Der FRITZ!Smart Taster

Den FRITZ!Smart-Taster verwenden, um ein Synology-NAS herunterzufahren? Das ist möglich. Wer es noch nicht kennt, dem erkläre ich die Vorgehensweise. Das Niveau ist etwas anspruchsvoller. Es funktioniert auch mit anderen NAS-Systemen, allerdings unterscheiden sich die Konfigurationen je nach Hersteller.

 

Ich gehe davon aus, dass ihr bereits eine FRITZ!Box und einen FRITZ!Smart-Taster verwendet. Die installierte FRITZ!OS-Version sollte mindestens die 7.50 sein, da die benötigten Option vorher nicht unterstützt werden. Außerdem habt ihr den Taster bereits mit der FRITZ!Box verbunden. Dann los!

 

In den Einstellungen unter dem Menüpunkt „Automatisierung“ zeigt die FRITZ!Box eine Seite an, auf der ihr die Konfiguration von „Ereignissen“ für die verbundenen FRITZ!Smart-Geräte vornehmen könnt.

 

Auf der Seite findet ihr die Optionen „Szenario oder Vorlage erstellen“ und „Routine erstellen“. Seit FRITZ!OS 8 ist die Seite anders gestaltet, aber es werden dieselben Optionen angeboten. Wir benötigen die Option „Szenario oder Vorlage erstellen“.

 

Darüber erstellen wir eine „Vorlage“ mit den „Komfortfunktionen“. Die „Komfortfunktionen“ werden euch in einer Auswahlliste (Auswahlbox/Optionenbox) angezeigt. Ganz unten findet ihr den Punkt „URL aufrufen“ – das benötigen wir.

 

Als nächstes fragt die FRITZ!Box nach der „URL“, die bei diesem Ereignis aufgerufen werden soll. Diese „URL“ definiert einen Zugriffspunkt, der über das Netzwerk oder sogar über das Internet erreichbar ist. Für die Übertragung werden wir das Protokoll „HTTP“ verwenden.

 

Unser Zugriffspunkt wäre natürlich das Synology NAS. Deshalb benötigt ihr für die „URL“ die IP-Adresse eures Synology NAS. Die IP-Adresse könnt ihr in der FRITZ!Box über den Menüpunkt „Heimnetz“ oder auf dem Synology NAS direkt mit dem Widget auf dem Desktop einsehen.

 

Aus der IP-Adresse konstruieren wir die „URL“. Bei mir sieht diese etwa so aus: „http://192.168.178.45/shutdown/shutdown.php“. Übernehmt die „URL“ genau so, aber ersetzt meine IP-Adresse durch eure.

 

Die „Erweiterten Einstellungen“ brauchen wir nicht. Darüber ließe sich zum Beispiel eine umfangreiche Datenübertragung realisieren. Möchtet ihr etwas mitübertragen oder ähnliche Funktionen nutzen, müsst ihr ggf. die „Methode“ anpassen. Die Standardmethode „GET“ dient eigentlich nur zum Abrufen von Daten, kann aber ebenfalls Daten in der URL mitsenden. Wir verwenden auf jeden Fall die Methode „GET“.

 

So! Jetzt haben wir eine Vorlage erstellt, die wir noch auf den Taster anwenden müssen. Unter „Smarthome → Geräte und Gruppen“ in der FRITZ!Box wird euch der verbundene Taster mit einem Bleistift-Symbol angezeigt. Dieses Symbol müsst ihr anklicken.

 

Daraufhin werden euch unten auf der Seite die Optionen „Anzeige und Tastenbelegung“ angezeigt. Ihr klickt auf eine Anzeige und weist einer Taste die erstellte Vorlage zu. Fertig! Danach geht es zum NAS, da die Funktion so noch nicht funktioniert.

 

Auf dem NAS benötigt ihr die Pakete „WebStation“, „File Station“ und „Text Editor“. Diese könnt ihr über den Paketmanager installieren, falls sie noch nicht vorhanden sind. Außerdem muss der Fernzugriff in den Einstellungen aktiviert sein, da wir auf die Konfigurationsdateien des NAS zugreifen müssen – das funktioniert am einfachsten über die Einstellung „Fernzugriff“. Den Fernzugriff aktiviert ihr in den Einstellungen unter „Terminal & SNMP“ und aktiviert dort die Option „SSH“. Der Standardport hierfür ist „22“.

 

Jetzt startet ihr die „Webstation“, wählt den Menüpunkt „Webdienst“ aus und erstellt eine „Website für native Skriptsprachen“ mit dem Dienst „PHP“. Verwendet dabei einen aussagekräftigen Namen, z. B. „shutdown“, und als Dokument-Root wählt ihr den Ordner „web“ aus, der automatisch angelegt worden sein sollte.

Danach gehen wir auf den Menüpunkt „Webportal“ (Schließlich wollen wir mit HTTP/GET ein Ereignis auslösen). Dort muss ein „Webdienstportal“ erstellt werden. In der Konfiguration wird als Dienst der erstellte Webdienst ausgewählt. Als „Portaltyp“ empfiehlt sich „Alias“. Mit diesem könnt ihr einen Namen vergeben, über den der Dienst im Netzwerk und schließlich von der FRITZ!Box abgerufen werden kann. Zudem wurde die „URL“ in der FRITZ!Box von uns mit einem „Alias“ versehen. Als „Alias“ wurde „shutdown“ verwendet.

 

Jetzt habt ihr bereits einen funktionierenden Webdienst. Ihr könnt diesen über jeden Webbrowser in eurem Netzwerk aufrufen – natürlich auch mit dem FRITZ!Taster. Die URL setzt sich dabei entsprechend der von euch konfigurierten Adresse zusammen. Bei mir wäre es beispielsweise

 

„http://192.168.178.45/shutdown/shutdown.php“.

 

Allerdings funktioniert das noch nicht vollständig: Statt der gewünschten Seite erscheint eine Fehlermeldung wie „404“ oder „502“. Irgendein ein Fehler würde jedenfalls übertragen werden. Ihr könnt das ganz einfach ausprobieren, wenn ihr die URL in einem Webbrowser oder mit „curl“ aufruft. Der Grund dafür ist, dass die Datei „shutdown.php“ noch nicht vorhanden ist. Die FRITZ!Box würde diesen Fehler übrigens nicht protokollieren.

 

Die Datei „shutdown.php“ erstellen wir mit dem „Text Editor“ direkt auf dem NAS. Kopiert einfach diesen Text rein:

 

<?php

exec('sudo /sbin/poweroff > /dev/null 2>&1 &');

?>

 

Was bedeutet dieser Text? Es handelt sich um ein „PHP“-Skript, das den Shell-Befehl „poweroff“ aufruft. Dieser Befehl schaltet ein Synology-NAS relativ sanft aus. Der Ausdruck „sanft“ ist hier wörtlich gemeint: Es handelt sich nicht um einen „Hardreset“ oder ähnliches. Stattdessen werden Programme und Dienste systematisch beendet und das NAS wird danach heruntergefahren. Allerdings werden „Docker“- Anwendungen, Webdienste oder VM‘s ohne Warnung geschlossen! „Snapshots“ und andere Sicherungsvorgänge oder gerade bearbeitete Office-Dateien könnten inkonsistent werden, wenn diese nicht geschlossen sind. Von daher den Taster erst betätigen, wenn das NAS im Leerlauf ist, d.h. allerdings nicht, dass ihr jeden einzelnen Dienst erst vorher beenden müsst. Es ist vergleichbar mit dem Drücken des „Power“- Taster, der sich am Synology NAS befindet. Wer das „Know-How“ hat, der kann die Datei „shutdown.php“ um eine Protokollierung oder ähnliche Funktionen erweitern.

 

Wir speichern die Datei als „shutdown.php“ im Ordner „web“. Achtet darauf, dass die Datei wirklich als „.php“ gespeichert wird! Der Texteditor neigt dazu, in der Standardeinstellung Dateien mit der Endung „.txt“ zu speichern (MS Windows lässt grüßen!). Bei unserem Anwendungsfall würde das nicht weiterhelfen, weil der PHP-Interpreter, den das NAS für den Webdienst nutzt, in seiner Standardkonfiguration keine „.txt“-Dateien verarbeitet.

 

So, fast geschafft. Nun folgt der kleine „Hack“. Ohne geht es nicht. Allerdings handelt es sich nicht um einen echten Hack, sondern nur um eine „Optimierung“ der Einstellungen. Theoretisch wäre auch die Konfiguration des PHP-Interpreters möglich, doch das Synology NAS unterstützt dies nicht oder die Funktion wurde sogar von den PHP-Entwicklern entfernt. Aus diesem Grund passen wir die Einstellungen über die „sudoers“-Datei an.

 

Die „sudoers“-Datei legt fest, wer mit welchen Zugriffsrechten den Zugriff auf Dateien erhält. Fast jedes Linux-System nutzt mittlerweile die „sudoers“, und auch Synology verwendet sie in seinem DSM. Die Datei befindet sich im Root-Pfad „/etc“. Um darauf zuzugreifen, nutzen wir den verschlüsselten Fernzugriff mit „ssh“. Ich gehe davon aus, dass ihr „ssh“ auf eurem PC konfiguriert habt. Unter Linux und macOS ist es standardmäßig installiert. Auch unter Windows ist es mittlerweile verfügbar.

 

Als nächstes starten wir „ssh“ auf dem PC im Terminal oder der Konsole mit dem Befehl „ssh Benutzername@NAS-IP“. Bei mir würde das beispielsweise

 

„ssh christian@192.168.178.45“ lauten.

 

Beim ersten Verbindungsaufbau wird ein Fingerabdruck (Fingerprint) erzeugt, um die Verbindung aufzubauen. Über den „Fingerprint“ erkennt „ssh“ später, ob das echte System adressiert wird, aber im Ernstfall wäre es keine 100% Garantie. Allerdings erst nach erfolgreicher Eingabe des Benutzerpassworts für das NAS wird die Verbindung tatsächlich bereitgestellt und der Zugriff auf das NAS-System gewährt. Eine alternative sichere Möglichkeit zur Authentifizierung stellt die Verwendung von Zertifikaten bzw. Schlüsseln dar, aber das ist ein Thema für sich.

 

Jetzt sind wir im Terminal auf dem NAS. Wechselt mit dem Befehl „cd /etc“ in unser gesuchtes Verzeichnis. Dann führt diesen Befehl aus:

 

grep -q "http ALL=(ALL) NOPASSWD: /sbin/poweroff" /etc/sudoers || echo "http ALL=(ALL) NOPASSWD: /sbin/poweroff" >> /etc/sudoers

 

Sehr wahrscheinlich müsst ihr noch „sudo“ davor schreiben und euch mit dem Administratorpasswort gegenüber dem System legitimieren. Das „grep“ prüft lediglich, ob der Eintrag bereits vorhanden ist. Auf jeden Fall muss der folgende Eintrag als einzelne Zeile irgendwie in den „sudeors“- File rein (danach speichern und Neustart des Systems erforderlich):

 

http ALL=(ALL) NOPASSWD: /sbin/poweroff

 

„http“ ist der Nutzername eines im System festgelegten „Dienstkontos“ unter dem das erstellte „PHP“Skript ausgeführt wird ( es gibt auch noch eine Gruppe „http“ für die Webdienste). „ALL=(ALL)“ bedeutet, dass dieser Nutzer vollen Fernzugriff auf das Dateisystem hat und verschiedenste Programme ausführen kann! In diesem Fall, darf er den Befehl „poweroff“ sogar ohne eine Legitimierung per Passwort ausführen. Das ist normalerweise nur dem Nutzer „root“ erlaubt.

 

Wie groß das Sicherheitsrisiko ist, hängt von ein paar unterschiedlichen Faktoren ab. Im lokalen Heimnetz ist es sehr gering, wenn der Zugriff nicht über das Internet erfolgt oder Fremde nicht ins Netz eindringen können. Äquivalent verhält es sich im Unternehmensnetz. Theoretisch könnt ihr sogar einen zufälligen „Alias“ verwenden, der für Unbefugte unmöglich zu erraten ist – vorausgesetzt, die Daten werden nicht mitgelesen (ein Passwortschutz für den Webdienst wäre also nicht zwingend nötig). Das größte Problem entsteht jedoch, wenn ihr auf dem NAS einen Webdienst bereitstellt, der über das Internet erreichbar ist. Jeder dieser Dienste nutzt den Standardnutzer „http“. Wird der Dienst angegriffen und es gibt eine Sicherheitslücke, könnte dies eine zweite Angriffsfläche bieten, sollte die Konfiguration erkannt werden – was sehr wahrscheinlich ist.

 

Jedenfalls funktioniert der „Tasterspaß“ sofort, sobald ihr den „sudoers“-File gespeichert habt. Vergesst nicht, den „sudoers“–File vor einem Betriebssystem-Update des NAS zu sichern, zum Beispiel in eurem „Home“–Verzeichnis. Es könnte vorkommen, dass der File während eines Systemupdate im „etc“–Verzeichnis mit den Standardeinstellungen überschrieben wird.

Infos, News und was sonst noch bleibt

 

Ich habe einen KI- ChatBot auf dem Synology NAS eingerichtet. Als Test habe ich mit der Ministral AI einen kurzes Gespräch angefangen. Es gab keine Vorgaben von mir. Lediglich folgender System- Prompt: "Wenn du dir bei einer Antwort nicht sicher bist, dann antwortest du mit einem entsprechenden Hinweis.". Der KI ist eigentlich "bewusst", dass sie Ministral ist. PS: Wenn sie Grammatik/ Rechtschreibung prüfen soll, dann ist das Deutsch deutlich besser. 

Ministral packt noch einen drauf... Da kommt man sich doch "verarscht" vor...