oracle7

@TuringFan Bonjour, J'avais coché la fameuse case suite en son temps à la lecture de l'article que tu cites, conforté en cela par les dires de plusieurs intervenants sur le présent forum. Comme toi, après avoir installé le VPN Serveur j'ai eu la désagréable surprise de constater, malgré une connexion OpenVPN parfaitement établie depuis l'extérieur vers mon NAS, il m'était impossible d'y accéder. Depuis plusieurs jours, je m'arrachais les cheveux, j'ai même créé un post spécifique pour trouver de l'aide. Finalement cette aide arrive avec toi et t'en remercie vivement. J'ai donc décoché cette case "Activer les passerelles" multiples" et là BINGO 😂😂😂 la connexion via "https://nas(ou music, file, ftp, etc).ndd.tld" fonctionne du premier coup. Au passage, à noter qu'un intervenant en commentaire dans l'article suscité dit que "l'astuce" donnée ne fonctionnait pas avec une connexion OpenVPN. Ce qui se confirme bien maintenant. Pour info, le fait de cocher cette case, semblait introduire (je ne sais si c'est réellement lié,mais c'est en tout cas un constat de fait) aussi des problèmes dans la connexion OpenVPN, établie un coup en UDPv4, un coup en UDPv6, va comprendre ????? ET encore MERCI pour le tuyau 😀 Cordialement oracle7😉

@PPJP Bonjour, Pour l'organisation en fonctions simples : c'est clair. Je n'ai pas de soucis de ce coté là, c'est ce que je faisais déjà. Non, le soucis est le résultat de la commande 'acme.sh --issue/renew/force ...." qui génère les fichiers de certificats dans le répertoire '/root/.acme.sh' au lieu de le faire dans le répertoire de lancement de la commande 'acme.sh --issue .....' qui est '/usr/local/share'. Mais je vais essayer un truc trouvé sur la toile, on verra bien ... Quand vous en aurez, ce serait sympa de votre part ... Je continue à regarder et tester de mon coté avec l'existant et vous ferais les éventuels retours nécessaires. MERCI encore de votre aide. J'espère aussi que @unPixel passera à nouveau par là pour fournir gracieusement un peu sa lumière. Cordialement oracle7 😉

@.Shad. Bonjour, Çà va être compliqué pour faire ce nslookup car actuellement mon seul client VPN externe est mon smartphone android 4G. Là du coup je ne vois pas comment faire. Tu sais toi ? SI je lance la connexion VPN depuis mon PC du réseau local, j'obtiendrais à coup sur l'@IP de mon DNS serveur sur le NAS, non ? Et quel intérêt pour résoudre le problème présent ? A coté de cela, lorsque j'observe les infos de l'application OpenVPN sur le Smartphone, j'ai ceci : YOU : mon Id YOUR PRIVATE IP : 10.8.0.6 SERVER : ndd.tld SERVER PUBLIC IP : 64/ ffgb::xxxx:xxxx PORT : 1194 VPN PROTOCOL : UDPv6 Le traffic semble passer en Ipv6 et j'ai rien fait pour cela, pas de paramétrage spécifique en ce sens, bizarre, bizarre ... EDIT : Encore plus bizarre : j'ai tué la connexion VPN et je l'ai relancé quelques minutes plus tard et là constat : SERVER PUBLIC IP : 90.59.xxx.xxx et VPN PROTOCOL : UDPv4. Bien évidemment aucune connexion possible avec 'https://dsm.ndd.tld' ni 'https://dsm.ndd.tld:443'. Où 90.59.xxx.xxx est mon IP public du moment. Cordialement oracle7 😉

@PSEUDONOEL Bonjour, Pour HIKvision, dans le logiciel de configuration tu as l'aide en ligne accessible via le menu "Aide". Tu retrouveras cette aide au format pdf sur les sites HIKvision (europe, us, ...) mais malheureusement pas plus. Cordialement oracle7😉

@GrOoT64 Bonjour, Peut-être une solution à ton problème. Elle vaut ce qu'elle vaut : dans les paramètres de configuration des protocoles OpenVPN et L2PT/IPsec dans le VPN Serveur, on peut limiter le nombre de connexion pour un même compte. Donc, si tu imposes (là je ne sais comment) à tes clients de passer pour leurs connexions par le VPN que tu auras implémenté dans ton réseau local alors ton souhait sera réalisé. Cela dit, entre nous utiliser un VPN pour un réseau local reste un peu zarbi ... Mais à toi de voir vu que tu souhaites verrouiller les choses pour limiter les "abus" ... Aux grands maux, les grands remèdes 🤪 Cordialement oracle7😉

@.Shad. J'ai modifié mon fichier .ovpn en ajoutant l'option que tu as indiqué et qui était effectivement absente du fichier. J'ai transféré le nouveau fichier ovpn sur le smartphone. La connexion VPN s'établit bien mais impossible de me connecter avec : dsm.ndd.tld dsm.ndd.tld: 443 dsm.ndd.tld:xxxx (xxxx = port du NAS) Çà marche pas. Décidément, quand çà veux pas ... 😪 Par ailleurs, un détail autre : dans les paramètres OpenVPN du serveur VPN j'ai la case "Autoriser aux clients l'accès au serveur LAN" qui est cochée et concomitamment dans le fichier '.ovpn' l'instruction "redirect-gateway def1" qui est dé-commentée. C'est bien cela qu'il faut faire car je trouve pas clair le Tuto sur ce point ? Cordialement oracle7 😉

@.Shad. Normal, avec 'nas.ndd.tld' je parlais de façon générique mais mon NAS est bien derrière dsm.ndd.tld que j'atteins (sans connexion VPN) sans problème avec le proxy inversé sur localhost:xxxx où xxxx= port du NAS Ce sont celles préconisées par fenrir dans son tuto de sécurisation. J'ai essayé : ns.ndd.tld: xxxx (xxxx= port du NAS) dsm.ndd.tld:xxxx Ça marche pas. J'ai essayé de créer un nouvelle entrée de proxy inversé mais impossible de la valider çà bloque sur le port 443. Mais cette tentative est-elle au moins correcte ? je ne vois pas mon erreur : Edit : Je crois avoir trouver mon erreur : on ne peut pas avoir deux redirections sur un même port source d'un même hôte. D'où le refus de saisie du port 443 dans le cas ci-dessus. Du coup, comment rediriger 'dsm.ndd.tld:443' (saisi dans le navigateur du smartphone 4G) vers le bon service lors que la connexion VPN est active et que l'@IP du NAS est alors 10.8.0.1 ? Je pige pas 😪 Cordialement oracle7😉

@Fredje_B J'ai plusieurs bases de données sous oracle d'une part et d'autre part j'envisage à terme d'utiliser des machines virtuelles. Du coup ce choix/besoin me paraît naturel. Cordialement oracle7 😉

@.Shad. Merci pour ta réponse rapide. Comme tu le préconises, j'ai déjà un serveur DNS en place sur le NAS avec une vue spécifique au réseau privé local 192.168.x.0/24 et une (dédiée VPN) pour le réseau privé local 10.8.0.0/24. C'est là que j'ai du mal à te suivre. car pour le VPN dans la vue locale qui lui est dédié j'ai cela : Y-a quoi qui cloche alors ? Cordialement oracle7😉

@TuringFan Désolé, non je n'ai pas plus d'infos. Je suis comme toi face à la jungle, difficile de s'y retrouver. Je ne souhaite pas non plus retomber dans l'éternel débat du choix de tel ou tel FAI plus qu'un autre. Chacun selon ses besoins trouve son compte avec le FAI qu'il retient au final et aura toujours les bonnes raisons pour cela. C'est normal, on est tous différents quelque part ... Maintenant, personnellement, je suis et reste chez l'opérateur historique. Je considère que comme il est et reste le propriétaire des principaux "tuyaux" (je ne parle pas de ceux de desserte locale qui peuvent ponctuellement faire exception) il est à mes yeux le seul à pouvoir fournir un SAV de qualité en cas de problème (problèmes que je n'ai jamais eus pour ma part). Ce n'est que mon avis, il est sûrement discutable et il n'engage que moi. Cordialement oracle7😉

@niklos0 Effectivement, j'avais raté un truc. Merci pour cette explication parfaitement claire. Cordialement oracle7 😉

Bonjour, Je viens d'installer le serveur VPN sur mon NAS avec le protocole OpenVPN à l'aide du Tuto de @Fenrir (au passage Merci à lui, super explications). Cela marche parfaitement, la connexion externe (4G) s’établit du premier coup depuis mon smartphone android (connexion visiblement confirmée dans VPN server avec une @IP en 10.x.x.x). Premier constat : J'ai essayer de lancer des applications DS..... depuis le smartphone mais cela ne marche pas avec la connexion VPN active. D'un autre coté, sans VPN actif, j'arrive à lancer n'importe quelle application DS ... avec (nas.ndd.tld:443 + Id + mdp) et le reverse proxy en place sur le NAS et je peux utiliser ces applications, naviguer dans mes dossiers partagés, accéder à mes caméras, etc... Face à cela et en y réfléchissant, diverses nouvelles questions apparaissent : Ce type de connexion (nas.ndd.tld:443) est-elle finalement aussi sécurisée qu'avec un VPN ? N'est-elle pas redondante avec le VPN ? une connexion via le port 443 est elle-même sécurisé que je sache. Comment finalement et pratiquement utiliser le VPN une fois la connexion établie avec le NAS pour y accéder comme beaucoup ici disent le faire via ce tunnel ? Là je ne comprends pas, plus ??? Bref, je m'y perds plus qu'un peu et j’émets de sérieux doutes sur ce que je croyais avoir cru comprendre jusqu'à présent sur le sujet. En clair c'est plus clair du tout 🤔 J'aurais donc besoin que vous éclairiez SVP ma lanterne si ce n'est pas trop vous demander. Cordialement oracle7 😉

@jacaj Bonjour, Merci de ta réponse complémentaire. On parle bien de cycles IOPS ? Si oui alors dans ce cas, le choix du Samsung a été aussi fait par rapport à ce critère : Samsung : 374000 IOPS Lecture et 450000 IOPS Ecriture contre respectivement 170000 et 240000 pour le Crucial. Au moins sur ce point il n'y a pas "photo" entre les deux SDD. On passe du simple au quasi double pour le Samsung, ce qui est rassurant sur la durée de vie potentielle. Si non alors j'ai raté un truc ? Merci de m'expliquer. Cordialement oracle7 😉

@maxou56 Avec 12 Go installés, cela devrait le faire, sinon je passerai à 16 Go si nécessaire. Cordialement oracle7😉

@TuringFan Je parlais effectivement du manque d'@IP fixe. Par ailleurs, payer 18€ en plus par mois est pour moi rédhibitoire. C'est mon choix ... Cordialement oracle7 😉

@PPJP Merci de votre réponse aussi rapide. Personnellement j'attendais un éventuel feu vert de votre part ou de @unPixel puisque ce dernier avait explicitement demandé d'attendre avant de utiliser ce script car le sujet était à l'époque expérimental. D'où maintenant ma demande de situation après quelques mois. Sinon effectivement, je suis intéressé par sa mise en œuvre. Je vais tester avec la dernière version du script 'majcertificat-5.sh' que vous aviez diffusé alors et comme vous le dites qui était fonctionnelle (du moins chez vous et chez lui). J'ai examiné le code et pense avoir compris le fonctionnement et le processus suivi même si j'ai un peu de mal à identifier le pourquoi de certains passages. Mais là, je met cela sur le compte de ma méconnaissance de l'organisation des fichiers de gestion du NAS. C'est bien aussi d'un autre coté car en décortiquant le code j'apprends aussi sur cette gestion. Vous dites que ce script n'est probablement plus opérationnel actuellement. Qu'est-ce qui aurait changé ? Dû à une gestion des packages/services différentes suite aux màj récentes de DSM ? Au passage, comme @unPixel au début de ses tests, la génération de mes certificats se fait dans le répertoire caché 'root/.acme.sh' alors que ce répertoire n'est pas stable dans le temps, il ('/root' du moins)est réinitialisé à chaque mise à jour de DSM. Plus tard dans le fil des échanges, unPixel semblait avoir trouvé comment faire générer les fichiers dans le même répertoire que l'exécutable acme.sh ('/usr/local/share') mais il n'a pas dit comment il avait fait. J'ai peut-être une piste mais je n'en suis pas sûr, vous avez peut-être vous, une idée ? Cordialement oracle7 😉

@maxou56 Bah oui évidemment, pour le RAID1 j'ai oublié ce point. Mais si tu dis que ce sera suffisant alors c'est bien. OK c'est rassurant au moins. Cordialement oracle7😉

@TuringFan Saches aussi que cela coupe court toute idée future d'implémenter un serveur Mail sur le NAS comme tu l'avais laissé entendre dans une de tes réponses. J'ai été moi même très déçu en découvrant cela. Mais on se fait une raison ... 😪 Cordialement oracle7 😉

@maxou56 Bonjour et grand MERCI pour ta réponse très technique et précise qui m'a appris encore bien des choses. J'ai bien regardé les tests lesnumériques et je crois que je vais m'orienter vers le Samsung car manifestement c'est le plus endurant. C'est aussi un point que recommande Synology dans le choix d'un SSD pour un NAS. De plus, le Samsung semble moins chauffer que le Crucial (même si c'est relatif vu qu'ils chauffent tous les deux). C'est un point important car comme déjà mes NAS sont dans une armoire 19" fermée et même si ceux-ci restent aujourd'hui froids au toucher, je préfère limiter l'échauffement supplémentaire que les SSD pourraient apporter à l'ensemble de chaque NAS. A ce propos, je n'ai pas trouvé (sans doute mal cherché ou bien j'ai une mauvaise vue) dans la doc sur le DS918+ pour savoir s'il était équipé de dissipateurs thermiques M.2 justement pour accueillir ces SSD ou si la carte mère était suffisamment ventilée en cas d'absence de ceux-ci. Au final, je ne disposerai que d'un cache maximum de 1To en L/E mais comme la performance (quasiment 1,5 fois plus en L/E globale par rapport au Crucial) est au rendez-vous, même si cela ne sera pas forcément décelable comme tu le dis, je pense que cela compensera cette différence de taille de cache. Je pense aussi que cela me donnera une certaine marge de manœuvre pour le cas où. De toutes façons, ce qui importe c'est que le NAS soit plus véloce et là le but sera atteint. Cordialement oracle7 😉

@unPixel et @PPJP Bonjour, Désolé de "déterrer" le sujet mais maintenant après quelques mois, où en êtes vous de l'automatisation du renouvellement de certificat wilcard LE à l'aide du script 'majcertificat-5.sh' ? Quel est votre retour d'expérience d'exploitation ? Bon, pas bon ? Vu que vous n'échangez plus sur ce fil à ce propos, je m'avance peut-être, mais cela semble vouloir dire que vous êtes satisfaits. En conséquence, considérerez-vous que l'on peut l'implémenter sans risques et qu'il est aussi suffisamment abouti pour nous permettre de renouveler nos certificats wilcard LE créés par la méthode acme.sh ? Votre avis d'experts est important. Merci de vos réponses. Cordialement oracle7 😉

@cpc44 Bonjour, Tu dis que tu viens de prendre un domaine chez OVH, saches alors que la propagation des informations vers les principaux DNS du monde entier peut parfois prendre un peu de temps, normalement maxi 24h. Soit patient ... On peut suivre ce déploiement sur ce site : https://www.whatsmydns.net/ Sinon commence par vérifier que ton non de domaine est bien associé à t@IP du moment. Tapes "nslookup tondomaine.tld" dans une fenêtre de commande WIN (en mode admin). Si tout est OK, cela devrait devrait te donner ton @IP du moment. Cordialement oracle7 😉

Personne n'a idée ... Cordialement oracle7😉

@TuringFan Excellente synthèse 😉 Cordialement oracle7 😉

@Mic13710 Merci de ta réponse. Je me doutais bien de l'inutilité d'une telle règle mais comme parfois il y a des subtilités j'ai préféré demandé pour m'en assurer avant de supprimer effectivement. Tu peux fermer le sujet. Cordialement oracle7 😉

Bonjour, Pour éviter d'avoir "36 000" règles d'ouverture de port dans le parefeu et pour être sûr de bien comprendre le processus de blocage, est-il vraiment nécessaire d'ouvrir un port spécifique, par exemple le port 3493 d'un serveur UPS ayant par exemple pour IP source le sous-réseau privé 192.168.1.0/24 alors que l'on a déjà une règle d'ouverture de TOUS les ports sur ce même sous-réseau privé. N'est-ce pas redondant ? Si oui, cette ouverture de port spécifique serait donc inutile et la règle n'aurait donc pas lieu d'être. Si non, merci de bien vouloir m'expliquer car là je bloque. Cordialement oracle7 😉