Ohne SSL-Zertifikat ist die Verbindung zu deinem Synology NAS möglicherweise unsicher und eingegebene Daten wie Passwörter lassen sich von Anderen in deinem lokalen Netzwerk auslesen. In der Systemsteuerung der NAS kann man sich ein Zertifikat generieren lassen und dieses im Browser importieren.
Synology hat die Funktion, ein selbstsigniertes Zertifikat zu erzeugen, ab DSM 7 entfernt. Daher ist die folgende Anleitung nicht mehr möglich.
Melde dich mit einem Administrator-Konto an deinem NAS an und begib dich in die Systemsteuerung Sicherheit Zertifikat.
Hier befindet sich derzeit nur ein Zertifikat namens synology.com. Dieses würde theoretisch auch ausreichen, aber die meisten Browser akzeptieren dieses nicht, da es zu lange gültig ist. Klicke daher auf Hinzufügen, um ein eigenes zu erstellen.
Wähle Neues Zertifikat hinzufügen aus und klicke auf Weiter.
Wähle Selbst unterzeichnetes Zertifikat erstellen aus und setze den Haken für Als Standardzertifikat festlegen. Klicke auf Weiter.
Fülle im nachfolgenden Schritt alle Felder aus. Gib im Feld Common Name den Hostname deines NAS ein und etwas dahinter, z. B. _Root. Klicke anschließend auf Weiter.
Nun musst du erneut das Feld Common Name ausfüllen, diesmal gibst du nur den Hostname des NAS ein und klickst auf Übernehmen.
Das Zertifikat wurde erstellt und ist nun 1 Jahr gültig.
Klicke im Reiter Zertifikat auf den Button Einstellungen und setze für alle Dienste das Zertifikat auf dein eben erstelltes um.
Klicke anschließend auf OK. Der Webserver wird jetzt neu gestartet.
Zertifikat exportieren
Mache einen Rechtsklick auf dein Zertifikat und wähle Zertifikat exportieren aus. Es wird eine archive.zip heruntergeladen, von welcher nur die syno-ca-cert.pem benötigt wird. Diese muss in deinem Browser importiert werden. Diese Datei ist kein privater Schlüssel und muss daher nicht geschützt werden.
Zertifikat im Browser importieren
Das erstellte Zertifikat muss jetzt in dem Browsern importiert werden, in welchem du per HTTPS auf deinen NAS zugreifen möchtest.
Chrome basierte Browser verwenden die Windows-internen Zertifikate. Öffne das Startmenü und suche nach Internetoptionen. Navigiere zu Inhalte Zertifikate Vertrauenswürdige Stammzertifikatsstellen.
Klicke hier auf Importieren und wähle die syno-ca-cert.pem aus. Klicke auf Weiter Weiter und bestätige die folgenden Meldungen positiv.
Das Zertifikat wurde nun importiert und dein NAS lässt sich im Browser per HTTPS über den Port 5001 ohne Warnmeldungen öffnen.
Bei anderen Browsern muss das Zertifikat in den Einstellungen des Browsers importiert werden. Am besten verwendest du dort die Suchfunktion und suchst nach Zertifikat.
Zertifikat verlängern
Dein Zertifikat hat immer eine Gültigkeit von 1 Jahr. In der Systemsteuerung Sicherheit Zertifikat kannst du per Rechtsklick auf dein Zertifikat dieses einfach verlängern, indem du auf Zertifikat erneuern klickst und die nächsten Schritte befolgst.
Bei Fragen oder Anregungen freue ich mich natürlich über eure Kommentare.
Über mich
Ich bin Janis (aka. EurenikZ), 25 Jahre alt und komme aus der Nähe von Frankfurt am Main. Ich habe eine abgeschlossene IHK-Ausbildung zum Fachinformatiker für Systemintegration und arbeite als Junior IT-Administrator in einem IT-Systemhaus. Neben meinem IT-Blog beschäftige ich mich viel mit diversen IT-Themen und meinen Webseiten sowie Telegram Bots und biete IT-Dienstleistungen an.
Hallo Janis,
Danke erstmal für Deine Ausarbeitung. Ich habe eine DS 218 play mit der DSM Version DSM 7.0.1-42218.
Ich wollte Deine Schritte nachvollziehen, allerdings bekomme ich gar nicht die Auswahl, ein selbst zertifiziertes Z. zu erstellen. Vorher habe ich bereits auf das alte LetsEncrypt – Zertifikat auf Standartzertifikat zurückgesetzt. Das hindert mich jetzt entscheidend daran, das Zertifikat für die Nutzung / Ansteuerung der DS nur im eigenen LAN zu erstellen. Als Admin bin ich angemeldet. Weist Du spontan, was ich übersehen habe?
beste Grüße
Siehe Bemerkung am Anfang. Die Funktion gibt es nicht mehr.
Dank der Anleitung habe ich es endlich geschafft die Fehlermeldung im Browser wegzubekommen. Entscheidend war der Hinweis, dass der [B]"Common Name"[/B] zweimal unterschiedlich eingetragen werden muss.
Ich habe mehrere DS am laufen und werde wohl irgendwann alle auf DSM 7 umstellen (müssen). Daher habe ich mich schonmal nach einer Möglichkeit umgesehen, selbst signierte Zertifikate zu erstellen und bin auf https://hohnstaedt.de/xca/index.php/download gestoßen. Habe es allerdings noch nicht getestet.
Hi Janis,
vielen Dank für den hilfreichen Beitrag.
Zwischenzeitlich gibt es in der Synology Systemsteuerung die Möglichkeit, das Standardzertifikat von synology zu erneuern und dieses wird nun durch eines ersetzt, das nur noch ein Jahr gültig ist. Leider bekomme ich es nicht hin, dass ich im Browser trotz importiertem öffentlichem Schlüssel die Warnmeldung weg bekomme. Ich vermute, es liegt irgendwie am URL, da ich im Heimnetzwerk die drei Synologys mit DSxxx anspreche (xxx steht jeweil für eine dezidierte Nummer je Server). Wenn ich z.B. https://ds214 eingebe, dann bringt der Browser trotzdem eine Warnmeldung und geht wieder auf http und verwendet den Port 5001.
Hast Du einen Tipp, was die Ursache sein könnte?
Danke und Gruß
Raul
Hallo Raul,
kannst du dir das Zertifikat mal anzeigen lassen? Wie sieht die Gültigkeit aus?
Hi Janis,
das Zertifikat wird in der Oberfläche angezeigt mit "synology – 2022-12-14 (Standardzertifikat)"
Es wird in den Details angegeben mit "Ausgestellt von Synology Inc. CA (Selbst unterzeichnetes Zerifikat)"
Wenn ich dieses Zertifikat exportiere und dann in Edge importiere, gelangen die Zertifikate in den Windows Zertifikatspeicher.
Im Zuge der weiteren Anaylse habe ich nun festgestellt, dass ich das Zertifikat vorher u. U. an der "falschen" Stelle importiert hatte – deshalb wurde das Zertifikat als nicht vertrauenswürdig eingestuft. Ich habe es nun gelöscht und neu in den Speicher der "Vertrauenswürdigen Stammzertifizierungsstellen" importiert. Dort wird es jetzt als vertrauenswürdig behandelt. Das Zertifikat wird mit der Gültigkeit ab 13.12.2021 bis 14.12.2022 angezeigt. Jedoch wird im Edge Browser die Adresse weiterhin als nicht sicher angezeigt.
Hier muss ich meinen Beitrag noch korrigieren: ich gebe https:// und wahlweise die IP-Adresse oder den Namen der DS in der Browser Adresszeile ein (jedoch ohne Port!) – in beiden Fällen zeigt Edge das https:// doppelt durchgestrichen an (nachdem ich die Sicherheitswarnungen für diese Website deaktiviert habe). Die Adresse wird automatisch auf den Port 5001 umgeleitet, weil ich das in der DS konfiguriert habe. Es ist dann wohl doch eine https-Verbindung!
Weiterhin möchte ich noch folgendes ergänzen, was mir im Nachgang zu meinem Kommentar aufgefallen ist: ich betreibe drei DSs – die Zertifikate von Synology der anderen beiden DSs lassen sich nicht aktualisieren! Ich habe leider vergessen, wo ich den Link angeklickt habe, um das Zertifikat zu "verlängern". In Wahrheit war es zuvor bis 2036 (?) gültig, und danach dann eben für genau ein Jahr. So wird es auch in der Zertifikatverwaltung angezeigt. In den beiden anderen DSs hilft es nicht, die "Verlängerung" durchzuführen. Die Gültigkeit bleibt auf 2036 stehen.
Gruß
Raul