SSL-administration för Synology NAS

Översikt

Synology DiskStation Manager (DSM) har inbyggt stöd för SSL/TLS, vilket gör det enkelt att säkra åtkomsten till din NAS med ett betrott certifikat från FairSSL i stället för det självsignerade certifikat som medföljer vid installationen. Denna guide täcker både DSM 6 och DSM 7.

Förutsättningar

• Synology NAS med DSM 6.0+ eller DSM 7.0+
• Administratörskonto på NAS-enheten
• Ett domännamn som pekar på din NAS (t.ex. via Synology DDNS eller en egen domän)
• Ett DV-certifikat från FairSSL (räcker för de flesta användningsområden för en NAS)

Steg 1: Generera CSR i DSM

DSM 7:

1. Gå till Kontrollpanel → Säkerhet → Certifikat.



2. Klicka på Lägg till.



3. Välj Lägg till ett nytt certifikat → Nästa.
4. Välj Skapa begäran om certifikatsignering (CSR) → Nästa.
5. Fyll i följande:
   • Privat nyckel: Generera ny (RSA 2048)
   • Common Name: Ditt fullständiga domännamn (t.ex. nas.exempel.se)
   • E-post, Organisation, Ort, Land: Fyll i relevant information
   • Alternativt namn för ämne (SAN): Lägg till eventuella ytterligare domäner
6. Klicka på Nästa. DSM genererar och laddar ner en .csr-fil och en .key-fil.

Spara den privata nyckeln (.key) på en säker plats. Du kommer att behöva den vid importen.

DSM 6: Samma procedur, men sökvägen är Kontrollpanel → Säkerhet → Certifikat → Skapa certifikat → Skapa begäran om certifikatsignering (CSR).

Steg 2: Beställ certifikatet

1. Logga in på din kontrollpanel hos FairSSL.
2. Välj ett DV-certifikat (t.ex. RapidSSL, Sectigo PositiveSSL eller GlobalSign AlphaSSL).
3. Klistra in CSR-texten från filen du laddade ner.



4. Genomför domänvalideringen (via e-post, DNS-post eller HTTP-fil).

Steg 3: Importera certifikatet i DSM

När FairSSL har utfärdat certifikatet:

1. Gå till Kontrollpanel → Säkerhet → Certifikat.
2. Klicka på Lägg till → Lägg till ett nytt certifikat → Nästa.
3. Välj Importera certifikat → Nästa.
4. Ladda upp följande:
   • Privat nyckel: .key-filen från Steg 1
   • Certifikat: .crt-filen från FairSSL
   • Mellanliggande certifikat: CA Bundle-filen från FairSSL
5. Markera Ange som standardcertifikat om du vill använda det som förvalt certifikat.
6. Klicka på OK.

Steg 4: Koppla certifikatet till tjänster

I DSM kan du använda olika certifikat för olika tjänster:

1. Gå till Kontrollpanel → Säkerhet → Certifikat.
2. Klicka på Inställningar (DSM 7) eller Konfigurera (DSM 6).
3. Välj önskat certifikat för varje enskild tjänst (DSM, Web Station, MailPlus Server, VPN Server, etc.).
4. Klicka på OK.

Vanliga tjänster som använder SSL:

• System som standard: DSM-webbgränssnittet (port 5001)
• Web Station: Om du driftar webbplatser på din NAS
• MailPlus Server: För SMTP/IMAP/POP3 med TLS
• VPN Server: OpenVPN eller L2TP/IPSec
• Synology Drive Server: För filsynkronisering

Steg 5: Konfigurera DDNS med SSL (valfritt)

Om du använder Synology DDNS:

1. Gå till Kontrollpanel → Extern åtkomst → DDNS.
2. Klicka på Lägg till och konfigurera en DDNS-leverantör (Synology, No-IP, DynDNS, etc.).
3. När DDNS är konfigurerat kan du använda ditt domännamn (t.ex. minnas.synology.me) med ett matchande certifikat.

Tips: Synology erbjuder gratis Let's Encrypt-certifikat för *.synology.me-domäner. Om du däremot använder en egen domän ger ett certifikat från FairSSL längre giltighetstid och möjligheten till OV/EV, vilket ger mer flexibilitet.

Steg 6: Förnyelse och underhåll

• DSM 7 med Let's Encrypt: Automatisk förnyelse var 90:e dag (kräver att port 80 är öppen).
• FairSSL-certifikat: Giltiga i 1 år. Du får en påminnelse från FairSSL innan certifikatet löper ut. Genomför då ett nytt omutfärdande via Steg 3.
• Backup: Exportera ditt certifikat och din nyckel från DSM (Certifikat → markera certifikatet → Exportera) och förvara dem på en säker plats.

Felsökning

• "Certifikatet är inte betrott": Det mellanliggande certifikatet (Intermediate) saknas. Ladda upp det tillsammans med certifikatet i Steg 3.
• Kan inte ansluta via port 5001: Kontrollera brandväggen i DSM under Kontrollpanel → Säkerhet → Brandvägg. Lägg till en regel som tillåter trafik på port 5001.
• Certifikatet visas inte för en tjänst: Gå till Certifikat → Inställningar och koppla certifikatet explicit till den aktuella tjänsten.
• DDNS-uppdateringen misslyckas: Kontrollera att din router vidarebefordrar port 80 och 443 till NAS-enhetens interna IP-adress.