voor de RT2600ac geldt t/m SRM 1.2-7742 - 1 : https://www.synology.com/en-us/releaseNote/RT2600ac
Version: 1.2-7742 - 2
(2018-10-16)
Fixed Issues
1. Fixed an issue where RT1900ac might fail to access certain websites under AP mode.
Version: 1.2-7742 - 1
(2018-10-16)
Fixed Issues
1. Fixed an issue where the status of Network Center might not be displayed correctly
when the wireless encryption mode is set at WPA2/WPA3-Personal.
2. Fixed an issue where RT1900ac might fail to establish a connection
after upgrading to SRM 1.2 under client mode.
3. Fixed an issue where Synology Router might fail to access the Internet for a while
if the connection type is Auto IP and an IP is acquired from the ISP.
4. Fixed an issue where Port Forwarding, UPnP, and Port Triggering rules might not be displayed on the Firewall page.
5. Fixed an issue where SRM might not work properly on RT1900ac.
-
Lekker handig of slordig, om RT1900ac fixed issues te vermelden in de notes voor de RT2600ac ::)
-
Lekker handig of slordig, om RT1900ac fixed issues te vermelden in de notes voor de RT2600ac ::)
Die verschillen voor de ene of andere router heeft Synology nooit gemaakt.
Overigens heeft men een eerdere bug die ik meldde m.b.t. spellingfout niet meegenomen.
[attach=1]
-
4. Fixed an issue where Port Forwarding, UPnP, and Port Triggering rules might not be displayed on the Firewall page.
Dat werkt nog steeds niet goed, zoals ik de fout heb aangemeld en het bij de update van SRM 1.2 is geïntroduceerd.
(Ik dacht me te herinneren dat het in een "ver verleden" ook al een issue was, maar toen is gecorrigeerd).
Uit de reacties van Synology kon ik (en kan als antwoord op het ticket) al opmaken dat men het probleem niet goed begrijpt.
(De Synology employee verwijst naar een collega die er iets over had geschreven in het Engelstalige forum,
zonder het issue zelf op te pikken en te bestuderen.)
Ter info:
Als je onderaan bij de Firewall menu de volgende settings hebt gedaan:
[attachimg=1]
Zou dat effect moeten hebben op port forwarding regels, waar je eerder erboven Firewall regels met "Allow" regels hebt vastgelegd,
waarbij als het niet aan die regels voldoet, alles geblokkeerd zou moeten worden.
En dan gaat het bij port forwarding met name om de regels van WAN naar LAN
Maar dat werkt niet !!
(De "Deny" functies werken wel voor WAN naar SRM.
Dus het heeft enkel betrekking als er port forwarding regels worden gebruikt.
Ik gebruik dat bijv. specifiek voor "regio blokking" voor achterliggende services.
Die laatste "Deny" regels zouden de "andere" regio's (feitelijk alles wat niet aan de firewall regels voldoet) moeten blokkeren.
Maar er worden nu niet aan te passen extra regels erbij gezet als je een port forwarding hebt (half grijs van kleur).
Ongeacht of je er zelf reeds regels voor had aangemaakt.
Ik heb daar een tijdelijke "work-arround" voor kunnen maken, die het probleem (voorlopig) oplost.
Dat is de toevoeging van een laatste extra firewall regel onderaan je eigen regels erbij zoals hieronder gegeven.
(Die "960" aan het eind zijn het aantal "hits", en loopt al snel op. Dus de regel werkt als zodanig).
[attachimg=2]
En geplaatst "boven" die extra geplaatste "grijze" regels.
-
Zoals ik het lees, lijkt het me verstandig on even VER weg te blijven van SRM 1.2 en zijn updates voor de rt1900-ac.
Er zijn zo te zien alleen maar problemen mee, deze versie is naar mijn mening te vroeg uitgebracht.
-
Bij updates die relatief een grote aanpassing zijn in de basisfuncties, is het voor een gemiddelde doorsnee gebruiker altijd verstandig even te wachten. Dat geldt doorgaans bij de meeste software. Bij updates van bijv. nieuwe OS systemen, komen er ook nogal wat paches achteraan voordat het een beetje soepel loopt.
Er zijn altijd mensen die de verleiding niet kunnen weerstaan en het toch gaan proberen, zoals in mijn geval :P
Die merken al snel waar de eventuele bottlenecks zitten. En geven dan feedback aan Synology, wat er aan verbeterd moet worden.
Daar is de doorsnee gebruiker die later instapt dan weer bij gebaat.
Er "ver van wegblijven" lijkt me wat overdreven, als je maar weet waar je mee bezig bent.
De indruk dat het mogelijk iets te snel is geïntroduceerd heb ik ook wel.
Vanuit Synology kan ik me echter wel voorstellen dat er een "druk" achter zat om het NU op de markt te brengen.
Met ingeplande jaarlijkse "Synology Events" verspreid over de wereld, "moest" het nu op de markt gebracht worden.
Verder uitstel zou teveel financiële impact hebben in samenhang met hun nieuwe "mesh" router MR2200ac.
Bedenk dat in het verlengstuk de firmware hierbij moest aansluiten. Waarbij dit apparaat nu in de verkoop is gegaan.
De functionaliteiten van SRM 1.2 gaan door (met name vanuit de RT2600ac) tot "één geheel" met die van de MR2200ac.
Inmiddels heb ik zelf de MR2200ac (als "prijs" uit een loting), en begrijp nu heel goed dat de huidige firmware niet los gezien kan worden van de combinatie van die twee (router versus mesh apparaat). Er zijn daarbij eigenlijk pas heel recent een aantal menu's volledig veranderd.
Aanvankelijk had ikzelf mijn MR2200ac met de daarin gebruikte firmware niet geüpdate. Eerst eens eventjes "rondneuzen".
Heb daarbij bewust gekozen om geen connectie met internet te maken, alleen onderling tussen de MR2200ac en mijn PC.
Zo konden er ook geen updates worden gedaan als dat mogelijk wel (automatsich) zich zou voordoen. :o
Het SRM betrof een "oer" versie SRM 1.2-7686 die niet eens bij de downloadserver van Synology te vinden is.
Het NU losse package "Safe Acces" maakte daarbij nog geen onderdeel vanuit.
Vond daarbij het uit versie SRM 1.1 bekende "Ouderlijk toezicht" nog terug in het hoofdmenu.
Er is bewust gekozen om die onderdelen te scheiden, omdat het in een "mesh" set-up met meerdere MR2200ac apparaten alleen zin heeft dat te gebruiken op het "basis-station" die als router wordt gebruikt. Omdat daar al het overige netwerkverkeer langs gaat.
Vandaar dat gebruikers van een MR2200ac al hebben gemeld, dat de eerste configuratie nogal wat tijd kostte.
Die gebruikten daarbij een RT2600ac om van daaruit (draadloos) de "mesh" MR2200ac aan te roepen.
Daarbij werd automatisch in de MR2200ac het oude SRM 1.2 vervangen door een jongere update,
en opnieuw gepatched naar SRM 1.2-7742 - 1
Dan ook nog het nu losse package "Safe Access" gedownload en erbij geïnstalleerd.
Dat nam bij mensen 15-20 minuten in beslag.
En ook nu vind ik in de huidige firmware nog zaken terug die binnen het gebruik van de MR2200ac als "mesh" WiFi punt, of (in mijn geval) als "Access Point", geen functie hebben. Dat werkt niet eens. (Dat werkt alleen in "router-mode", niet in Access Point mode).
Dus dat behoeft ook hier nog aanpassing, dat bepaalde menu-functies niet gaan verschijnen als je niet in "router-mode" zit.
Het betreft o.a. het instellen van een VPN Client in de MR2200ac als "Access Point".
Zonder de functies van prioriteit en "Beleidsroute" in "Smart WAN", wat alleen actief is bij router-mode, kun je er niets mee.
De Smart WAN in de hoofdrouter is er echter niet mee gekoppeld.
Zou overigens ook niet logisch zijn op twee niveaus bij verschillende apparaten dat in te moeten stellen.
Daarbij moet ik echter wel een mate van terughoudenheid betrachten omdat ikzelf alleen een RT1900ac router heb,
waarvan bekend is dat die niet volledig is geïntegreerd met de functies met die van de MR2200ac.
Misschien dat het in combinatie met een RT2600ac wel werkt??
-
@Babylonia Wil toch even extra checken, wil m'n RT2900ac n.l. updaten naar 1.2-7742-1.
Ik heb geen enkele poort geforward en m'n Firewall ziet er zo uit:
[attachimg=1]
Dus het heeft enkel betrekking als er port forwarding regels worden gebruikt.
Ik mag dus aannemen dat ik geen problemen krijg, toch ?
-
Geen port forwarders ingesteld krijg je geen problemen.
Het is een beetje te vergelijken met je onderste twee regels die nu niet zijn ingesteld, omdat daar geen vinkjes bijstaan.
Dat komt dan weer omdat de functie van "Externe toegang tot SRM" elders bij het "Configuratiescherm" is uitgeschakeld.
Bij port forwardig, krijg je NU daar onderaan extra regels erbij die mogelijk in tegenspraak zijn met wat jezelf hebt ingesteld.
Daar staan dan wel vinkjes bij, en die zijn niet uit te schakelen. Door die ene regel die ik benoemde toe te voegen
onder je eigen aangemaakte regels, maar boven die "half grijze" regels, is dat een methode om dat nu (voorlopig) op te lossen.
-
Dan ga ik updaten ;D
-
Geen port forwarders ingesteld krijg je geen problemen.
Ik gebruik wel poort doorsturen. Begrijp ik het goed dat ik dan beter (nog) niet kan updaten?
Overigens vind ik het met de verscheidenheid aan berichten over het instellen van de firewall op de Router 2600ac lastig om de firewall goed in te stellen.
@Babylonia wil je goed zijn om nog eens te verwijzen naar een van de berichten waar de instellingen goed staan aangegeven dan wel dit in het kort aangeven of een afdruk als advies?
Mijn dank.
-
De work-around / oplossing staat hierboven in de draad.
M.b.t. een Firewall en achterliggende hyperlinks met info < HIER > (https://www.synology-forum.nl/firmware-algemeen/ip-adres-geblokkeerd-viassh/msg203461/#msg203461)
Hierbij wat uitgebreider de functies besproken zoals Synology ze nu heeft geïmplementeerd.
Een invulling waarbij Synology nu een "te" bemoeizuchtige keuze oplegt wat niet jou keuze is.
Je eigen keuze wordt letterlijk overruled met die van Synology.
Waarbij je die overruling met een "trucje" dan weer ongedaan moet maken. Heel vervelend.
In de oude situatie had ik zelf reeds firewall regels aangemaakt zoals in onderstaande afbeelding gemarkeerd met het blauwe blok 1.
In mijn geval expliciet beperkt door alleen binnen een zeer beperkte regio (Nederland) iets toe te staan (Allow).
NU plaatst Synology er automatisch nieuwe Firewall regels bij, onderaan het blauw gemarkeerde blok 2.
Dat zijn dezelfde regels als welke ikzelf reeds heb aangemaakt. Dus dubbelop.
(Als men dan automatische controles wil uitvoeren, waarom controleert men niet eerst de regels die reeds voorhanden zijn?).
Maar dat niet alleen, voor twee van de door mij beperkte regio firewall regels, wordt nu "ALL" gekozen,
en overruled daarmee mijn eigen keuze. De door Synology aangemaakte regels zijn echter niet te bewerken of weg te halen.
De oranje omkaderde blokjes hebben specifiek betrekking op het achterliggende LAN. (Waarvoor port forwarders zijn ingesteld).
Op die situatie moet ik dan weer een trucje verzinnen om de door Synology opgelegde keus weer ongedaan te maken.
Dat gebeurt dan met de rood omkaderde regel 3. die ik onderaan mijn eigen regels zet.
Maar boven die van Synology (kan ook niet anders).
Ironisch daarbij is dat de betekenis van die extra aangevulde regel hetzelfde is als dat hele blok 4.
Met die instellingen in de oude situatie werkte dat zodanig dat alle andere regio's dan Nederland en mogelijkheden werden geblokkeerd.
Ofwel dubbelop niet logische "moeilijk makerij" door Synology om te proberen daarin alles "zo simpel mogelijk te houden" ? !
(Date hele blok 2 en 3 zijn feitelijk overbodig en zou ik het liefste helemaal weg hebben).
[attach=1]
In de oudere firmware had je ook al zoiets dergelijks met "External Access" regels die ook voor alle regio's golden.
Die functie kon je in ieder geval nog uitzetten. Zodat geen overbodige regels in een Firewall worden gezet.
(De eigenlijke betekenis is daarbij reeds anders, met hoe ik het ook hier als"'trucje" inzet).
Met de voorgaande nieuwe Synology firewall regels m.b.t. port forwarding kun je dat NIET uitschakelen.
[attach=2]
[attach=3]
-
Dank voor je uitleg Babylonia.
Het vreemde is dat de poorten die worden doorgestuurd afzonderlijk bij de firewall regels worden vermeld.
zie bijlage
-
Via de support is het bij Synology inmiddels ook duidelijk dat het allemaal wat overdone is.
Dat zal wellicht in een volgende update alsnog worden gecorrigeerd.
Zal ze in mijn ticket nog eens verwijzen naar jou reactie met deze afbeelding erbij.
-
@Birdy Even een nieuwsgierig vraagje. Waarom heb jij poort 1900 voor protocol UDP geheel dichtgezet?
-
Naar aanleiding van mijn Topic (https://www.synology-forum.nl/synology-router/firewall-openvpn-hits-blijft-oplopen-zonder-een-verbinding-te-hebben/msg245679/#msg245679).
-
Verbeeld ik het mij of is het opnieuw opstarten/booten van de RS2600AC met deze firmware sterk verbeterd ?
Voorheen duurde het vaak tot gemiddeld 5 minuten eer ik weer online was na een reboot.
Vanmorgen de stroom er even af moeten halen ivm werkzaamheden en na inschakelen was ik binnen 1 minuut weer
online.
Als het niet aan mijn verbeelding ligt :P is dit een sterke verbetering.
Peter
-
FF getest, restart = gewoon rond de 5 min voordat alles weer on-line was Bedraad/WiFi.
-
Dan zal ik wel uit een ei komen, haha :lol:
Maar morgen toch nog een keer proberen want ik zou toch zweren dat....mmmm
Peter
-
Tjonge wat een tijden.
Mijn Draytek router is binnen 30 seconden weer in de lucht na een reboot. ;D
-
Maar of je daar blij om moet zijn?
Ik ben juist informatie aan het verzamelen voor de support-afdeling van DrayTek om de slechte VPN ondersteuning van hun Vigor 2960 router (http://60.250.189.150:2960/).
Die ondersteunt inmiddels OpenVPN, maar verbindingen zijn totaal niet betrouwbaar. Verbindingen vallen weg na pakweg 2-3% download van een flink zwaar bestand. De verbinding op zichzelf is circa 10-14x langzamer dan een OpenVPN connectie in hetzelfde netwerk met de VPN-server op NAS niveau (DS218+), die "achter" die DrayTek router hangt. (Met ander poortnummer en ander VLAN). Die is strak en zonder enige hapering. Verbinding daarmee valt ook niet weg.
Dus de problemen zitten in dit geval niet in een slechte internetconnectie zelf, maar in de implementatie van de OpenVPN software op routerniveau met de DrayTek router. De snelheden onder PPTP of L2TP zijn ook niet om naar huis te schrijven, maar blijven in ieder geval nog wel gehandhaafd. Ook dat is beter geregeld met de VPN-server van Synology draaiend op hun NAS.
Zo heeft elk apparaat wel zijn eigen perikelen.
-
Tja, een reboot van 5 min. is voor mij echt geen probleem, kwestie van inplannen, ook een update.
Ik reboot de router elke zondag nacht, ik zeg maar zo, het kan geen kwaad, geheugen opfrissen zeg maar, en niemand heeft er last van.
-
[..]Hierbij wat uitgebreider de functies besproken zoals Synology ze nu heeft geïmplementeerd.
Een invulling waarbij Synology nu een "te" bemoeizuchtige keuze oplegt wat niet jou keuze is.
Je eigen keuze wordt letterlijk overruled met die van Synology.
Waarbij je die overruling met een "trucje" dan weer ongedaan moet maken. Heel vervelend.
[..]
Je hebt je er goed in verdiept. :) Die automatische firewall rules voor Port forwarding, is dus een nieuwe "feature" die met 1.2 is ingevoerd? Mijn 1900AC draait nog op 1.1.7-6941 Update 3, ik gebruik één Port Forwarding Rule, maar zie geen automatisch gemaakte firewall rules. Ik heb zelf één firewall rule gemaakt, die het verkeer van die port forwarding rule door laat. Deze heeft één specifiek IP adres als bron IP. Zonder die rule komt het verkeer er bij mij nu niet door.
Als ik het goed begrijp kan ik dus na een upgrade een automatische firewall rule verwachten die de port forwwarding rule matched, maar met bron IP "ALL"? Met andere woorden, er staat dan geforceerd meer open dan ik nu open heb. Dat is wel slecht dan idd.
Jouw work-around rule (#3 Block All) blocked ook uitgaand verkeerd. Heb je daar geen last van? De Hit Count is nogal hoog iig. :) Als ik zo'n rule maak kan ik niks meer doen, vanaf LAN naar internet. (De SRM connectie doet het gelukkig nog wel. :))
-
Jouw work-around rule (#3 Block All) blocked ook uitgaand verkeerd. Heb je daar geen last van?
Ik laat alleen de regels zien die betrekking hebben op die forwarding rules, om niet verder de aandacht af te leiden naar andere regels.
Maar heb nog een heel rijtje regels erboven die de rest regelen. Zie o.a. de voorbeelden < HIER > (https://www.synology-forum.nl/synology-router/hoe-firewall-instellen-in-de-router/msg200596/#msg200596) (1 t/m/ 7).
Synology wilde het aanvankelijk zo laten zitten. Gaf aan dat dat toch wel bezwaarlijk is.
Zou toch minimaal willen dat als die regels er automatisch bij worden gezet, dat je ze dan in ieder geval naar eigen wens kunt aanpassen aan meer beperkte bereiken, of zelfs individuele IP-nummers zoals in jou situatie.
(En daar ook de controle op, zodat er geen overbodige regels erbij worden gezet).
Als er genoeg mensen dat in een ticket aangeven, nemen ze het alsnog serieus.
Dus bij deze de vraag aan mensen om een ticket (in het Engels) te openen en dat kenbaar te maken.
-
Dat je die auto-rules kan aanpassen is misschien wel een lastige feature request (denk ik dan als software ontwikkelaar). Maar dat je ze op zijn minst kan disabled zou makkelijker te implementeren moeten zijn. Dan kunnen de Power Users die het nodig hebben daarmee bereiken wat ze willen, en voor de meeste gebruikers die er minder van weten is "gewoon" (voor de meesten al lastig genoeg :)) de forwarding rule aanmaken dan voldoende en hoeven ze niet ook nog met firewall te klooien.
Ik zal ook een ticket maken.
Edit: Done.
My 1900ac is currently still on 1.1.7-6941 Update 3, but I want to upgrade to 1.2. The problem is however that I've read that 1.2+ creates automatic firewall rules for the Port Forwarding rules that you create. The problem is those rules can't be modified or disabled, and they don't use the most secure settings.
In my case I have a firewall rule that only allows the port forwarding rule to function from one specific Source IP. The automatic rule however has Source IP "ALL". That's not what I want, and is definitely less secure.
Please make a fix for this. At least make it possible to disable the automatically created rules, if adding the option to prevent creation of these rules, or the option to modify the automatic rules, are too complex.
In any case, please don't FORCE unsecure firewall rules!
-
Mooi omschreven.
Als het uitgeschakeld kan worden ook prima natuurlijk.
Dat is feitelijk ook al het geval met het extern benaderen van SRM.
Vink je een menu-optie aan dat je extern SRM wilt benaderen worden twee "grijze" ook niet aan te passen regels aangevuld.
Eveneens met "ALL". Maar die kun je tenminste uitschakelen (en verschijnen dan niet).
Kun je dan zelf handmatig met meer beperkingen die regels toevoegen.
-
Antwoord van Synology:
You indicated that you have a RT1900ac router running SRM 1.1.7-6941 Update 3 but you don't want to update it to SRM 1.2 because you've read about automatic firewall rule creation related to port forwarding and the insecure way in which this appears to be implemented. Specifically, you want to be able to either disable this behavior in SRM or edit the rules that are automatically created so they are not the default options that can not be edited.
In testing port forward and firewall rule interaction in lab units running SRM 1.2, I have observed the behavior that you are describing. I will submit a request to add this functionality or alter its behavior to our systems to developers. I can't currently give a timeline for its inclusion, but you can sign up here to be notified of updates automatically by email: https://account.synology.com/en-global
Dat klinkt op zich wel redelijk positief. :) Of dat request dan ook daadwerkelijk wordt opgepakt, en op welke termijn, dat is dan weer even afwachten...
Wat kreeg jij eigenlijk voor reactie dan?
-
Voor draadloos heb ik Smart connect aanstaan op mijn RT2600ac. Randapparatuur die alleen 2,4 GHz aankunnen krijgen geen verbinding. Bijvoorbeeld mijn HP printer Ofiicejet 6600 kan alleen verbinding krijgen met de router (draadloos) als Smart Connect uitstaat.