[[TUTO] Certificat SSL & reverse proxy via Docker]

Bonjour, je rencontre un problème avec le fail2ban intégré à SWAG , j'ai une erreur dans les logs de fail2ban il n'arrive pas à bannir les IP sur le synology ? est ce que quelqu'un à déjà rencontrer l'erreur ?

J'utilise un docker Jellyfin avec une IP MCVLAN , j'ai correctement renseigner l'adresse du Proxy inversé swag dans la config de Jellyfin

fail2ban.utils          [938]: ERROR   7f6829904db0 -- exec: { iptables -w -C f2b-jellyfin -j RETURN >/dev/null 2>&1; } || { iptables -w -N f2b-jellyfin || true; iptables -w -A f2b-jellyfin -j RETURN; }
for proto in $(echo 'tcp' | sed 's/,/ /g'); do

Quand je lance docker exec -it swag fail2ban-client status jellyfin je vois bien l'adresse IP Banni mais rien ne m'empêche d'accéder au docker du NAS malgré tout.

Après pas mal de recherche j'ai lu qu'il fallais créer un fichier iptables.local dans le dossier fail2ban\action.d avec ce contenu :

[Init]
blocktype = DROP
[Init?family=inet6]
blocktype = DROP

Mais ce n'est pas pour autant que cela fonctionne, je séche un peu la ?

[[TUTO] Docker : Introduction]

Le 03/09/2024 à 1:12 PM, .Shad. a dit :

@L. Tech Si les conteneurs en question sont dans un réseau macvlan, tu peux fixer leur IP dans le YAML

      networks:
         mac1:
            ipv4_address: 192.168.101.242

Dans un bridge on ne fixe généralement pas les IP, mais tu peux le faire quand même si tu veux.
On essaie de profiter de la résolution interne par nom de conteneur ou de service dans une même stack.

Merci , c'est bien ce que j'ai déjà fait mais comme j'ai au moins 7 conteneurs il faut que je revérifie tout car j'ai peut être fait une erreur quelques part, j'ai en effet pas mal lapidé au début avec la gestion du réseau et la communication inter-container.
Je vais me pencher aussi sur la résolution interne via les noms des containers ça sera peut être plus simple pour résolver mon problème.
Un grand merci une fois de plus pour ces détails.

[[TUTO] Docker : Introduction]

Bonjour, est ce que quelqu'un à déjà rencontrer un problème avec les adresses IP des dockers qui change à chaque reboot du NAS ?

J'ai plusieurs dockers avec pour certain un accès à des bases de données, et à chaque reboot du NAS je suis obligé de reconfigurer mes fichiers de configuration car les adresses IP définis sur mes dockers change aléatoirement.

Tout mes dockers sont liée à une interface macvlan je ne comprend pas d'ou le problème se situe ?

[[TUTO] Certificat SSL & reverse proxy via Docker]

Bonjour,

J'ai un problème dont je ne trouve absolument pas la cause avec une redirection vers un site WordPress derrière le reverse proxy swag

En me connectant sur : https://site.ndd.fr Aucun soucis , en me connectant en http://site.ndd.fr Aucun soucis

Mais dès que j'essaye de me connecter sur la partie admin

L'url de mon site se transforme comme ceci : https://site.ndd.fr:3030/wp-admin/

Si je modifie mon URL en https://site.ndd.fr/wp-admin la ça fonctionne. C'est la redirection http vers https qui ne se fait pas correctement mais uniquement pour la partie wp-admin

Sur mon DSM le port HTTP est le 3030, le port HTTPS est le 3545 , je n'ai pas activé HSTS

Mon fichier conf sur le reverse proxy SWAG est comme ceci :

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;

    server_name site.ndd.fr;

    include /config/nginx/ssl.conf;

    client_max_body_size 0;

    location / {

        include /config/nginx/proxy.conf;

        set $upstream_app 192.168.1.200;
        set $upstream_port 3030;
        set $upstream_proto http;
        proxy_pass $upstream_proto://$upstream_app:$upstream_port;

    }
}

Je n'arrive pas du tout à trouver ce qui cloche ?

 

Edit 26/07/2024 j'ai finalement trouvé d'ou venez le problème il faut savoir que le fonctionnement de Wordpress est un peu particulier :

Dans mon cas , j'avais personnaliser la configuration des ports dans mon site Wordpress et c'est pour cela que ça ne fonctionner pas correctement derrière le reverse proxy.

Il y a 3 solutions pour corriger le problème soit on peut se connecter à l'interface d'administation de Wordpress et dans ce cas il faut corriger l'adresse du site comme la capture d'écran ci dessous

Ou si on y a plus accès à cause de la redirection du reverse proxy qui nous bloque il faut editer le fichier wp-config.php qui est situé à la racine du site et ajouter ces 2 directives :

define('WP_HOME', 'https://site.ndd.fr');
define('WP_SITEURL', 'https://site.ndd.fr');

3 ème solution si on accès à la base de données via par exemple phpmyadmin il faut modifier dans la table options les variables : siteurl et home

[[TUTO] [Docker] Authelia : serveur d'authentification]

J'ai un soucis avec la configuration d'Authelia, je n'arrive pas à trouver la cause de mon erreur

Mon container ne démarre pas j'ai l'impression qu'il ne veut pas lire le fichier de configuration

Je lance cette commande pour analyser ma configuration mais systématiquement j'ai des erreurs alors que j'ai bien renseigné les variables dans le fichier configuration.yml d'authelia

docker run authelia/authelia:latest authelia config validate --config /config

Edit : J'ai finalement compris ce qu'il se passait il y avais des erreurs d'indentation dans mon fichier de config yml j'ai mis du temps à comprendre, je ne suis pas à l'aise avec ce genre de fichier.

[[TUTO] [Docker] Authelia : serveur d'authentification]

Il y a 10 heures, .Shad. a dit :

@L. Tech Hello, oui mais je coince actuellement avec certains points concernant SWAG qui se comporte différemment de ce que j'espérais sur DSM. Mais n'hésite pas à poser tes questions ici je pourrais peut-être t'aider.

Pas de soucis, je suis en train d'essayer de configurer swag et authelia sur mon NAS, je coince pour le moment sur le fichier de configuration d'authelia mais avant de poser quoi que ce soit comme question, j'ai pour habitude de rechercher moi même la cause des problème. Mais j'hésiterai pas à demander de l'aide si vraiment je suis coincé.

[[TUTO] [Docker] Authelia : serveur d'authentification]

Le 22/03/2024 à 11:09 AM, .Shad. a dit :

Refonte du tutoriel prévue pour mi/fin avril, dans la même idée que celle prévue ici. Les deux tutoriels allant de pair.

Bonjour, avez vous pu avancer sur la refonte du tutoriel ? j'essaye actuellement de mettre en place Authelia mais beaucoup de chose ont changer dans la configuration.
En tout cas chapeau c'est beaucoup d'heure de travail un tel tuto

[[TUTO] [Pas-à-pas] Sécurisation du NAS - pour DSM 7]

Très bien merci pour cette précision, et excellent tuto au passage.

[[TUTO] [Pas-à-pas] Sécurisation du NAS - pour DSM 7]

Le 31/10/2023 à 2:52 PM, PiwiLAbruti a dit :

Aujourd'hui, les attaques par brute-force utilisent des botnets pour éviter ce type de blocage (beaucoup de tentatives sur un délai court). On utilise un polling très lent du type une requête tous les 24-48h par zombie. Ainsi, avec un nombre conséquent de zombies dans un botnet, on peut mener des attaques sur une même cible sans jamais être bloqué. D'où les paramètres donnés dans le tutoriel.

J'ai eu le cas cet été avec des tentatives d'authentification SMTP sur tcp/25. J'avais réduit le nombre de tentatives à 1 pour accélérer les choses, il a fallu un peu moins de 48h pour bloquer les 862 zombies du botnet.

Pour la liste blanche, la différence entre une IP ou un nom de domaine est la résolution DNS du nom de domaine. Si l'adresse IP est fixe, autant ne mettre que celle-ci.

Bonjour,

Je ne suis pas un expert en sécurité, mais concernant le blocage auto si j'ai bien compris en cas de 3 tentatives de connexion avec un mot de passé erroné dans un délai d'une semaine (10080 minutes) l'adresse IP sera bloqué pendant 31 Jours, c'est bien cela ?
Je ne comprend pas trop ce paramètre avec "beaucoup de tentatives sur un délai court"

Merci

[Hello je rejoins la communauté]

Hello, je me prénomme Laurent j'ai 46 ans, j'ai débuté sur les NAS Synology en 2021 lorsque j'ai fait l'acquisition de mon premier NAS un DS218, ma dernière acquisition toute récente est un DS224+.
Je travaille également avec un DS916+ côté professionnel.

J'utilise mon NAS DS224 principalement pour VideoStation, PhotoStation, Serveur web, VPN, Stockage et Sauvegarde dans le CLOUD.

Je suis informaticien de métier, surtout autodidacte.
Cela fait 25 ans que je suis dedans mais j'apprend encore tous les jours de nouvelles choses.