Limiter Les Ports Ouverts ?

[Lekouti]

Bonjour à tous...

Dans un souci de bien sécuriser mon NAS, je me tourne vers vous avec quelques questions de débutant.

Info pratique ;

NAS : Syno 213+

BOX : Labox Numericable

Utilisation du NAS : DSM en local et via Internet (DYNDNS) pour Files Station et Download Stadion, DS Video et DS Files via Appli Ipad...quelques compte amis avec acces à Files Station et lecture seul.

J'ai actuellement sur ma box les transferts de port suivant :

HTTP > TCP 192...

HTTPS 443 > 443 TCP 192...

NAS 5000 > 5000 TCP 192...

HTTPS 5001 > 5001 TCP 192...

HTTP 5005 > 5005 TCP 192...

HTTS 5006 > 5006 TCP 192...

Dans la configuration routeur du Syno j'ai les ports suivant Activé (la redirection auto en HTTPS est activé) :

- TCP

- 443 TCP

- 5000 TCP

- 5001 TCP

Ma premiere question est de savoir si tout les ports ci dessus et vu l'utilisation, finalement limité du Syno, on raison d'etre actif ?

J'ai effectuer 2 test de scan port ce matin.

Le 1er via Zebulon qui me signal aucun port ouvert, 443 caché... mais le scan ne va pas plus loin que le port 5000, quid du 5005/5006...?

Le 2eme via GRC/ShieldsUP qui lui me vois égéalement le port 443 caché mais le port 5000 ouvert , idem quid du 5005/5006.

Voila j'ai fais le tour, vous l'aurai compris, j'aimerai securiser au max mon install.

Je suis donc preneur de toutes infos et optimisation.

Merci milles fois

Modifié le 20 décembre 2013 par Lekouti

[white.spirit]

Bonjour,

Il y a a priori peu de sens à ouvrir chaque fois un service sur son port standard et sur son port sécurisé; tu ne devrais donc déjà garder que:

HTTPS 443 > 443 TCP 192...

HTTPS 5001 > 5001 TCP 192...

HTTS 5006 > 5006 TCP 192...

5006 est pour WebDAV; d'après les utilisations que tu indiques, il n'y a pas besoin de l'ouvrir; idem pour 443 qui est réservé pour un site web ou Photo Station (que tu n'utilises pas non plus apparemment).

Modifié le 20 décembre 2013 par white.spirit

[Lekouti]

Ok merci, c'est justement ce que je me disait sur l'ouverture de port non sécurisé.

En revanche WebDAV ne sert il pas a modifier des fichier et acceder au DSM a distance ?

Merci

[CoolRaoul]

En revanche WebDAV ne sert il pas a modifier des fichier et acceder au DSM a distance ?

Webdav est aussi necessaire pour DSFile.

[tonymans72]

Je te conseille HaProxy.

Tu n'as plus qu'à rediriger les ports et 443 sur ton NAS et c'est nikel.

Pour ma part, juste le 443, puisque je force le HTTP en HTTPS.

Modifié le 20 décembre 2013 par tonymans72

[CoolRaoul]

Je te conseille HaProxy.

Tu n'as plus qu'à rediriger les ports et 443 sur ton NAS et c'est nikel.

Pour ma part, juste le 443, puisque je force le HTTP en HTTPS.

Tu es sur que ça suffira pour gérer les connexions webdav de DSFile aussi? (sans ajouter les ports 5005 et/ou 5006 je veux dire)

Modifié le 20 décembre 2013 par CoolRaoul

[tonymans72]

Tu es sur que ça suffira pour gérer les connexions webdav de DSFile aussi? (sans ajouter les ports 5005 et/ou 5006 je veux dire)

En effet, c'est pas sur...

Comment puis-je tester ?

J'essaie d'éditer un word à distance via filestation (sans le sauvegarder sur mon poste local ?)

J'utilise pas Webdav, donc je ne sais pas comment l'utiliser

Modifié le 20 décembre 2013 par tonymans72

[CoolRaoul]

En effet, c'est pas sur...

Comment puis-je tester ?

J'essaie d'éditer un word à distance via filestation (sans le sauvegarder sur mon poste local ?)

J'utilise pas Webdav, donc je ne sais pas comment l'utiliser

On parle de DSFile (pour smartphone) là, pas de filestation.

[tonymans72]

On parle de DSFile (pour smartphone) là, pas de filestation.

J'ai une redirection dans HaProxy du port 5005 vers webdav

Je peux donc me connecter avec DS File (iPhone) sur webdav.mondomaine.fr

Tu veux que je teste quoi maintenant ? ouverture d'un fichier ?

[CoolRaoul]

J'ai une redirection dans HaProxy du port 5005 vers webdav

Je peux donc me connecter avec DS File (iPhone) sur webdav.mondomaine.fr

Tu veux que je teste quoi maintenant ? ouverture d'un fichier ?

Si la connexion marche c'est bon, le test est concluant: authentification et transferts de données utilisent le même port.

[tonymans72]

Ben j'arrive pas à modifier en live un .txt... C'est bizarre non ?

[CoolRaoul]

J'ai oublié un truc: il y a DS File et DS File, si les version Android et IOS utilisent bien webdav; la version pour Windows Phone passe sur le port 5000 si j'en crois cette table.

Ben j'arrive pas à modifier en live un .txt... C'est bizarre non ?

Et que donne un simple téléchargement?

**edit**

le DSFile IOS est sans doute différent ...

Modifié le 20 décembre 2013 par CoolRaoul

[tonymans72]

J'ai oublié un truc: il y a DS File et DS File, si les version Android et IOS utilisent bien webdav; la version pour Windows Phone passe sur le port 5000 si j'en crois cette table.

Et que donne un simple téléchargement?

**edit**

le DSFile IOS est sans doute différent ...

Le téléchargement fonctionne (téléchargement vers mon iPhone)

Modifié le 20 décembre 2013 par tonymans72

[CoolRaoul]

Le téléchargement fonctionne (téléchargement vers mon iPhone)

Faudrait alors comprendre en quoi consiste cette modification "en live", comme tu dis

Sur Androïd ça n'existe pas.

[tonymans72]

Faudrait alors comprendre en quoi consiste cette modification "en live", comme tu dis

Sur Androïd ça n'existe pas.

Ne connaissant pas WebDav, j'ai recherché et trouvé cette définition sur le site de synology :

Intégrée dans la plupart des systèmes d'exploitation modernes, WebDAV est une méthode basée sur HTTP permettant aux utilisateurs de modifier et de gérer des documents qui sont stockés sur les serveurs via Internet. En activant le service WebDAV sur DiskStation, vous pourrez ouvrir un document Word ou une feuille Excel et travailler sur Internet.

On m'aurait menti

Si WebDav ne fait pas la modification en ligne, à quoi sert-il ? Car télécharger des fichiers, y a pas besoin de cela..

[CoolRaoul]

Ne connaissant pas WebDav, j'ai recherché et trouvé cette définition sur le site de synology :

On m'aurait menti

Si WebDav ne fait pas la modification en ligne, à quoi sert-il ? Car télécharger des fichiers, y a pas besoin de cela..

On ne t'a pas menti, j'avais mal compris ton message: en te lisant ("j'arrive pas à modifier en live un .txt") j'ai pensé que DSFile sous IOS permettait d'éditer un fichier à la volée et que ca coincait lorsque tu faisais la manip.

En fait, bien que Synology a choisi de s"appuyer sur webdav pour DSFile, ils n'ont pas choisi d'utiliser cette fonctionnalité, ni sous Android ni sous IOS.

La question qu'on se posait était simplement si, en ouvrant le bon port et via haproxy DSFile fonctionnait. Ton test de connexion prouve que oui. Pour moi c'est concluant. Inutile de tester autre chose.

Si maintenant tu tiens vraiment à valider la modif en live d'un fichier, faudra que tu utiise un autre client webdav que que DSFile mais je ne connais pas ce qui existe sous IOS.

[tonymans72]

On ne t'a pas menti, j'avais mal compris ton message: en te lisant ("j'arrive pas à modifier en live un .txt") j'ai pensé que DSFile sous IOS permettait d'éditer un fichier à la volée et que ca coincait lorsque tu faisais la manip.

En fait, bien que Synology a choisi de s"appuyer sur webdav pour DSFile, ils n'ont pas choisi d'utiliser cette fonctionnalité, ni sous Android ni sous IOS.

La question qu'on se posait était simplement si, en ouvrant le bon port et via haproxy DSFile fonctionnait. Ton test de connexion prouve que oui. Pour moi c'est concluant. Inutile de tester autre chose.

Si maintenant tu tiens vraiment à valider la modif en live d'un fichier, faudra que tu utiise un autre client webdav que que DSFile mais je ne connais pas ce qui existe sous IOS.

Ah d'accord, dommage...

Donc, oui, HaProxy permet de faire fonctionner webdav (qui en doutait lol haProxy sait tout faire )

Tu utilises quoi toi sous Android ? il doit bien y avoir la même chose

Modifié le 20 décembre 2013 par tonymans72

[CoolRaoul]

Donc, oui, HaProxy permet de faire fonctionner webdav (qui en doutait lol haProxy sait tout faire )

Mais je n'en ai jamais douté!

C'est plutôt toi (homme de peu de foi ) alors que suite à "Tu n'as plus qu'à rediriger les ports et 443" j'ai suggéré qu'il fallait aussi penser aux ports webdav que tu alors proposé de tester.("En effet, c'est pas sur... Comment puis-je tester ")

Tu utilises quoi toi sous Android ? il doit bien y avoir la même chose

Tu sais, même les applications qui permettent de modifier un fichier distant ne font rien de plus magique que DSfile: elles font une copie locale, invoquent un éditeur et recopient le fichier en bloc une fois terminé. Il n'y a jamais de modification "en live" (au sens ou tout ce que l'on saisit en mode édition serait flushé au fil de l'eau sur le serveur distant).

Et sinon, simplement éditer un fichier on peut le faire avec DSfile Androïd avec l'action "ouvrir".

J'aime beaucoup "EZ Explorer", un véritable couteau suisse de gestion des fichiers locaux et distant.

[Einsteinium]

Une alternative, tu installes le vpn sur ton synology, tu n'ouvres que les ports de celui-ci dans ta box, à l'extérieur de chez toi, une fois connecté au VPN, tu te connectes comme si tu étais en local