Im App-Store von Synology, vom Hersteller "Paket-Zentrum" getauft, stehen diverse meist kostenlose Erweiterungen – Pakete – zur Verfügung. Diese umfassen Dienste wie Datensicherung, Cloudsynchronisierung, DHCP oder Proxy-Server. Mit ihnen lassen sich die Geräte aufbohren, ohne dass Unternehmen in weitere Hardware oder zusätzliche Lizenzen investieren müssen. Dabei setzt Synology auf Standardlösungen wie zum Beispiel Samba und bindet diese an die eigene Weboberfläche "Disk Station Manager" (DSM) an.

Mit dem kostenlosen "Synology Directory Server" können kleine Unternehmen bestehende Domänencontroller (DC) komplett ersetzen oder eine neue Active-Directory-Domäne auf ihrem NAS-System aufbauen. Basis des Servers ist Samba 4. Parallel dazu steht im Paket-Zentrum ein LDAP-Server zur Verfügung. Dieser unterstützt jedoch keine Windows-Clients. Wer also eine eigene AD-Domäne auf dem NAS bereitstellen möchte, installiert den Synology Directory Server.

Das Paket steht nicht für alle NAS-Systeme des Herstellers zur Verfügung. Gerade die kleinen Consumer-Modelle sind hier ausgenommen. Eine Liste der kompatiblen Geräte finden Sie auf [1]. Gemeinsam mit dem Directory Server müssen Sie zudem den DNS-Server auf dem NAS betreiben. Der Assistent installiert diesen automatisch mit. Die AD-Einrichtung für DNS erfolgt weitgehend automatisch, die Einstellungen lassen sich aber nachträglich anpassen.

Beachten Sie, dass Sie mit dem NAS-System nur eine einzelne Domäne aufbauen können, keine gegliederte Domänenstruktur mit Unterdomänen. Ab DSM 7.0 können Sie jedoch mehrere Domänencontroller in die NAS-Domäne einbinden. Der Aufbau eines Active Directory erfolgt wie erwähnt über den Directory Server. In das erzeugte AD können Sie anschließend Windows- und Linux-Clients genauso aufnehmen wie macOS-Rechner. Dabei ist auch der Einsatz von Richtlinien eine Option. Für die Einrichtung einer Domäne sollten Sie darauf achten, dass das NAS-System eine statische IP-Adresse nutzt. Die Administration übernehmen Sie mit den RSAT-Tools aus Windows 10 oder über die Weboberfläche des Synology-NAS. Die Verwaltungstools für das AD gehören zum Lieferumfang von Windows 10/11 und lassen sich ohne Download direkt in den optionalen Features von Windows aktivieren.

Auch Migrationen von AD-Domänen sind mit dem Directory Server möglich. Möchten Sie vorhandene Domains zum Synology-System migrieren, müssen Sie darauf achten, dass die AD-Domäne auf dem NAS-System den gleichen Namen hat wie die alte, die Sie migrieren wollen. Sie können nach der Installation des Ac-tive Directory auf dem NAS den Namen des Geräts nicht mehr ändern – die Bezeichnungen für Domäne und NAS-Gerät sind im Active Directory fest eingetragen.

Suchen Sie im Paket-Zentrum nach "Directory Server" und installieren Sie das Paket. Beim ersten Start des Directory Servers erscheint ein Assistent, über den Sie entweder eine neue Domäne einrichten, eine vorhandene migrieren oder einen zusätzlichen Controller in eine bereits vorhandene Domäne einbinden können. Wenn Sie eine neue erstellen, geben Sie den FQDN-Namen ein, zum Beispiel "joos.int". Im Fenster können Sie ferner den NetBIOS-Namen bestimmen, zum Beispiel "Joos".

Im Rahmen der Einrichtung eines Active Directory auf dem NAS müssen Sie auch ein Administratorkonto festlegen, das umfassende Rechte bei der Verwaltung der AD-Domäne innehat. Dabei handelt es sich nicht um den Administrator des NAS-Systems, sondern explizit um den Administrator der Domäne auf dem NAS. Danach prüft der Assistent, ob die Einrichtung korrekt ist, und erzeugt die Domäne. Eine bereits vorhandene können Sie in der Weboberfläche des Directory Servers über "Domain entfernen" auch wieder löschen.

Im Rahmen der Einrichtung eines DC können Sie von einer vorhandenen Domäne zum Directory Server migrieren. Dabei übernimmt das NAS-System alle Benutzer, Gruppen und deren Mitgliedschaften zur neuen Domäne. Das gilt auch für die Computerkonten. Anschließend können sich die Benutzer mit ihren PCs und Konten an der neuen Domäne anmelden. Für die Migration sind nur der Name der Domäne, die IP-Adresse eines DNS-Servers sowie ein AD-Konto notwendig, das das Recht hat, die vorhandene Domäne zu verwalten.

Bevor der Assistent die Daten aus der alten Domäne übernimmt, überprüft er, ob sich eine Verbindung zur Domäne aufbauen lässt und ob alle Vorbedingungen erfüllt sind. Über die Schaltfläche "Domain migrieren" holt der Assistent alle Daten von der alten zur neuen Domäne des Directory Servers. Diese Vorgänge sind von Synology bewusst einfach gehalten. Nach der Übernahme der Daten blendet das NAS-System noch Hinweise bezüglich der Sicherheit ein.

Bei "Status" in der Verwaltung des Directory Servers ist nun der Zustand der übernommenen Domäne zu sehen. Das NAS dient in Zukunft als Domänencontroller und auch die FSMO-Rollen sind auf dem NAS-System genauso verfügbar wie auf herkömmlichen Domänencontrollern auf Windows-Basis. Auch die Mitgliedschaften der verschiedenen Administratorgruppen in AD übernimmt der Directory Server entweder von der migrierten Domäne oder erstellt sie neu, wenn Sie das im Assistenten ausgewählt haben. Die Einrichtung dazu dauert nur wenige Minuten.

Die Namensauflösung im Netzwerk erfolgt wie erwähnt über den DNS-Server auf dem NAS. Er verfügt über eine eigene Verwaltungsoberfläche. Hier können Sie die Settings an Ihre Anforderungen anpassen, beispielsweise bezüglich Weiterleitungen. In den meisten Fällen sind keine Anpassungen notwendig.

In den meisten Fällen dürften Sie zur Verwaltung von Benutzer- und Computerkonten sowie der Gruppen auf der NAS-Domäne die Windows-Tools nutzen, also "Active-Directory-Benutzer und -Computer" sowie das "Active Directory Administration Center". Dieses steht in Win­dows 10/11 genauso zur Verfügung wie bei der AD-Anbindung über einen Windows-Server. Sie können aber auch in der Weboberfläche des NAS bei "Synology Directory Server" und "Benutzer und Computer" die Organisationseinheiten und die darin gespeicherten Nutzer lesen und bearbeiten. Hier sehen Sie die Daten des Benutzers sowie bei "Mitglied von" dessen Gruppenmitgliedschaften. Der Directory Server unterstützt servergespeicherte Profile, mehr dazu unter [2]. Ebenso ist das Anlegen von neuen Konten problemlos in der Weboberfläche des NAS umsetzbar.

Die Suche ermöglicht das Auffinden von Benutzern, Gruppen und Computerkonten in größeren Umgebungen. Bei "Computers" finden Sie die Computerkonten und bei "Domain Controllers" die Domänencontroller der Umgebung.

Auch Richtlinien sind mit dem Directory Server umsetzbar. Besonders einfach lassen sich Vorgaben bezüglich sicherer Kennwörter und Kontosperrung implementieren. Diese Settings können Sie direkt über die Weboberfläche des Directory Servers bei "Domainrichtlinie" steuern. Wollen Sie weitergehende Optionen nutzen, ist dies ebenfalls möglich. In diesem Fall gehört etwas AD-Fachwissen dazu, da hier wieder Microsoft-Tools für diesen Bereich zum Einsatz kommen, vor allem die Group Policies Management Console (GPMC). Diese können Sie in Windows 10/11 über die optionalen Features installieren.

Über den Menüpunkt "Protokoll" in der Verwaltungsoberfläche des Directory Servers aktivieren Sie die Überwachungsprotokollierung für Benutzeranmeldungen und Änderungen am Active Directory. Nach der ersten Anpassung ist ein Neustart der Domänendienste auf dem Directory Server notwendig.

In kleineren Netzwerken mag der Betrieb eines einzelnen Domänencontrollers vertretbar sein. In mittleren und größeren Netzwerken ist ein zusätzlicher Domänencontroller jedoch unerlässlich. Mit dem Directory Server können Sie zusätzliche DC auf mehreren NAS-Systemen installieren, sofern Sie DSM 7 einsetzen.

Dazu benötigen Sie ein weiteres Synology-NAS, auf dem Sie ebenfalls den Directory Server installieren. Das Gerät muss nicht identisch mit dem ersten sein, es muss nur den Directory Server unterstützen. Wenn das zweite NAS bereits Mitglied einer Domäne ist, müssen Sie diese vor dem Beitreten als weiterer Domänencontroller erst verlassen. Das Heraufstufen eines "Mitgliedsservers" wie bei Windows funktioniert hier nicht.

Die Anbindung eines weiteren Domänencontrollers entspricht der Migration von vorhandenen Domänen. Sie müssen den Namen der Domäne angeben, in der Sie das NAS als weiteren Domänencontroller aufnehmen wollen, sowie die IP-Adresse eines DNS-Servers, der den Namen der Domäne auflösen kann. Normalerweise verwenden Sie hier die IP-Adresse des ersten NAS-Systems, auf dem das AD und DNS bereits laufen. Auch Benutzername und Kennwort eines Administrators sind dazu notwendig. Mit "Domain beitreten" nehmen Sie anschließend das zweite System in die Umgebung mit auf und haben dadurch Ausfallsicherheit für Ihre Domäne geschaffen.

Nachdem Sie einen weiteren Controller in eine Domäne aufgenommen haben, sehen Sie in der Weboberfläche auf dem NAS bei "Synology Directory Server" im Bereich "Status" nun beide Domänencontroller. Alle FSMO-Rollen verbleiben aber auf dem ersten Domänencontroller. Synology stellt für seinen Directory Server ein umfassendes Administrator-Handbuch zur Verfügung, das als PDF unter [3] zum Download bereitsteht.

Parallel zum Domänencontroller können Sie auf einem Synology-NAS einen Mailserver betreiben. Dazu installieren Sie über das Paket-Zentrum den "Synology MailPlus Server". Es arbeitet ideal mit dem Directory Server zusammen. So können Sie etwa beim Zuweisen von E-Mail-Adressen auf dem MailPlus Server mit Benutzerkonten aus der Domäne arbeiten, deren Controller wiederum der Directory Server zur Verfügung stellt.

Im Gegensatz zum Directory Server müssen Sie den MailPlus Server aber lizenzieren. Bei bis zu fünf Benutzern ist die Verwendung kostenfrei. Weitere Fünfer-Pakete kosten etwa 270 Euro. Die Nutzer können ihre E-Mails entweder mit POP3 oder per IMAP vom Server beziehen. Hier lassen sich alle Clients anbinden, die auch andere Mailserver unterstützen, zum Beispiel Microsoft Outlook.

Nach der Installation des Pakets machen Sie sich an die Einrichtung. Achten Sie darauf, stets die neue Version des MailPlus Server zu betreiben, sofern Ihr NAS das unterstützt. Denn der ältere Mail Server (ohne "Plus") unterstützt nur eine E-Mail-Domäne und umfasst weniger Einstellungen. Dazu kommt die Möglichkeit, dass Sie beim MailPlus Server auch eine Migration von vorhandenen Exchange-Servern durchführen können. Dazu bietet der Server einen speziellen Assistenten.

Wie beim Directory Server kommt der MailPlus Server mit einer eigenen Weboberfläche. Für die Verwendung des Servers als SMTP-Host müssen Sie natürlich darauf achten, dass das NAS-System mit dem Port 25 und weiteren gewünschten Ports über das Internet zur Verfügung steht. Hier müssen Sie auf der Firewall im Unternehmen mit Weiterleitungen arbeiten. Auch die MX-Einträge müssen so gesetzt sein, dass die E-Mails zur richtigen IP-Adresse geschickt werden und anschließend per Weiterleitung oder Port-Forwarding direkt auf dem NAS ankommen.

Bei der Einrichtung des MailPlus Servers geben Sie den ersten E-Mail-Domänennamen ein, für den der Server verantwortlich sein soll und den die Benutzer erhalten sollen. Auch die Bezeichnung des Mailservers steuern Sie bei der Einrichtung. Diese muss nicht identisch mit dem Namen des NAS sein. Sie können hier zum Beispiel mit "mail.firma.de" arbeiten, müssen in diesem Fall aber darauf achten, dass der Name auflösbar ist, zum Beispiel über Ihren MX-Eintrag beim Provider.

Nach der ersten Einrichtung steht die Oberfläche zur Verwaltung des MailPlus Servers zur Verfügung. Bei "Server-Management" finden Sie verschiedene Registerkarten zur Konfiguration, bei "Serverliste" sind die aktiven Mailserver zu sehen. Nach der Ersteinrichtung handelt es sich dabei um ein einzelnes NAS-System, auf dem Sie den Mailserver eingerichtet haben. Wie beim Directory Server sorgen Sie für eine gewisse Hochverfügbarkeit, indem Sie mehrere NAS-Systeme betreiben und hier ebenfalls den MailPlus Server installieren. Beim "Server-Management" können Sie E-Mails von anderen E-Mail-Servern zu MailPlus Server migrieren. Das funktioniert auch über IMAP.

Nach der Einrichtung des MailPlus Servers finden Sie bei "Domain" Ihre konfigurierten E-Mail-Domänen. Sie können für jede Domäne Einstellungen anpassen und eigene Benutzerkonten pflegen. Rufen Sie die Settings einer Domäne auf, sehen Sie bei "Benutzer" die zugewiesenen Konten, die diese Domäne verwenden. Hier hat die E-Mail-Domäne aber nichts mit der Active-Directory-Domäne der Umgebung zu tun. Die Namen können generell identisch sein, haben aber keine gemeinsame Konfiguration. Bei "Konto" steuern Sie die Benutzerkonten, die Zugriff auf das E-Mail-System erhalten sollen und denen Sie eine Lizenz zugewiesen haben.

Über den Menüpunkt "Sicherheit" konfigurieren Sie den Spam- und Virenschutz des MailPlus Servers. Wenn Sie das Modul aktiviert haben, schützt es alle Domänen vor Spams und Viren. Dazu arbeitet es zum einen mit DNSBL-Listen, die Sie auch manuell eintragen können. Bezüglich der Virenerkennung greift MailPlus auf Clam­AV zurück. Dazu kommen noch die Menüpunkte "Überprüfung" und "Bedrohungsmonitor". Hierüber lässt sich der E-Mail-Verkehr überwachen und Angriffe sind recht schnell erkennbar. Der "Bedrohungsmonitor" zeigt wiederum eine aktuelle Analyse der Angriffe an. Hier erscheinen zudem Hinweise, wenn Spam- und Virenschutz nicht aktiv oder die Definitionsdateien veraltet sind.

NAS-Systeme von Synology lassen sich auf Basis des Directory Servers gut als vollwertiger AD-Domänencontroller einsetzen. Ebenso können Sie einen eigenen Mailserver auf dem NAS betreiben. Kleine Unternehmen schaffen so günstig, aber effektiv eine gute Basis für die IT, ohne sich um die Pflege von Server-Betriebssystemen kümmern zu müssen.