DSM-Firewall auf dem Synology NAS: Ports für Docker-Container freigeben

Die Weboberfläche eines Containers lädt nicht, obwohl der Container läuft: Auf dem Synology NAS liegt die Ursache häufig an einer fehlenden Regel in der DSM-Firewall. Diese Anleitung zeigt, wie Sie die Firewall so einrichten, dass DSM erreichbar bleibt, einen Container-Port nur für das lokale Netz freigeben und jede Änderung prüfen.

Voraussetzungen

1. Synology NAS mit DSM 7.1 oder neuer (diese Anleitung bezieht sich auf DSM 7.2 bis 7.4)
2. Administratorzugang zu DSM
3. Physischer Zugang zum NAS (Reset-Knopf für den Notfall)
4. Adresse Ihres lokalen Subnetzes, z. B. 192.168.1.0/24 (im Router oder unter Systemsteuerung → Netzwerk → Netzwerkschnittstelle ablesen)
5. Port des Containers, den Sie freigeben möchten, z. B. 9443/TCP für Portainer

Schritt 1: Sie prüfen den Firewall-Status

Öffnen Sie in DSM Systemsteuerung → Sicherheit → Firewall. Setzen Sie den Haken „Firewall aktivieren“ noch nicht, falls er fehlt: Sie aktivieren die Firewall erst in Schritt 5 zusammen mit den fertigen Regeln.

Unter Firewall-Profil steht das aktive Profil (standardmäßig „default“). Ein Profil enthält Regeln für alle Netzwerkschnittstellen; im Regeleditor wählen Sie oben rechts, ob eine Regel für „Alle Schnittstellen“ oder nur für eine bestimmte Schnittstelle (z. B. LAN 1, LAN 2, PPPoE) gilt.

Verifizieren: Sie sehen den Status der Firewall und das aktive Profil. Unter Systemsteuerung → Netzwerk → Netzwerkschnittstelle erkennen Sie, über welche Schnittstelle Sie gerade auf DSM zugreifen.

Schritt 2: Sie sichern den DSM-Zugang (Ports 5000 und 5001)

Die erste Regel muss den Zugriff auf DSM selbst erlauben. Fehlt sie und die Standardaktion lautet „Verweigern“, erreichen Sie DSM nicht mehr.

Klicken Sie auf „Regeln bearbeiten“, wählen Sie oben rechts „Alle Schnittstellen“ und dann „Erstellen“:

1. Ports: Benutzerdefiniert → Protokoll TCP → Ports 5000,5001 (bei geändertem DSM-Port Ihre Portnummern)
2. Quell-IP: Spezifische IP → Subnetz, z. B. IP 192.168.1.0, Subnetzmaske 255.255.255.0
3. Aktion: Zulassen

Ziehen Sie die Regel per Drag-and-drop an die erste Position der Liste.

Verifizieren: Die Regel für 5000/5001 steht an Position 1, Aktion „Zulassen“, Quell-IP Ihr Subnetz.

Schritt 3: Sie legen die Regel für den Container-Port an

Freigegeben wird der Host-Port, also der linke Wert in der ports-Zeile des Compose-Projekts. Beispiel:

services:
  portainer:
    image: portainer/portainer-ce:lts
    container_name: portainer
    restart: unless-stopped
    ports:
      - "9443:9443"
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - /volume1/docker/portainer/data:/data

Klicken Sie erneut auf „Erstellen“:

1. Ports: Benutzerdefiniert → TCP (oder „Beide“, wenn der Container auch UDP nutzt) → 9443
2. Quell-IP: Spezifische IP → Ihr Subnetz wie in Schritt 2
3. Aktion: Zulassen

Die Reihenfolge lautet danach:

1. Zulassen TCP 5000, 5001 aus dem lokalen Subnetz
2. Zulassen TCP 9443 aus dem lokalen Subnetz
3. weitere Zulassen-Regeln
4. eigene Verweigern-Regeln (falls vorhanden) ganz unten

Wie Sie ein Compose-Projekt im Container Manager anlegen, zeigt die Anleitung Container Manager auf dem Synology NAS: Docker-Compose-Projekt anlegen, starten und aktualisieren.

Verifizieren: Die Liste enthält mindestens zwei Zulassen-Regeln, die DSM-Regel steht oben.

Schritt 4: Sie blockieren allen übrigen Verkehr (empfohlen)

Unter der Regelliste legen Sie fest, was mit Verbindungen geschieht, auf die keine Regel passt: „Zugriff zulassen“ oder „Zugriff verweigern“. Wählen Sie „Zugriff verweigern“. Damit ist nur erreichbar, was Sie ausdrücklich freigegeben haben. Eine eigene Regel „Alle Ports, alle IPs, Verweigern“ ist dafür nicht nötig; legen Sie sie trotzdem an, muss sie ganz unten stehen, sonst blockiert sie die Regeln darunter.

Beachten Sie die Priorität laut Synology: Zuerst gelten Regeln unter „Alle Schnittstellen“, dann Regeln der jeweiligen Schnittstelle, zuletzt deren Standardaktion. Setzen Sie die Standardaktion daher für jede genutzte Schnittstelle.

Verifizieren: Unter der Regelliste ist für die genutzte Schnittstelle „Zugriff verweigern“ gewählt, die Zulassen-Regeln aus Schritt 2 und 3 stehen darüber.

Schritt 5: Sie aktivieren die Firewall und übernehmen die Regeln

Schließen Sie den Regeleditor mit „OK“. Setzen Sie in der Firewall-Ansicht den Haken „Firewall aktivieren“ und klicken Sie auf „Übernehmen“. „OK“ im Regeleditor speichert nur; aktiv werden die Regeln erst mit „Übernehmen“.

Verifizieren: DSM meldet keinen Fehler, „Firewall aktivieren“ ist gesetzt. Laden Sie DSM im Browser neu; die Oberfläche bleibt erreichbar.

Schritt 6: Sie testen die Freigabe

Testen Sie von einem anderen Gerät im lokalen Netz über die IP-Adresse des NAS, nicht über QuickConnect. QuickConnect leitet Verbindungen über Synology-Server und eine vom NAS aufgebaute Verbindung; ein erfolgreicher Zugriff darüber sagt nichts über Ihre Portfreigaben aus.

Windows (PowerShell):

Test-NetConnection -ComputerName 192.168.1.x -Port 9443

Bei offenem Port erscheint:

TcpTestSucceeded : True

Linux / macOS:

nc -zv 192.168.1.x 9443

Bei offenem Port meldet nc „succeeded“ bzw. „open“.

Rufen Sie anschließend https://192.168.1.x:9443 im Browser auf. Eine Zertifikatswarnung ist bei selbstsignierten Zertifikaten normal. Ein Timeout deutet auf die Firewall, „Connection refused“ auf den Container. Betreiben Sie einen Reverse Proxy, benötigen Sie zusätzliche Freigaben, siehe Nginx Proxy Manager auf der Synology mit Container Manager einrichten.

Verifizieren: TcpTestSucceeded : True bzw. „succeeded“, der Browser zeigt die Container-Oberfläche.

Schritt 7: Sie geben den Docker-Netzbereich frei (optional)

Mit der Standardaktion „Zugriff verweigern“ kann die Firewall auch Verbindungen aus Containern zu Diensten des NAS blockieren, etwa zu einer Datenbank oder DSM-Diensten auf dem Host. Docker vergibt Bridge-Netze standardmäßig aus 172.17.0.0/16 und weiteren Bereichen innerhalb von 172.16.0.0/12. Brauchen Container Zugriff auf Host-Dienste, legen Sie eine Regel an:

1. Ports: gezielt die benötigten Ports (oder Alle)
2. Quell-IP: Subnetz 172.16.0.0, Maske 255.240.0.0
3. Aktion: Zulassen

Verifizieren: Der Container erreicht den Host-Dienst wieder, z. B. per SSH mit sudo docker exec -it <container> nc -zv 172.17.0.1 <port> (sofern nc im Container vorhanden ist) oder im Container-Log.

Typische Fehler und Lösungen

1. Timeout, obwohl der Container läuft: Regel fehlt, steht unter einer Verweigern-Regel oder gilt für die falsche Schnittstelle. Reihenfolge prüfen, erneut „Übernehmen“. Hilft das nicht, Container Manager im Paket-Zentrum stoppen und starten, damit Docker seine Netzwerkregeln neu setzt.
2. „Connection refused“: Die Firewall lässt durch, aber der Container lauscht nicht auf dem Host-Port. ports: im Compose-Projekt und Container-Status prüfen.
3. Ausgesperrt: Regel für 5000/5001 fehlt oder steht zu weit unten. Mode-1-Reset: Reset-Knopf etwa 4 Sekunden drücken, bis ein Piepton ertönt, dann loslassen. Die Firewall-Regeln werden deaktiviert, das Admin-Passwort und die Netzwerkeinstellungen (DHCP) zurückgesetzt, Daten und Pakete bleiben erhalten. Anschließend das NAS über find.synology.com oder Synology Assistant suchen, mit admin und leerem Passwort anmelden und ein neues Passwort setzen. Die Zwei-Faktor-Authentifizierung des Admin-Kontos ist danach deaktiviert und muss neu eingerichtet werden.
4. Link Aggregation oder mehrere Ports im selben Subnetz: Laut Synology greifen Regeln dann unter Umständen nicht wie erwartet. Regeln unter „Alle Schnittstellen“ anlegen.
5. Container nach DSM-Update nicht erreichbar: Regelliste, Reihenfolge und aktives Profil prüfen und erneut „Übernehmen“ klicken; anschließend Container Manager neu starten.
6. Subnetzmaske zu weit: 255.255.0.0 gibt ein /16-Netz frei statt /24. Maske gegen Ihr tatsächliches Subnetz prüfen.
7. Nur TCP freigegeben: Braucht der Container UDP, funktionieren Teile nicht. Protokoll „Beide“ wählen oder eine UDP-Regel ergänzen.

Häufige Fragen

Muss ich die DSM-Firewall im Heimnetz überhaupt aktivieren?

Ohne Portweiterleitung im Router ist sie eine zusätzliche Schutzschicht gegen Geräte im eigenen Netz. Sobald Ports von außen erreichbar sind, gehört die Standardaktion „Zugriff verweigern“ mit gezielten Freigaben dazu.

Warum lädt die Web-UI meines Containers nicht, obwohl der Container läuft?

Prüfen Sie der Reihe nach: Port in ports: gemappt, Zulassen-Regel für genau diesen Host-Port oberhalb jeder Verweigern-Regel, „Übernehmen“ geklickt. Details stehen unter Typische Fehler.

Ich habe mich ausgesperrt, was jetzt?

Führen Sie einen Mode-1-Reset durch: Reset-Knopf etwa 4 Sekunden drücken, bis ein Piepton ertönt. Firewall-Regeln werden deaktiviert, Admin-Passwort und Netzwerkeinstellungen zurückgesetzt, Daten und Pakete bleiben erhalten. Die einzelnen Schritte stehen unter Typische Fehler.

Reicht es, die Quell-IP auf „Alle“ zu lassen?

Technisch ja, aber bei einer Portweiterleitung im Router ist der Dienst dann aus dem Internet erreichbar. Beschränken Sie die Quell-IP auf das lokale Subnetz.

Welche Ports muss ich für DSM selbst freigeben?

5000 (HTTP) und 5001 (HTTPS), bei geändertem Port Ihre Werte. Für SSH zusätzlich Port 22, siehe SSH auf dem Synology NAS aktivieren und verbinden. Für Dateifreigaben (SMB, 445/TCP) oder weitere Pakete wählen Sie unter Ports „Aus einer Liste integrierter Anwendungen auswählen“.

Wie teste ich, ob ein Port wirklich offen ist?

Mit Test-NetConnection -ComputerName 192.168.1.x -Port 9443 (PowerShell) oder nc -zv 192.168.1.x 9443 (Linux/macOS) von einem anderen Gerät. Ein Timeout bedeutet, dass die Firewall blockiert.

QuickConnect funktioniert, heißt das, der Port ist offen?

Nein. QuickConnect läuft über Synology-Server und eine vom NAS aufgebaute Verbindung. Testen Sie immer direkt über die IP-Adresse.

Fazit

Entscheidend sind Reihenfolge und Abschluss: DSM-Ports zuerst, dann Container-Ports mit Quell-IP auf das lokale Subnetz, Standardaktion „Zugriff verweigern“, zum Schluss „Übernehmen“. Nach jeder Änderung bestätigt Test-NetConnection in Sekunden, ob der Port erreichbar ist.

Weiterführende Anleitungen und Quellen

1. Container Manager auf dem Synology NAS: Docker-Compose-Projekt anlegen, starten und aktualisieren
2. SSH auf dem Synology NAS aktivieren und verbinden: PuTTY und Terminal
3. Nginx Proxy Manager auf der Synology mit Container Manager einrichten: Reverse Proxy und SSL
4. Portainer auf Synology NAS installieren: Schritt-für-Schritt-Anleitung für DSM 7.2

Quellen: Synology Knowledge Center, DSM Firewall (kb.synology.com); Synology Knowledge Center, How to reset my Synology NAS (kb.synology.com).