[Vpn] Installer Vpntunnel.se Sur Son Synology

[gothax]

MAJ pour DSM 6.0 (Aout 2016) page 5 !

MAJ pour DSM 5.0 (ici :)

VPNTunnel.se est un provider VPN comme nous en trouvons tant sur internet. J'ai choisi celui-ci car il est fiable et dispose de nombreux serveurs (Suède, Danemark, Allemagne, UK ...).

Donc ce tutoriel s'adresse à ceux qui ont ou vont prendre ce provider et qui veulent le configurer sur le Synology
 

Citation

Pré-requis:
- Un compte chez VPNTunnel.se (https://www.vpntunnel.se/en/)
- Un synology avec DSM 4.x
- Dix minutes de votre temps

 

 

1] Commençons par aller dans l'interface de VPNTunnel (leur site web)



Aller dans l'onglet Software (1) puis télécharger les Configs (2) de Linux et les certificats (3)


2] Décompression des fichiers

Décompresser les fichiers dans un répertoire.
Vous devriez avoir des fichiers .conf et des certificats .crt



Note : Ici je n'ai décompressé que le certificat européen (hors UK et hors USA)

Éditer, par exemple, le fichier openvpn-Swe.conf qui correspond au VPN qui pointe vers des IP suédoises.
Le code est ainsi :

 

 

 

 

 

float
client
dev tun
proto udp
nobind
; CERT
ca /etc/openvpn/keys/ca.crt
ns-cert-type server
cipher BF-CBC
; HOST
remote-random
remote anna.vpntunnel.se 10010
remote anna.vpntunnel.se 10020
remote anna.vpntunnel.se 1194
resolv-retry infinite
; AUTH
auth-user-pass
persist-key
persist-tun
comp-lzo
verb 1

 

Vous noterez ici que l'adresse du serveur suédois est : anna.vpntunnel.se



3] Configuration de son Synology

Aller dans Panneau de Configuration puis VPN



Puis une fenêtre s'ouvre : cliquer sur Créer



Choisir l'option OpenVPN



Puis entrer vos informations de connexion



Le nom du profil est arbitraire, l'adresse du serveur est celle que vous avez relevée dans le fichier conf (voir plus haut), votre login et mdp puis cliquez sur choisir le certificat (importer).
Cliquer sur Suivant



Puis Appliquer

Et voilà !!!

Vous faites cela pour chaque serveur qui ont leur propres adresses (éditer les .conf) et vous obtenez ceci :
Pour les serveurs UK et US utilisez leur propres certificats qui sont dans le cert.zip




4] Connexion à un serveur

Choisissez un serveur
Cliquer sur Connecter
Et votre synology aura une IP suédoise, américaine, danoise ou autre ...

 

Modifié le 15 août 2016 par gothax

[aurelized]

nice one, merci

[thorpeak47]

Merci pour le tuto, très efficace.

Cependant j'ai toujours des problème pour monter le tunnel.

En tentant une connexion sur anna.vpntunnel.se je reçois le message autorization required

J'ai effectué un forwarding de port 1194 vers le nas.

Une idée?

[Chamaille]

Bonjour à tous,

J'ai voulu essayer de me connecter egalement à mon service de VPN tunnel via le NAS et impossible de me connecter également alors que j'y arrive depuis un PC relié au reseau.

J'ai testé les différents serveurs étrangers et aucun ne réponds. Y a t'il des règles particulières à rajouter dans le NAT? Ports à ouvrir?

[gothax]

Bonjou,

Chez moi je vous confirme que cela marche bien !

J'ai transféré de mon routeur vers mon synology les ports :

VPN Server (OpenVPN) 1194 UDP (indispensable ici)

VPN Server (PPTP) 1723 TCP

Quant à mon synology je n'ai rien fait dans le firewall.

Attention toutefois certains serveurs sont parfois saturés (le succès) ... il faut attendre quelques minutes ou tester un autre serveur

ps : vérifier àbienimporter vos certificats!!!

[ludo2604]

Hello,

Je suis donc sur VPNTunnel,

J'ai suivi le tuto mais il m'affiche ce probleme:

http://hfr-rehost.net/http://self/pic/99ed56035dc4b5661069dfa47007ad4f163af197.png

je pense qu'il s'agit de la bonne adresse et du bon certificat

Pour les ports utilisés je n'y connais rien, je n'ai pas de firewall donc il s'agir de ma freebox et des ports de redirection ?

Modifié le 15 octobre 2012 par ludo2604

[Oniric]

Bonjour,

je viens d'obtenir un magnifique synology ds413 et j'essaye de configurer vpntunnel dessus.

la connexion VPN fonctionne sur mon pc sous windows mais pas sur mon synology

j'ai essayé avec differents serveurs, j'ai essayé avec les 2 certificats fournis, j'ai forward le port VPN Server (OpenVPN) 1194 UDP comme le conseil Gutax ci dessus.

et la je seche...

auriez vous des pistes ?

[Oniric]

j'ai trouvé pourquoi cela ne fonctionnait pas !

vpntunnel n'utilise pas les ports par defaut. il faut donc aller voir dans le fichier de conf (disponible sur le site vpntunnel) les ports pour la connexion que vous voulez utiliser.

Par exemple pour la Suede c'est :

openvpn-Swe.conf:

remote jenny.vpntunnel.se 7001

remote jenny.vpntunnel.se 7002

remote jenny.vpntunnel.se 7003

remote jenny.vpntunnel.se 7004

le serveur est donc jenny.vpntunnel.se et les ports aleatoires sont : 7001-7004 on peut aussi voir dans le fichier que la connexion utilise le certificat ca1.crt:

ca keys/ca1.crt

donc suivez le tutorial tres clair de gothax ci dessus, puis: en ssh aller dans le repertoire:

cd /usr/syno/etc/synovpnclient/openvpn/

vous allez voir 3 types de fichiers: - les certificats *.crt - des fichiers appelé: client_ 000xxxx - des fichiers ovpn_oxxx.conf ils vont par 3: un certif, un fichier client, un fichier .conf il va falloir editer le fichier client_ et ovpn_* de la connexion en Suede. pour cela, il faut les ouvrir avec "vi":

>vi client_000123456


dev tun

tls-client

remote jenny.vpntunnel.se 1194

[...]

normalement vous avez un port en face du nom du serveur. ici le serveur est jenny mais le port que l'on a vu ci dessus n'est pas le 1194 (ou autre) mais un entre 7001-7004. prenons donc 7001 par exemple

appuyer sur "i" pour passer en mode insertion sur vi, modifier le port puis quitter le mode edition en appuyant sur la touche echape, et enfin quitter en sauvegardant en tapant ":wq"

meme manipulation dans le fichier correspondant *.conf.

pensez à rediriger les ports que vous avez specifiez dans votre routeur/box vers votre synology et sur le firewall du synology.

j'espere que ca va depanner du monde. gothax n'hesite pas à mettre ton tuto à jour avec ces infos

[mmnospam]

Suivre le tutorial puis modifier le port comme indiqué ci après :

Le port utilisé par défaut par le Syno est le 1194. Hors vpntunnel.se utilise d'autres ports. Le port à utiliser ne peut être configuré via l'interface web du Syno.

Il faut donc malheureusement le modifier en ligne de commande en se connectant sur son Syno via telnet ou ssh (ne pas oublier d'activer le service telnet ou ssh dans "Panneau de Configuration/Terminal" du Syno).

Sous windows : utiliser putty téléchargeable sur http://www.putty.org/

et se connecter en root ou admin sur le Syno

Accéder au répertoire des fichiers de configuration du VPN :

cd /usr/syno/etc/synovpnclient/openvpn

taper

ls -al[/code]
 pour lister les fichiers de configuration



La modification du fichier client_o************ est suffisante :

[code]vi client_o************[/code]

où ************ est une suite de chiffres Modifier le port en fonction du serveur VPN utilisé ou remplacer la ligne :

[code]remote jenny.vpntunnel.se 1194[/code]

par :

[code]remote-random remote jenny.vpntunnel.se 7001 remote jenny.vpntunnel.se 7002 remote jenny.vpntunnel.se 7003 remote jenny.vpntunnel.se 7004 [/code]

[b]Ne plus rien modifier via l'interface web VPN car cela écraserait ce fichier et remettrait le port par défaut.[/b]

Cliquer uniquement sur le bouton connexion.

Quelques rappels sur les commandes vi :

vi fichier "ouvre le fichier en mode vi"

[FLECHES] "déplacer le curseur"

[iNSER] "pour activer/désactiver l'insertion de caractères"

[Ech] :wq [ENTREE] "enregistrer"

[Ech] dd [ENTREE] "effacer la ligne entière"

[Ech] :q! [ENTREE] "quitter sans sauvegarder"

Modifié le 17 octobre 2012 par mmnospam

[ludo2604]

Un grand merci ça fonctionne

[Oniric]

il y a de l'echo ici mmnospam

nan car tu repetes juste ce que j'ai marqué au dessus ... m'enfin merci de tes "precisions".

precisions supplementaires :

pour certains pays les ports dans le fichier de conf fournis par vpntunnel sont faux.

la plus part du temps c'est les ports 7001-7004 et non 30001-30004 comme spécifié dans les fichiers. pour le verifier il suffit de lancer de client windows openvpn qui est auto configuré et de regarder dans les logs les ports utilisés.

content que ca puisse aider/etre repeté

[mikl666]

Bonjour,

j'ai suivi les instruction contenues dans ce topic... Effectivement, j'arrive bien à me connecter au VPN roumain, sauf que les torrents ne marchent pas, et restent bloqués sur "could not connect to tracker". D'ailleurs, dans la fenètre VPN, j'envoi mais je ne reçois rien (0 en réception, alors que l'émission possède un "score"). J'ai forwardé mes ports sur ma box... Je comprends pas.

[Oniric]

Bonjour Mikl666,

tu as lus les reponses au tutorial ? le message de moi et mmmospam au dessus.

et sinon as tu pensé as reglé le firewall du syno avec une regle pour les ports du vpn ?

Modifié le 21 octobre 2012 par Oniric

[GrdPa]

Bonjour,

Je suis l'heureux acquéreur d'un DS413J depuis vendredi. Comme tout bon débutant je me suis précipité sur les tutos du forum, afin de configurer au mieux la bête.

J'ai hélas quelques problèmes avec le vpn de vpntunnel.se.

J'ai suivi scrupuleusement le tuto ci-dessus et j'ai modifié via putty, les 2 fichiers comme indiqués (je cherche moi aussi à me connecté en suede via le port 7001).

J'ai donné l'accès dans le firewall du syno et j'ai ouvert le port en udp sur ma freebox v5.

J'arrive effectivement à me connecté au VPN, hélas, comme Mikl666 je n'ai rien en réception. C'est flagrant sur mes tests avec sabNZB qui marche parfaitement une fois le VPN déconnecté.

Je suis donc preneur de la moindre idée.

Merci d'avance pour votre aide.

[gothax]

Bonjour, je vais actualiser le tutoriel car les informations de Oniric et mmnospam sont de précieuses informations pour se connecter sans problème à VPNTunnel.se

La méthode est celle que j'ai décrite cependant vous devez modifier les fichiers conf dans votre syno pour indiquer les bons ports.

ATTENTION que le port 7001 est utilisé par FileStation en connexion sécurisé !!! Donc pour me connecter en Suède j'ai omis le 7001 pour commencer dans mon routeur par 7002-7004 (si cela peut t'aider GrdPa)

[tomtom2478]

Bonjour à tous

Pour info, j'ai installé le dernier firmeware du DSM (j'ai un DS110J) et je n'ai plus aucun soucis pour me connecter via VPNTunnel en indiquant exclusivement l'adresse du VPN, utilisateur et mot de passe, et un des certificats présent sur le site de VPNTunnel.

Il y as même une option de reconnection auto au VPN.

Acutellement en test chez moi pour voir si cela tiens bien.

[whacks]

Bonjour,

Tout d'abord je voulais remercier Gothax et Oniric pour ce tuto.

Mais je voudrais prévenir ceux qui ne l'auraient pas déjà compris qu'utiliser le client VPN dans ce contexte rend votre NAS complètement accessible depuis Internet sans filtrage IP.

Si vous êtes prudent vous avez surement paramétré votre boxADSL (ou autre) pour qu'elle ne translate que quelques ports entrants restreints vers votre NAS.

Vous avez également dû paramétrer correctement le firewall intégré du Synology pour le protéger de tentatives d'accès indésirables, y compris depuis le LAN.

Mais le fait d'utiliser le client VPN décrit dans le tuto ci-dessus (ou tout autre fournisseur VPN) va mettre à mal toutes ces protections. En effet une fois le tunnel VPN monté vers votre fournisseur, votre Synology se retrouve avec une nouvelle interface logique (tun0) qui prend l'adresse IP publique fournie par le fournisseur VPN.

Et le firewall du Synology ne s'applique par à cette nouvelle interface (il ne s'applique qu'a eth0). Quand à votre boxADSL, elle est complètement transparente puisque toutes les connexions faites sur l'adresse IP du VPN passent dans le tunnel, sur lequel la box n'a pas d'action filtrante.

Pour un peu plus de technique, vous pouvez voir vos interfaces avec la commande : ifconfig

Voir vos règles firewall du NAS avec : iptables -L -v

Vous verrez alors que vos règles firewall ne s'appliquent que sur l'interface eth0 et qu'il n'y en a aucune sur tun0.

Pour confirmer, utilisez un scanner IP sur votre adresse VPN publique.

Regardez ce que j'ai trouvé sur une adresse IP proche de celle que m'a attribué VPNtunnnel.se :

> nmap -Pn -v 5.254.139.XXX

Scanning dhcp-5-254-139-XXX.cust.vpntunnel.se (5.254.139.XXX) [1000 ports]

Discovered open port 80/tcp on 5.254.139.XXX

Discovered open port 139/tcp on 5.254.139.XXX

Discovered open port 445/tcp on 5.254.139.XXX

Discovered open port 21/tcp on 5.254.139.XXX

Discovered open port 22/tcp on 5.254.139.XXX

Discovered open port 25/tcp on 5.254.139.XXX

Discovered open port 5432/tcp on 5.254.139.XXX

Discovered open port 5001/tcp on 5.254.139.XXX

Discovered open port 50001/tcp on 5.254.139.XXX

Discovered open port 631/tcp on 5.254.139.XXX

Discovered open port 50002/tcp on 5.254.139.XXX

Discovered open port 3493/tcp on 5.254.139.XXX

Discovered open port 5000/tcp on 5.254.139.XXX

Discovered open port 3689/tcp on 5.254.139.XXX

Discovered open port 49152/tcp on 5.254.139.XXX

Discovered open port 515/tcp on 5.254.139.XXX

Completed SYN Stealth Scan at 20:39, 31.76s elapsed (1000 total ports)

Nmap scan report for dhcp-5-254-139-XXX.cust.vpntunnel.se (5.254.139.XXX)

Host is up (0.21s latency).

Not shown: 983 closed ports

PORT STATE SERVICE

21/tcp open ftp

22/tcp open ssh

25/tcp open smtp

80/tcp open http

139/tcp open netbios-ssn

445/tcp open microsoft-ds

515/tcp open printer

631/tcp open ipp

1720/tcp filtered H.323/Q.931

3493/tcp open nut

3689/tcp open rendezvous

5000/tcp open upnp

5001/tcp open commplex-link

5432/tcp open postgresql

49152/tcp open unknown

50001/tcp open unknown

50002/tcp open iiimsf

Evidemment c'était un Syno, en DSM 4.0. J'ai envoyé un petit message sur son imprimante pour prévenir cet utilisateur inconscient.

Si vous êtes un minimum précautionneux, cela devrait vous alarmer. Il est donc nécessaire de vous faire un petit script pour iptables pour limiter les ports en écoute sur l'interface tun0.

Autrement dit, réduire l'exposition de votre NAS pour ceux qui tenteront de le joindre en remontant dans le tunnel VPN.

Voici un script extrêmement simple qui n'ouvre que les ports pour le tracker BitTorrent du download station. A vous d'adapter le script en fonction de vos besoins.

#!/bin/sh

#

iptables="/sbin/iptables"

### Ouverture des deux ports entrant pour BT ###

$iptables -A INPUT -i tun0 -p tcp --destination-port 6881 -j ACCEPT

$iptables -A INPUT -i tun0 -p udp --destination-port 45678 -j ACCEPT

### On interdit tout autre port entrant ###

$iptables -A INPUT -i tun0 -p tcp -j DROP

$iptables -A INPUT -i tun0 -p udp -j DROP

$iptables -A INPUT -i tun0 -p icmp -j DROP

Ce script fonctionne très bien en le lançant à la main une fois le tunnel VPN monté.

Mais idéalement il faudrait que ce script s'active automatiquement quand on monte le tunnel VPN, ou quand le tunnel VPN se remonte tout seul suite à une rupture accidentelle.

J'ai fait quelques tests à la recherche de cet automatisme, mais ils n'ont pas été concluants. Si quelqu'un voit comment faire pour automatiser l'exécution du script avec le montage du VPN je suis preneur.

[Phill68]

Bonjour,

Merci pour ce tuto.

J'arrive

[ERaw]

[...]

Ce script fonctionne très bien en le lançant à la main une fois le tunnel VPN monté.

Mais idéalement il faudrait que ce script s'active automatiquement quand on monte le tunnel VPN, ou quand le tunnel VPN se remonte tout seul suite à une rupture accidentelle.

J'ai fait quelques tests à la recherche de cet automatisme, mais ils n'ont pas été concluants. Si quelqu'un voit comment faire pour automatiser l'exécution du script avec le montage du VPN je suis preneur.

Bonjour,

J'étais à la recherche d'une solution pour premierement Utiliser un VPN pour certains service, ça c'est facile... et de deux, connaissant les bémols du client VPN du syno et l'impossibilité de faire pareil qu'ici : http://tech.kanka.ch/?p=153 , J'ai finalement opté pour ta solution avec le script pour le firewall.

J'ai trouvé comment le lancer quand le VPN se connecte (ainsi qu'ventuellement un autre script quand il se deconnecte, pour nettoyer par exemple).

Le syno crée deux fichier de conf lorsque l'on crée/modifie une connection client VPN dans /usr/syno/etc/synovpnclient/openvpn ainsi que le fichier de certificat importé

DiskStation> cd /usr/syno/etc/synovpnclient/openvpn
DiskStation> ls -l
-rwxr-xr-x    1 root     root          1265 Jan  4 12:14 ca_XXXXXXXXXXX.crt
-rw-r--r--    1 root     root           290 Jan  4 17:24 client_XXXXXXXXXXX
-rw-r--r--    1 root     root           385 Jan  4 12:33 ovpn_XXXXXXXXXXX.conf

Le fichier client_ contient la config au formalisme de openvpn, le ovpn_.conf ressemble a une conversion a la sauce syno (avec users et mots de passe) de ces mêmes informations.

Pour lancer un script après une connection réussie au VPN, il faut éditer client_XXXXXXXXXXX et ajouter a la fin:

DiskStation> cat client_XXXXXXXXXXX
dev tun
tls-client
remote anna.vpntunnel.se 1194
pull
proto udp
ca ca_XXXXXXXXXXX.crt
comp-lzo
script-security 2
float
reneg-sec 0
explicit-exit-notify
plugin /lib/openvpn/openvpn-down-root.so /etc/ppp/ip-down
auth-user-pass /tmp/ovpn_client_up
up /usr/syno/etc/synovpnclient/openvpn/up.sh
DiskStation>

Ce script up sera lancé après une connection réussie (voir http://askubuntu.com/questions/28733/how-do-i-run-a-script-after-openvpn-has-connected-successfully ) et avec down vous pourrez faire pareil pour la déconnection.

assurez-vous que le script est exécutable! (chmod +x):

DiskStation> ls -l
-rwxr-xr-x    1 root     root          1265 Jan  4 12:14 ca_o1357298091.crt
-rw-r--r--    1 root     root           290 Jan  4 17:24 client_o1357298091
-rw-r--r--    1 root     root           385 Jan  4 12:33 ovpn_o1357298091.conf
-rwxr-xr-x    1 root     root          1190 Jan  4 17:20 up.sh

Le seul bémol, c'est que (je suppose) si on modifie la config via le DSM, on perd la modif.

J'espère que ça en aura aidé! ;-)

EDIT: DSM 4.1

Modifié le 4 janvier 2013 par ERaw

[ERaw]

Bonjour à ceux qui me liront!

La méthode décrite plus haut ne fonctionne que pour une connection propre et pas une reconnection après perte de celle-çi.

C'est étrange car suivant la doc openvpn, le script spécifié devrait être exécuté a chaque (re)conection... Je suppose que le problème est dû a la couche Syno par dessus openvpn.

Je vais me diriger vers une config d'un router (DD-WRT) qui utilisera le VPN (tun0) pour certains ports uniquement (iptables).

[slybreiz]

faut il aussi modifier le fichier ovpn_* avec les adresse de vpntunnel ?

car je l'ai fait et ca ma bloqué mon client vpn obliger de supprimer les fichier dans /usr/syno/etc/synovpnclient/ pour reprendre la main .

Modifié le 14 janvier 2013 par slybreiz

[slybreiz]

bon

malgre la redirection de port sur ma Livebox 7001-7002 en tcp/udp vers le Nas

la modification du fichier Client_*

avec remote-random

je n'arrive pas a connecter mon syno aux vpn de vpntunnel ( en openvpn)

ais je louper une Etape j'ai bien suivie le tuto + les modification a faire .

j'ai même désactiver le serveur openvpn du syno qui bloque le client vpn du syno .

[ERaw]

malgre la redirection de port sur ma Livebox 7001-7002 en tcp/udp vers le Nas

Bonjour slybreiz,

Les ports 7001 etc ne doivent pas être routés de ta box vers ton Syno! C'est le port 1194 (par défaut pour openvpn) qui doit l'être.

Pour tester la connection du client VPN, il suffit de suivre le tuto depuis le début. Si besoin, efface toutes les configs de clients déjà présentes et recommence depuis le début.

Après il sera temps de regardr pour le firewall.

[jeradam]

Hello

La case "Autorisez d'autres appareils du réseau à se connecter via la connexion internet de ce diskstation" correspond à quoi exactement?

J'ai récemment fait l'achat d'un TV samsung connecté (connecté en wifi à ma box) mais elle ne dispose pas de client VPN. Est ce que je pourrais utiliser cette option pour faire transiter mes données via mon nas (connecté lui en ethernet) ?

C'est surtout pour pouvoir aller sur youtube and co qui ne stream jamais...

Merci de votre aide

[RaoulGuinness]

Bonjour,

je viens de prendre un compte chez vpntunnel et, grâce à ce topic, j'ai pu configruer la connection vers le serveur suedois.

En revanche, impossible de faire fonctionner les autres serveurs.

Sur le serveur NL, j'ai ce message par exemple

Voici ma conf :

dev tun
tls-client
remote-random
remote jenny.vpntunnel.se 7001
remote jenny.vpntunnel.se 7002
remote jenny.vpntunnel.se 7003
remote jenny.vpntunnel.se 7004
pull
proto udp
ca ca_o135********.crt
comp-lzo
script-security 2
float
reneg-sec 0
explicit-exit-notify
plugin /lib/openvpn/openvpn-down-root.so /etc/ppp/ip-down
auth-user-pass /tmp/ovpn_client_up

Concernant le serveur DE, je me retrouve avec ça :

Pourtant, j'utilise bien le même mot de passe que pour le serveur SE (qui fonctionne)

Vous arrivez à vous connecter sur d'autres serveurs vous ?

Modifié le 3 février 2013 par RaoulGuinness