ラベル NAS(QNAP) の投稿を表示しています。 すべての投稿を表示
ラベル NAS(QNAP) の投稿を表示しています。 すべての投稿を表示

2015/01/02

QNAP NAS・myQNAPcloudの設定を見直して、万全のセキュリティ対策を!



QNAPは優れたアプリケーションと強力なリモートアクセス機能を兼ね備えた素晴らしいNASです。
ですが、Web経由でアクセス可能故のセキュリティ上の懸念も存在します。

QNAPユーザーの1人として、多機能故に少し複雑ですが、QNAPを利用している方に是非確認して欲しい点とセキュリティを向上させるヒントをまとめてみました。


1.ファームウェアを最新の状態に保つ

2014年はHeartbleedやShellshockなどサービスの根幹に関わる脆弱性が多数報告された1年でした。
QNAP NASのファームウェア情報には常に気を配り、プレスリリース等を利用してこまめにアップデートを心掛けたい所です。
2014/12/29には最新のファームウェアQTS 4.1.2が公開されています。 OpenSSLのバージョンアップも含まれていることから、出来るだけ早くアップデートしたいところ。


また、既にShellshockの脆弱性を悪用したプロセスが走っていないかチェックするプログラムも用意されています。


インストール後に自動的にプロセスが走ります。Warning表示が出なければOK。
システムログから問題がなかったことが確認できます。

”No ELF backdoor was found.”ならOK


これで現状問題ないことが確認できました。
以下は、myQNAPcloudの初期設定を済ませたまま放置しているようなケースを想定して進めます。 適宜読み飛ばしながら進んでください。


2.myQNAPcloudの設定

myQNAPcloudは優れたセキュリティにより運用されていますが、ユーザー自身が適切に利用しないとザルになってしまいます。
以下により、myQNAPcloudの設定を見直していきます。

2-1.公開サービスを見直す

myQNAPcloudに登録すると、初期状態ではNASを探すことができます。
登録したURL”hogehoge.myqnapcloud.com”のhogehogeがデバイス名となり、qnapcloud.comのページから検索してアクセス可能になります。

”デバイスの検索”から検索可能

適当な名前で検索した結果

簡単な名前で検索すると、公開済みのサービスを持つNASが簡単に見つかってしまいます。一度自分の名前で検索して確認してみましょう。

一般に公開目的ならともかく、普通に利用するなら公開する必要はないはずです。まずはプライベートサービスに設定し、簡単にアクセスできないようにします。

QTSにアクセスし、myQNAPcloudから設定する

”公開”にチェックが入っていると、myQNAPcloudからアクセス可能になります。
”プライベート”にチェックが入っていると、承認されたアカウント名とmyQNAPcloudアクセスコードを入力してアクセスする必要があります。

アクセスコードを指定

myQNAPcloudに公開してアクセス可能にしたいけれど、セキュリティを担保したい場合は、このアクセスコードを指定します。

承認されたユーザー名とアクセスコードを指定しないと、
プライベートサービスにアクセスできなくなります

2-2.myQNAPcloudからデバイスを検索できなくする

ただ、そもそもデバイスを検索できなくしたほうが安心です。
Android/iOSアプリからmyQNAPcloud経由でアクセスしたいという目的だけなら、すべてのサービスを公開せず、デバイスを検索不可能にすることで、myQNAPcloud ID(QID)とパスワードでmyQNAPcloudにサインインしないと、myQNAPcloudのページからアクセスできなくなります。

myQNAPcloudにサインインし、”デバイスの詳細”から検索可能を”いいえ”に設定

QTSの設定から公開にチェックを全て外す

こうすることで、myQNAPcloud経由でQID/パスワードでサインインしない限り、NASにアクセスされることはなくなります。

※ただし、ルーターのポートを開放してmyqnapcloud.comに登録している状態には変わりはないので、URL直接入力でアクセスすることは可能です。


3.ポートの変更とSSLの利用

3-1.ポートの変更

Shellshockなどの脆弱性をつく攻撃や、不正にログインしようとする試みのため、QNAPのデフォルトWebポート8080へのアクセスが多く報道されました。
8080はデフォルトポートなので、他のポートに変更した方が攻撃を受ける可能性が低くなります。
(※QNAPを狙った攻撃を受けにくくするだけで、全ポートをスキャンするような攻撃には対応出来ません)

一般設定から変更可能です

※その他のアプリケーション用のポートもそれぞれ変更可能です。

3-2.アカウントの管理とアクセス制限

ポート変更とともに、adminのパスワードを複雑で長いものに変更し、アクセス制限をかけてセキュリティを向上させるのがいいと思います。

adminは使用せずに凄く複雑なパスワードにしてしまい、別の管理アカウントを作成して使用のがおすすめです(そうすれば攻撃者はアカウントとパスワードの組み合わせを知る必要があり、漏洩しない限りほぼ突破されることはないです)。
そして、ネットワークアクセス保護機能により一定期間内の失敗試行回数を設定すれば、不正ログインへの耐性はより高まります。

”30分間 / 5回 / 期限なし”が最も厳しい設定です

また、これまでのアクセス履歴を見返し、不正アクセスと思われるIPアドレスを永久にブロックしてしまいましょう。
コントロールパネル→システムログ→システム接続ログから確認可能です。怪しいアクセスには右クリックからブロック指定してやりましょう。

3-3.SSLの利用

LAN外からアクセスする際に、公衆無線LANなどのセキュリティの低いネットワークを利用する場合は、通信内容を盗聴されてアカウント/パスワードの流出を防ぐため、SSLで通信しましょう。
詳しい手順は省きますが、SSL用のポートを解放し、アクセスするデバイスに証明書をインストールすればエラーを生じることなくアクセス可能になります。
SSL通信は少し遅くなりますが、それでも不正アクセスされてしまうよりはいいですよね。


4.CloudlinkとVPN


CloudlinkはQTS 4.1以上で利用可能な新しいWeb経由でのアクセス方法で、ルーターのポートを開放していなくてもQNAPが提供するCloudlink経由でアクセス可能になる機能です。
ポートを開放しなくてもよいので、セキュリティ上の懸念がなくなる一方で、QNAPのサーバーをデータが経由することになるので、それを理解した上で利用する必要があります。

当方の環境では、Qfileアプリ利用時にCloudlink経由でアクセスできない不具合があるので利用を見送っていますが、今後の改善に期待したいです。


また、VPNを利用してQNAP NASにアクセスすることも可能です。
詳細な手順は、NASにVPNサービスを設定する方法にて確認可能です。

2014/10/05

QNAP、Bashの脆弱性”Shellshock”を修正した、”QTS 4.1.1 Build 1003”をリリース!



bashの深刻な脆弱性”Shellshock”、QNAP等のNAS利用者も対策を!のエントリにて、QTS 4.1.1 Build 0927+Qfix 1.0.1の導入を紹介したところですが、QNAPからShellshockに対応したファームウェアのリリースが発表されました!

リリース内容を要約すると以下の通り。
  • 現状判明しているBashの脆弱性(CVE-2014-6271, CVE-2014-7169, CVE-2014-6277, CVE-2014-6278, CVE-2014-7186, and CVE-2014-7187)を全て修正したファームウェア”QTS 4.1.1 Build 1003”をリリースした
  • QTS 4.1.1 Build 0927+Qfix 1.0.1をインストール済みであっても、Build 1003へのアップデートを強く推奨する
  • 旧バージョン(QTS 3.8/4.0)向けのセキュリティパッチ(Qfix)もまもなくリリース予定

旧バージョン向けのサポートが継続されているところも嬉しいですね。

QTS 4.1.1 Build 0927+Qfix 1.0.1にて対策されていた方,まだ対応されていない方は、早めにQTS 4.1.1 Build 1003へアップデートしちゃいましょう。

iSCSIの安定性も向上しています

2014/10/04

bashの深刻な脆弱性”Shellshock”、QNAP等のNAS利用者も対策を!



外部から乗っ取られる可能性がある深刻な脆弱性がbashに見つかりました。
”Shellshock”と呼ばれる、Heartbleedを超えるとも言われる申告な脆弱性のニュースがたくさん出たので、ご存知の方も多いでしょう。

すでに解説はたくさんありますので、ここでの説明は省略します。

この脆弱性は、サーバーを公開しているエンタープライズに限った話ではなく、Web経由でアクセス可能なNASを利用している一般ユーザーにも深刻な影響を与えています。

ITmediaによると、FireEyeによりQNAP NASを狙った攻撃が確認されているとのこと。


<追記>
Shellshockに対応したファームウェア”QTS 4.1.1 Build 1003”がリリースされています。
QNAP、Bashの脆弱性”Shellshock”を修正した、”QTS 4.1.1 Build 1003”をリリース!
<追記ここまで>


すでに対応ファームウェアは公開されていますので、QNAPユーザーは今すぐ最新ファームウェアを確認し、アップデートを行って欲しいと思います。
…今度のバージョンでは、GNU Bash 環境変数コマンドインジェクションの脆弱性 (CVE-2014-6271 と CVE-2014-7169) が修正されています。この脆弱性は「Shellshock」とも呼ばれ、攻撃者が UNIX/Linux ベースのシステムをリモートコントロールする可能性があります。 …
QNAP のセキュリティーラボは QTS バージョン 4.1.1 Build 0927 を検証し、CVE-2014-6271 と CVE-2014-7169 の脆弱性が修正されていることを確認しました。 Turbo NAS をご利用のお客様には、Turbo NAS ユニットをこの QTS バージョンに更新することを強くお勧めします。
GNU Bash には依然として CVE-2014-6277 の問題が潜在的に残っています。この解消は確認されていません。QNAP は引き続き GNU が提供するソリューションを監視し、対応するホットフィックスをリリースします。
~リリースより抜粋~

リリースではこうアナウンスされていますが、10月1日現在、CVE-2014-6277を含む脆弱性を修正したパッチ”Qfix for Bash security patch”が全モデル向けにリリースされています。
ダウンロードセンターにて確認後すぐにインストールしましょう。

アップデート手順

ダウンロードセンターから利用中のモデルを確認しましょう


4.1.1 build 0927をダウンロードし、ファームウェアアップデートを行います
※4.1.1は複数のbuildが存在するので、0927または最新のものを利用しましょう


4.1.1 build 0927アップデート後、Qfixをインストールしましょう

Qfixは、ファームウェアアップデートからインストールすればOKです。
※Qfixをインストールしても、バージョン表記は変わらないようです。


IoTが進みつつあるなか、こういった脆弱性が出ると不安になりますね。
Webに利用しているデバイス(NASなど)を公開している場合は、最新のファームウェアを常に確認したいところです。

2013/05/04

QNAP NAS導入作戦! ~MyCloudNAS設定編~


MyCloudNASは、QNAP NASにインターネットを経由してアクセスするためのサービスです。
今回の設定を済ませることで、Dropboxなどのクラウドストレージサービスと同じように自分のNASにいつでもどこでもアクセスできるようになります。

MyCloudNASの概念図




1.下準備
  1. ネットワーク上に複数のルーターがある場合は、インターネットに直接接続しているルーター(デフォルトゲートウェイ。上図だとWM3600R)以外のルーターのルーター機能を無効化(アクセスポイントモード・ブリッジモード)する。
  2. ルーター・NAS・設定用PCを同一ネットワークアドレスに設定する(192.168.0.x等)
  3. NASのIPアドレスを固定する
  4. デフォルトゲートウェイルーターのUPnP機能を有効化する。(上図の場合だとWM3600R)
  5. QNAPがデフォルトゲートウェイのUPnPルータを検出していることを、QNAPの設定→MyCloudNASサービス→自動ルータ構成から、UPnPポート転送を有効化にチェックを入れた上で(詳細を見る)をクリックして確認する



2.MyCloudNASセットアップ
  1. MyCloudNAS ウィザードに従ってセットアップする(1.~5.まで)
    ※開くポートを選択できるので、手動セットアップがいいと思います。
    ※できるだけ長いURLにした方がセキュリティ上好ましいです。
※もしデフォルトゲートウェイがUPnPルーター機能を有していない場合は、手動でポートを開放します



3.MyCloudNAS構成

MyCloudNAS構成にて、各種の設定を行います


公開したくないサービスにプライベートにチェックを入れる


MyCloudNAS Access Codeを設定する


アクセスできるユーザーを追加する(ユーザーは最大9名まで)
※外部からアクセスする際のアクセス権は、アクセス権管理→ユーザーの設定と同じ



4.外部からアクセス可能か確認する

※ルーターがNAT Loopbackに対応していないとNASと同一LAN内のクライアント端末では名前解決できないためアクセスできないので、hostsファイルを弄るかLAN外(スマホ回線など)からアクセスして確認しましょう




いくつか注意点を紹介します。


  • マルチメディアステーションのアクセスユーザーは、3.で設定したユーザーではなく、マルチメディアステーションにて設定したユーザーになります。
  • 3.でプライベートにチェックを入れた場合は、http://www.mycloudnas.comからURLを入力した時に表示されるかどうかを設定するものです。(以下参照)


mycloudnas.comにアクセスして、自分のNASのURLを入力します


ここで表示されているのが、プライベート指定していない公開サービスです
Name/Access Codeを入力するところがありますが、ここは3.で設定したユーザーとMyCloudNAS Access Codeを入力します


入力後、プライベートにチェックを入れたサービスが表示されます。
利用したいサービスをクリックすると、ログイン画面が表示されるので、ユーザー名/パスワード(MyCloudNAS Access Codeじゃない)を入力します



つまり、サービスのURLがわかっていれば、上記の手順を踏まず直接URLを入力することで、MyCloudNas Access Code不要でログイン画面に進むことができます。
QMobile/Qfileなどのアプリの設定も同じで、ユーザー名/パスワードは3.で追加したユーザー名・パスワード(MyCloudNAS Access Codeじゃない)を入力します。


まとめると、MyCloudNASを利用するに当たってのセキュリティは、
  1. URL
  2. ユーザー名
  3. (ユーザーの)パスワード
の3点になります。

アクセス可能なユーザーに、多くの人が設定するであろう”admin”を追加すると不正アクセスされる可能性が上がるので、オンラインアクセス用にユーザーを設定した方がいいと思います。
また、各自の外出先での利用用途を考慮して、オンラインアクセス用ユーザーには最低限のアクセス権を保持させた方がいいと思います。



以上の設定が終了した後にスマートフォンのQfileなどのアプリにてログイン設定を済ませることで、Dropbox等のクラウドサービスと同じように利用することが可能になります。

長く時間がかかりましたが、ようやく3TBのクラウドストレージを手にすることが出来ました(∩´∀`)∩

2013/04/29

QNAP NAS導入作戦! ~セットアップ編その2~


QNAP NAS導入作戦! ~セットアップ編~にて、以下のトラブルを紹介しました。

  • ワイヤレス接続のため、USB延長ケーブルを利用して電波強度の強い場所に無線LAN子機を設置しようとしたが、USB延長ケーブルとUPS接続用ケーブルを背面のUSBポートに接続すると、何故かQNAPがUPSを認識してくれない
    →無線LAN子機を延長ケーブルで接続するのを諦め、素直に前面のポートに接続することで問題は解消しました
  • QNAPがたまに無線LAN子機を認識しない(ワイヤレス接続の設定が出来なくなる)
    →原因不明。QNAP本体再起動や子機挿しなおしで認識する場合あり
  • ワイヤレス接続の際、正しいキーを入力している筈なのに、何故か”無効なキー”と告げられる
    →接続プロファイルを一度削除して、再度入力してみます。ダメなら再起動
  • 無線LAN親機とQNAPのワイヤレス接続完了後、無線LAN親機側でIPアドレスを固定してからQNAPを再起動するとワイヤレス接続が出来なくなる(IPアドレスを取得できなくなる)
    →原因不明。LANに接続する他のデバイスのIPアドレスを固定することで、間接的にQNAPのIPを固定しました。QNAP側からもIPを固定すると同様の不具合が出るので、QNAP側もIP自動取得にしました


どれもこれも、無線LAN子機にてネットワークに接続させようとしたことが失敗の要因でした。一応公式で互換性が示された機器を使ってるんですけどね…

自宅であっても動画再生がスムーズでない時があったりするので、思い切って機器を追加購入することにしました!




AtermWL300NE-AGの中身


LAN-GSW/PH - Logitec


LAN-GSW/PHの中身



AtermWL300NE-AGは無線LAN中継器とは違って、無線LAN子機でありながら有線LANポートを2つ持っていてLANケーブルで複数の機器を無線LAN親機に接続することが可能な”イーサーネットコンバータ”と呼ばれるもの。LAN-GSW/PHはハブです。


この2つを選んだ決め手は、
  • AtermWL300NE-AG:当方の無線LAN親機(WZR-600DHP)と同等の機能(5GHz(n/a)接続・最大300Mbps対応)に対応していて、有線LANはギガビット対応であること。また、ハブ接続によるポート拡張が可能なこと
  • LAN-GSW/PH:ギガビット対応で安いもの

という感じで、せっかく追加購入するんだから当面快適に使えるであろう物を選んだつもり。



設定は特に難しい点は無く、以下の通り設定しました。

1.AtermWL300NE-AG
  1. LANケーブルでPCと接続した状態で、らくらくスタートボタンを押しながら電源コードを挿し、AIRランプが赤く点灯するまで待つ
  2. DHCPサーバ機能が起動するので、PCのブラウザから”192.168.0.240”(初期値)へアクセスする
  3. ログインパスワードを設定し、ログイン後、基本設定から接続するネットワークの情報を入力する
  4. 設定を保存して再起動する
  5. LINK・AIRランプが点灯して、接続が完了したことを確認する
    ※LINKランプは5GHz接続時はオレンジ、2.4GHz接続時は緑に点灯する
    ※AIRランプは電波強度を示しています

2.LAN-GSW/PH
  1. AtermWL300NE-AGと接続して電源コードを挿す

AtermWL300NE-AG(NEC)とWZR-600DHP(Buffalo)の相性が若干不安でしたが、問題なく5GHz(n/a)で接続できました。
この状態でなら、QNAP NASは有線接続となるので、冒頭で示した不具合が全く起こることなく、IPアドレスを無線LAN親機側から設定しても問題ありません。

また、無線LAN子機接続時には利用できなかった、UPnPディスカバリサービス有効化によるAndroidアプリでのNAS自動接続機能がNexus 7で利用できるようにもなりました♪


結局、こういう感じに落ち着きました(; ̄ー ̄A



少し注意する点は、無線LAN親機(WZR-600DHP)の設定画面からはQNAPの接続が見えないということです。(無線LANで接続していないので当然ですが(; ̄ー ̄A)

ただ、IPアドレスを設定しているのは無線LAN親機なので、QNAPのMACアドレスに固定IPを割り振ることで、QNAPのIPを固定化することが可能になります。



今回の例に限らず、AtermWL300NE-AGのように、有線LAN環境を丸ごと無線LANにぶら下げることが出来るイーサーネットコンバータは結構おススメです♪
有線の方が安定するのは間違いないですし(∩´∀`)∩

2013/04/28

QNAP NAS導入作戦! ~Android向けアプリレビュー編~


今回は、QNAP専用純正Androidアプリについて簡単に使い勝手をレビューしたいと思います。

※画像データが多めです(; ̄ー ̄A


QNAP向け純正アプリは、現在3つGoogle Playマーケットにて公開中されています。
  1. Qfile - Google Play
  2. QMobile - Google Play
  3. Qmanager - Google Play



1.Qfile


このアプリは所謂ファイラーアプリで、QNAP内のデータをGUIで操作することが出来ます。



まずQNAPを登録するのですが、QNAPの各種管理から”UPnPディスカバリサービス”を有効にしておくと、同一LAN内でアプリがQNAPを自動認識することが出来ます。(左)

私の環境では出来たり出来なかったりするのですが、その場合は手動で登録してもOKです(右)


アプリにQNAPを登録すると、次回からはアプリ起動時に自動的にログインしてくれます(左)
UIはDropboxそっくりで結構使いやすいです(右)



画像データはサムネイル付きで表示してくれます(左)
また、画像タップすると画面全体で表示でき、スワイプ操作等で次のデータを表示できます(中・右)


音楽データも再生可能です。バックグラウンド再生や、同一フォルダ内での曲送りも出来ます
何故かアルバムアートを表示してくれません(; ̄ー ̄A


↑アイコンをタップすると、データをアップロードできます


SDカードからアップロードを選ぶと、ストレージ内を見ることが出来ます(左)
複数ファイルのアップロード/ダウンロードや、フォルダごとダウンロード(アップロードは不可)することも出来ます(右)


転送状態は≡みたいなアイコンから確認出来ます(左)
設定から、撮った写真データを任意のフォルダに自動アップロードすることも出来ます(右)


QfileはDropboxと同じようなイメージで利用することが出来ますが、アルバム再生にも対応していたり、複数ファイル/フォルダの同時アップロード/ダウンロードに対応するなどかなり使い勝手がいいです。

動画を再生する際は、Qfileアプリ内での再生に加え、他の動画再生アプリ(MX動画プレーヤー等)でも再生可能なので、かなり便利に利用することが出来ます。



2.QMobile




QMobileはDLNAクライアントの位置づけです。
QNAP各種設定→アプリケーション→DLNAメディアサーバを有効にし、各種設定を済ませることで利用可能になります(後日エントリで紹介します)


Qfileと同じく、サーバーを登録します(左)
アプリ起動時にサーバーをタップして選択します(右)※Qfileみたいに自動でログインはしてくれないです


ログイン直後のトップメニュー画面
写真をアップロードしたりすることもできます


メディアセンターを選択すると、DLNAサーバーで共有するよう設定したフォルダが表示されます


音楽データを再生すると、こんな感じ。
Google Playミュージックみたいにストリーミング再生/バックグラウンド再生可能です
※こちらはアルバムアート表示されます♪


動画データはサムネイルが表示されないので、タイトルを工夫する必要があります(左)
※.movファイル利用不可
画像データもサムネイル表示されないので(以下同文(右)
※一度に表示されるファイル数は50まで。それ以上は”さらに多くのファイルをロード”という部分をタップして読み込ませる必要があります


QMobileはDLNAクライアントとして、画像・動画・音楽の3種メディアをストリーミング再生できますが、対応していない形式(.mov等)があったり、サムネイル表示してくれなかったり、アプリ終了のために2回終了確認ダイアログ(ログアウト時/アプリ終了時)が出たり、もう一息使いにくい感じです。

フォルダ内に複数のデータが混在していても、画像/音楽/動画それぞれソートをかけることが出来るのですが、NASを管理する人がデータを混在させるとは少し考えにくいですし、あまり使う機会がない機能とも言える気がします。



3.Qmanager


QmanagerはQNAP管理用アプリで、ブラウザから各種設定にログインしなくても、一通りの設定や状態を把握することが出来ます。

※以下のスクショはPlayマーケットから転載しています。
※ちなみにバージョン1.2.1では日本語に対応しています。


ログイン後のQmanagerトップ画面


トップ画面のメーターをたっぷするとリソースモニタに移動します
システムの状態や、ディスク使用量、オンラインユーザー(IP付き)等を確認できます


ダウンロードステーションではダウンロードの状態を確認できます
今は利用していませんが、今後便利に使えそうな機能です♪


システムツールでは、利用可能な各サービスの状態や、接続している外部ストレージの確認、ネットワークリストの確認、NAS再起動・サーバー停止などが可能です

また、Backup Status(バックアップ状態)では、各種機能(NAS to NAS/Rsync/RTRR/外部でアイス)を用いたバックアップ状態を把握できます。




長くなりましたが、QNAPはファイラーアプリ・DLNAクライアントアプリ・システム管理アプリの3つを提供してくれています。
それぞれ不満点はあるものの、全体としてはかなり使いやすいものとなっていて、満足度は高いです。

Qfileで足りない部分はQManagerで、QManagerで足りない部分はQfileで補うことが出来るので、この点でもQNAPを選んでよかったなぁと思いました♪


 
Design by Free WordPress Themes | Bloggerized by Lasantha - Premium Blogger Themes | Blogger Templates