UGREEN NAS SSH sicher einrichten: Schlüssel, Port und Algorithmen

SSH öffnet die Kommandozeile der UGREEN NAS. Damit prüfen Sie Festplatten, lesen Protokolle, kopieren große Datenmengen mit rsync oder richten Dinge ein, für die es in der Weboberfläche keinen Schalter gibt. Weil SSH direkten Zugriff auf das System gibt, gehört es gut abgesichert. Diese Anleitung zeigt Schritt für Schritt, wie Sie SSH in UGOS Pro einschalten, sicher einstellen, sich von Windows, Mac und Linux anmelden und statt des Passworts einen SSH-Schlüssel verwenden.

Die Abläufe folgen den Handbüchern von UGREEN, die Screenshots und Ausgaben stammen von einer UGREEN DXP4800 Pro mit UGOS Pro 1.21.0.0190. Benutzername und IP-Adresse sind durch die Beispiele benutzer und 192.168.1.10 ersetzt.

Voraussetzungen

• Ein Konto mit Administratorrechten, siehe Teil 31
• Ein Terminal: PowerShell unter Windows, Terminal unter macOS oder Linux
• Ein Rechner im selben Netz wie die NAS
• Etwa 15 Minuten

Schritt 1: SSH aktivieren, Telnet ausschalten

Öffnen Sie die Systemsteuerung und klicken Sie auf Terminal.

Setzen Sie bei SSH den Haken bei Aktivieren und klicken Sie auf Übernehmen. Der Standardport ist laut UGREEN 22. Telnet bleibt aus, denn es überträgt alles unverschlüsselt, auch das Passwort.

UGREEN weist darauf hin, dass SSH Sicherheitsrisiken mit sich bringen kann, und empfiehlt, den Dienst nur bei Bedarf einzuschalten und nicht direkt aus dem Internet erreichbar zu machen. Die Beschreibung auf der Seite empfiehlt außerdem ein sicheres Passwort und die automatische Blockierung aus Teil 31.

UGREEN empfiehlt auch, den Standardport zu ändern. Ein anderer Port senkt die Zahl automatisierter Anmeldeversuche, ersetzt aber keine der anderen Maßnahmen. Wenn Sie ihn ändern, geben Sie ihn beim Verbinden mit -p an.

Verifizieren: SSH ist aktiviert, Telnet nicht.

Schritt 2: SSH automatisch abschalten lassen

Neben „Automatisch deaktivieren“ wählen Sie, wann die NAS den SSH-Dienst von selbst wieder ausschaltet.

Zur Wahl stehen nach 30 Minuten, 1, 2, 3 oder 6 Stunden sowie Nie. Das kleine Info-Symbol daneben erklärt den Zweck.

Laut Hinweis wird der SSH-Dienst zum Schutz des Geräts nach Ablauf der Gültigkeitsdauer automatisch deaktiviert. Auf unserer NAS steht der Wert auf Nie, weil Sicherungsskripte regelmäßig per SSH zugreifen. Wer SSH nur ab und zu für eine Wartung braucht, wählt eine Stunde. Dann bleibt der Zugang nicht versehentlich dauerhaft offen.

Verifizieren: Der Wert passt dazu, wie oft Sie SSH wirklich brauchen.

Schritt 3: Algorithmen und Zugriff einschränken

Klicken Sie unter SSH auf Erweitert.

• Verschlüsselungsalgorithmus: Bei uns Hoch, siehe nächstes Bild.
• Zugriffsbeschränkung: „Nur lokalen Netzwerkzugriff zulassen“. Standardmäßig ist die Option aus. Setzen Sie den Haken, wenn SSH nur aus dem eigenen Netz erreichbar sein soll. Das ist für fast alle Haushalte und Büros die richtige Wahl.
• SFTP-Dienst: Erlaubt Dateiübertragungen über SSH, siehe Teil 37.

Zur Wahl stehen Niedrig und Hoch. Laut UGREEN erlaubt Hoch nur moderne Verfahren mit Perfect Forward Secrecy und SHA-2 und passt zu allen Programmen ab OpenSSH 7.4. Niedrig lässt zusätzlich alte Verfahren wie 3DES, MD5 und SHA-1 zu, mit dem Risiko SWEET32. UGREEN empfiehlt Hoch als Standard und Niedrig nur vorübergehend, wenn ein sehr altes Gerät mit „keiner passenden Verschlüsselung“ scheitert. Klicken Sie auf Speichern.

Verifizieren: Der Algorithmus steht auf Hoch, und der lokale Zugriff ist eingeschränkt.

Schritt 4: Mit SSH anmelden

Öffnen Sie unter Windows die PowerShell, unter macOS oder Linux das Terminal. Laut UGREEN lautet der Befehl:

ssh benutzer@192.168.1.10 -p 22

Ersetzen Sie benutzer durch Ihr Administratorkonto, die Adresse durch die Ihrer NAS und 22 durch Ihren Port. Beim ersten Mal fragt SSH, ob Sie dem Schlüssel des Servers vertrauen. Bestätigen Sie mit yes, wenn die Adresse stimmt. Danach geben Sie das Passwort ein. Mit Standardkonten klappt das nicht, sie haben auf der NAS keine Anmelde-Shell, siehe Teil 37.

Für Arbeiten mit Root-Rechten geben Sie laut UGREEN nach der Anmeldung diesen Befehl ein und bestätigen mit Ihrem Passwort. Das NAS-Passwort fragt sudo auch dann ab, wenn Sie sich per Schlüssel angemeldet haben:

sudo -i

Mit der Option -v zeigt SSH, welche Verfahren es aushandelt. Auf unserer NAS sieht das so aus:

debug1: Remote protocol version 2.0, remote software version OpenSSH_9.2p1 Debian-2+deb12u6
debug1: kex: algorithm: curve25519-sha256
debug1: kex: host key algorithm: ssh-ed25519
debug1: kex: server->client cipher: aes128-gcm@openssh.com MAC: <implicit> compression: none
Authenticated to 192.168.1.10 (:22) using "publickey".

Die NAS arbeitet also mit OpenSSH 9.2 auf Debian 12, dem Schlüsseltausch curve25519 und der Verschlüsselung aes128-gcm. Das sind genau die starken Verfahren, die UGREEN für die Stufe Hoch nennt. Die letzte Zeile zeigt außerdem, dass die Anmeldung per Schlüssel statt Passwort lief. Bei uns ist der Schlüssel aus Schritt 5 schon eingerichtet.

Verifizieren: Nach der Anmeldung zeigt die Eingabeaufforderung den Namen der NAS.

Schritt 5: SSH-Schlüssel statt Passwort

Ein SSH-Schlüssel ist sicherer als ein Passwort und erspart das Tippen. Sie erzeugen auf Ihrem Rechner ein Schlüsselpaar, den öffentlichen Teil legen Sie auf die NAS. Auf unserer NAS liegt er in der Datei .ssh/authorized_keys im persönlichen Ordner des Administratorkontos, also unter /home/benutzer.

1. Schlüssel erzeugen, unter macOS, Linux und Windows gleich:

ssh-keygen -t ed25519

Bestätigen Sie den Speicherort und vergeben Sie eine Passphrase. Sie schützt den Schlüssel, falls jemand Ihren Rechner in die Hände bekommt.

1. Öffentlichen Schlüssel auf die NAS kopieren, unter macOS und Linux:

ssh-copy-id benutzer@192.168.1.10

Unter Windows gibt es ssh-copy-id nicht. Dort erledigt diese Zeile in der PowerShell dasselbe. Sie legt den Ordner .ssh bei Bedarf an, hängt den Schlüssel an und setzt die Rechte, ohne die SSH den Schlüssel ablehnt:

type $env:USERPROFILE\.ssh\id_ed25519.pub | ssh benutzer@192.168.1.10 "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

1. Testen: Ein neues ssh benutzer@192.168.1.10 fragt jetzt nach der Passphrase des Schlüssels oder gar nicht, wenn ein Schlüsselagent sie kennt, aber nicht mehr nach dem NAS-Passwort.

Ein Hinweis: UGOS verwaltet die SSH-Konfiguration selbst, die Einstellungen aus der Weboberfläche landen in Dateien unter /etc/ssh. UGREEN rät, unnötige Änderungen an der Systemkonfiguration zu vermeiden. Benutzer und Gruppen sollen laut UGREEN nicht per Befehl geändert werden, sonst passen sie nicht mehr zur Weboberfläche. Den eigenen Schlüssel in authorized_keys einzutragen ist davon nicht betroffen. SSH-Einstellungen ändern Sie über die Systemsteuerung.

Verifizieren: In der Ausgabe von ssh -v steht „Authenticated … using "publickey"“.

Schritt 6: Erste sinnvolle Befehle

Für den Einstieg eignen sich Befehle, die nur lesen und nichts verändern. So sehen Sie zum Beispiel die Belegung der Volumes:

df -h /volume1 /volume2

Auf unserer NAS liefert das:

Filesystem      Size  Used Avail Use% Mounted on
/dev/mapper/…    44T   19T   25T  44% /volume1
/dev/mapper/…   917G  208G  702G  23% /volume2

Den Zustand der RAID-Verbünde zeigt die Datei /proc/mdstat:

cat /proc/mdstat

md2 : active raid1 nvme2n1p2[0] nvme1n1p2[1]
      960629760 blocks super 1.2 [2/2] [UU]
md1 : active raid5 sda2[0] sdd2[3] sdb2[2] sdc2[1]
      46829239296 blocks super 1.2 level 5, 64k chunk, algorithm 2 [4/4] [UUUU]

Bei uns sind das ein RAID 5 aus vier Festplatten und ein RAID 1 aus zwei NVMe-SSDs. [UUUU] bedeutet, dass alle Laufwerke im Verbund arbeiten. Fehlt ein Laufwerk, steht an seiner Stelle ein Unterstrich. Mehr dazu in Teil 16. Mit uptime sehen Sie außerdem, wie lange die NAS läuft und wie stark sie gerade ausgelastet ist. Die NAS läuft auf Debian 12, deshalb funktionieren die üblichen Linux-Befehle.

Verifizieren: Die Befehle zeigen Werte, die ungefähr zu den Angaben in der App Speicher passen. Die Einheiten können leicht abweichen.

Typische Fehler

Symptom	Ursache und Lösung
Connection refused	SSH aus, automatisch abgeschaltet oder anderer Port. Unter Terminal prüfen, Port mit -p angeben.
Permission denied	Falsches Passwort oder falscher Benutzername. Eingaben prüfen.
Verbindung wird sofort getrennt	Standardkonto ohne Anmelde-Shell. Administratorkonto verwenden.
no matching cipher found oder no matching key exchange method found	Sehr altes Programm. Programm aktualisieren, Niedrig nur vorübergehend.
Warnung REMOTE HOST IDENTIFICATION HAS CHANGED	Neuer Serverschlüssel. Nur wenn Sie die NAS neu eingerichtet haben, den alten Eintrag mit ssh-keygen -R 192.168.1.10 entfernen, bei anderem Port mit ssh-keygen -R "[192.168.1.10]:2222". Sonst nicht verbinden.
Nach mehreren Fehlversuchen keine Verbindung	IP-Blockierung aus Teil 31 hat gegriffen. Von einem anderen Gerät aus unter Blockierungsverwaltung freigeben, die gesperrte Adresse erreicht meist auch die Weboberfläche nicht.

Häufige Fragen

Wie spare ich mir das Tippen von Name und Adresse?

Unter macOS, Linux und Windows können Sie in der Datei config im Ordner .ssh Ihres Benutzerprofils einen Kurznamen anlegen, unter Windows also C:\Users\Name\.ssh\config, ohne Dateiendung wie .txt. Danach genügt der Befehl ssh nas.

Host nas
    HostName 192.168.1.10
    User benutzer
    Port 22
    IdentityFile ~/.ssh/id_ed25519

So arbeiten auch wir: Unsere Befehle in dieser Serie beginnen deshalb oft einfach mit ssh nas. Eine Sitzung beenden Sie mit exit.

Kann ich mich direkt als root anmelden?

Nein. Auf unserer NAS steht in der SSH-Konfiguration PermitRootLogin no. Sie melden sich mit einem Administratorkonto an und wechseln mit sudo -i zu root, so wie UGREEN es beschreibt.

Sollte ich SSH aus dem Internet erreichbar machen?

Nein. Offene SSH-Ports werden ständig automatisiert angegriffen. Für Wartung von unterwegs nutzen Sie einen VPN-Zugang, den spätere Teile dieser Serie behandeln, und schalten „Nur lokalen Netzwerkzugriff zulassen“ ein.

Was mache ich mit Root-Rechten am besten nicht?

Ändern Sie keine Benutzer, Gruppen, Rechte oder Netzwerkeinstellungen per Befehl. Das gehört in die Weboberfläche, sonst laufen System und Oberfläche auseinander. Lesen, prüfen und Daten kopieren ist dagegen unkritisch, Kopieren am besten ohne sudo, sonst gehören die Kopien root.

Fazit

SSH macht die UGREEN NAS für Fortgeschrittene erst richtig nützlich. Mit Algorithmus Hoch, Zugriff nur aus dem lokalen Netz, automatischer Abschaltung bei seltener Nutzung und einem SSH-Schlüssel statt Passwort bleibt der Zugang dabei sicher.

Weiterführende Anleitungen und Quellen

• Teil 31: Admin-Konto absichern
• Teil 37: SFTP und FTP
• Linux- und Docker-Grundlagen
• Teil 16: Festplatte tauschen, RAID reparieren
• UGREEN: SSH mit Root-Berechtigungen
• UGREEN: Rechteprobleme bei NFS, UID und GID
• UGREEN: SSH-Verschlüsselungsalgorithmen