Aide Sur Le B-A-Ba Du R

[Fragger008]

Bonjour à tous,

Alors voilà je suis possesseur depuis quelques jours d'un DS214Play, et j'en suis ravi !

Seulement voilà, je n'ai pas beaucoup de connaissances en réseau. J'ai déjà entendu de plein de choses, adresse IP, routeur, ouvertures de ports, passerelles, serveur DNS, etc... mais certaines choses sont à peu près claires, d'autres sont très confuses. A cela vient s'ajouter la sécurité par rapport à des hackers ou autres.

Donc pour le moment, je lis plein de choses, sur ce forum, sur internet, sur l'aide de Synology, sur la notice, j'ai déjà commencé par essayer de rendre les choses les plus sécurisées possibles par rapport au compte admin et tout, j'ai suivi plusieurs tutos pour passer en HTTPS, changer le compte admin par défaut, utiliser la double vérification, etc...

Cependant, je vais bientôt vouloir apprendre des choses pour pouvoir paramétrer tout ce beau monde et permettre d'accéder à mon contenu depuis l'extérieur de mon réseau local. Mais voilà, je commence à être confronté à des termes que je ne maitrise pas bien. D'autre part, on lit pas mal de choses sur la facilité pour des pirates de venir sur des réseaux comme ça de particuliers, du coup on parle d'ouvrir des ports, mais en même temps si ces ports sont ouverts, à priori j'ai l'impression qu'ils le sont pour n'importe qui, et donc je me demande comment ça peut être sécurisé si l'on ouvre des ports ? Voilà une des nombreuses questions que je me pose, et je ne trouve pas forcément de questions pour y répondre sur le net...

Connaitriez-vous des sites internet ou des tutoriels qui expliquent bien tout comme il faut, en partant de la base, histoire d'avoir un peu les idées claires avant de se lancer là-dedans ?

Merci d'avance à tous ceux qui prendront le temps de me répondre

[Kramlech]

J'ai l'impression que comme pour beaucoup de personne, les ports et leur utilités demeure un grand mystère...

Il y a quelques temps, j'avais essayé de démystifier tout cela, et cela avait donné le texte ci après ...

Et si on comprend bien le fonctionnement, on se rend compte que ce n'est pas l'ouverture d'un port qui compromet la sécurité d'un réseau, mais la qualité du service qui écoute ce port ....

La redirection de port pour les nuls …

Bien que l’on trouve beaucoup d’explications sur la manière de rediriger (ou d’ouvrir) des ports sur un routeur, je trouve que ces explications sont souvent des « recettes de cuisines » qui n’expliquent pas le pourquoi de la chose.

Donc si la recette ne fonctionne pas, bien des personnes se retrouvent complètement perdues car elles n’ont pas compris la finalité des opérations qu’elles ont pu faire.

Le but de ce dossier, c’est d’essayer d’expliquer en quelques mots simples les notions d’adresse IP, de ports, de réseau interne, etc …

J’espère que ces explications permettront à tous de s’y retrouver plus facilement (et que les spécialistes m’excusent des approximations ou analogies pas forcément judicieuses que je pourrai faire…).

Adresse IP et Ports

Petit rappel : toute machine connectée sur le réseau internet est identifiée d’une manière unique par son adresse IP. Cette adresse est constituée par quatre séries de nombres compris entre 0 et 255, et séparés par des points.

Exemple : 123.123.123.123

Je vais commencer par une analogie : cette adresse IP = adresse postale.

Une machine à l’adresse IP 123.123.123.123peut être comparée à une maison qui se trouverait au 125, rue Tabaga, 75005 Paris.

Si je veux contacter cette machine, c’est comme si j’envoyais une lettre à cette adresse.

Mais en général, on n’envoie pas une lettre à une adresse, on envoie une lettre à une personne qui habite à cette adresse.

Pour la machine c’est pareil. L’adresse IP ne suffit pas, il faut indiquer à quel service (hhtp, https, ftp, etc…) de la machine on veut s’adresser. C’est à cela que servent les ports. Chaque service « ecoute » un port spécifique ( pour http, 443 pour https, 21 pour ftp …).

Donc si je veux envoyer une requête ftp à ma machine, je vais l’envoyer à l’adresse 123.123.123.123:21

Voila donc à quoi servent les ports …

Réseau Public / Réseau Privé

Il faut bien comprendre la différence entre réseau public (ou réseau internet) et réseau privé (ou réseau interne).

Lorsque l’on prend un abonnement internet, notre fournisseur d’accès nous permet de nous connecter sur le réseau public grâce à une adresse IP. Tant que l’on ne connecte qu’une seule machine sur le réseau public, il n’y a pas de problème, cette adresse IP publique est suffisante pour identifier notre machine.

Mais si on souhaite pourvoir connecter plusieurs machines sur le réseau public (deux PC, un PC et un NAS, ….), on va avoir un problème : on a vu que toute machine connectée sur le réseau doit avoir une adresse IP. Alors comment faire pour connecter plusieurs machines différentes avec seule adresse IP.

Pour cela, on va utiliser une astuce. On va créer un réseau privé qui va relier entre elles toutes nos machines. Et dans ce réseau, on va introduire un appareil spécial qui va permettre de mettre en communication le réseau privé et le réseau privé. C’est le routeur. Il va créer et gérer une passerelle entre les deux réseaux …

Depuis l’extérieur (le réseau public), seul le routeur est visible et joignable. C’est à lui que l’on accède avec l’adresse IP publique.

En interne, chaque machine a sa propre adresse IP. Il s’agit d’adresses spécifiques, qui sont réservées et qui ne sont pas attribuées dans le réseau public. Les plus connues sont les adresses de type 192.168.xxx.xxx. Ce sera généralement celles là que l’on va utiliser (mais ce ne sont pas les seules, il existe d’autres plages réservées).

Le routeur

Le rôle du routeur va être le suivant :

• Une machine du réseau interne veut rechercher une information sur internet.
• Elle envoie sa demande au routeur.
• Le routeur mémorise quelle machine (IP) à fait cette demande, et transmet cette demande sur internet.
• Lorsque la réponse arrive, elle arrive sur le routeur (car c’est lui qui est connu depuis internet).
• Le routeur sait quelle machine à fait la demande, et il envoie donc la réponse à cette machine.

On est là dans le cas général ou c’est notre machine interne qui est à l’initiative de l’échange.

Mais lorsque l’on a un serveur NAS dans notre réseau interne (ou quand l’une des PC du réseau fait office de serveur – cas des logiciels peer to peer par exemple), on est confronté à un autre cas de figure : C’est une machine qui est sur le réseau public qui veut accéder à un serveur de notre réseau privé.

Cette machine va adresser une requête à notre adresse publique (la seule connue). Cette requête va donc arriver à notre routeur. Alors comment le routeur va-t-il savoir à quelle machine du réseau interne il doit adresse cette requête. Et bien c’est là qu’intervient la redirection de port …

En effet, on a vu plus haut que toute requête adressée à une machine est en fait adressée à une adresse IP et à un port (si aucun port n’est indiqué, c’est par défaut le port – ou le 443 si on est en HTTPS - qui utilisé).

Il existe au niveau du routeur, une table de correspondance qui va lui permettre se savoir que quand il reçoit une requête pour un port donné, il doit envoyer cette requête vers une certaine machine et un certain port.

Exemples :

• Une requête pour le port va être dirigée vers le port du NAS
• Une requête pour le port 5000 va être dirigée vers le port 5000 du NAS
• Une requête pour le port 45678 va être dirigée vers le port 12345 du PC n° 1
• Etc ….

Modifié le 17 août 2014 par Kramlech

[pluton212+]

clap clap clap

[Fragger008]

Merci beaucoup Kramlech pour ce post très intéressant qui me permet d'éclaircir plusieurs zones d'ombres

Cependant, j'ai tout bien compris à part le dernier paragraphe sur la redirection de port. Lorsqu'on envoie une requête depuis l'extérieur, si j'ai bien compris, vu que la seule adresse IP visible est celle du routeur, on enverra une requête au routeur, mais dans cette requête il faut qu'il y ait des "infos" pour que le routeur sache ensuite à qui doit être adressée cette requête c'est bien ça ? Et c'est donc là qu'interviennent les ports mais c'est là aussi que je ne comprends plus...

A l'intérieur du réseau local, chaque machine possède une adresse IP et peut utiliser différents ports c'est ça ? Mais si deux machines du réseau local veulent utiliser le même port on fait comment ? Le routeur voit un numéro de port dans la requête externe, mais comment savoir à qui il doit l'adresser si les deux machines à l'intérieur du réseau utilisent ce même port ? J'ai l'impression qu'il y a un "perte" d'information à ce moment et c'est là que je ne comprends pas. Ou alors il y aurait deux sortes de ports, des ports "internes" et des ports externes" ? Par exemple : on envoie une requête de l'extérieur vers l'IP publique du routeur avec un numéro de port "A", et le routeur assimile ce port "A" à l'adresse IP locale du routeur avec le port "interne" "B" ? C'est ça ou j'ai tout faux ?

Et puis, même si j'ai bien compris tout ce que tu as écrit, je ne comprendre toujours pas bien ce que veut dire "ouvrir des ports" ou "fermer des ports". Et où interviennent les sécurités qui permettent d'éviter que des personnes étrangères puissent rentrer sur le réseau ? Puisque dans ma tête (même si c'est faux mais je sais pas encore où ), il suffirait à un hacker de connaitre l'adresse IP du routeur et à la limite de savoir qu'il y a un NAS derrière, pour envoyer une requête avec le bon numéro de port (liste qui est bien accessible directement sur le site des constructeurs) puisqu'il n'a même pas besoin de connaitre l'IP du NAS dans la mesure où ce serait le routeur qui va envoyer la requête directement là où il faut non ?

Désolé si je dis des bêtises, mais c'est aussi pour vous montrer ce que je comprends et vous permettre de savoir ce qui est faux dans mon raisonnement pour pouvoir me corriger.

Merci d'avance pour vos réponses très instructives.

[Kramlech]

Merci beaucoup Kramlech pour ce post très intéressant qui me permet d'éclaircir plusieurs zones d'ombres

Cependant, j'ai tout bien compris à part le dernier paragraphe sur la redirection de port. Lorsqu'on envoie une requête depuis l'extérieur, si j'ai bien compris, vu que la seule adresse IP visible est celle du routeur, on enverra une requête au routeur, mais dans cette requête il faut qu'il y ait des "infos" pour que le routeur sache ensuite à qui doit être adressée cette requête c'est bien ça ? Et c'est donc là qu'interviennent les ports mais c'est là aussi que je ne comprends plus...

A l'intérieur du réseau local, chaque machine possède une adresse IP et peut utiliser différents ports c'est ça ? Mais si deux machines du réseau local veulent utiliser le même port on fait comment ?

C'est impossible => un numéro de port ne peut être renvoyé que vers UNE SEULE machine

Le routeur voit un numéro de port dans la requête externe, mais comment savoir à qui il doit l'adresser si les deux machines à l'intérieur du réseau utilisent ce même port ? J'ai l'impression qu'il y a un "perte" d'information à ce moment et c'est là que je ne comprends pas. Ou alors il y aurait deux sortes de ports, des ports "internes" et des ports externes" ? Par exemple : on envoie une requête de l'extérieur vers l'IP publique du routeur avec un numéro de port "A", et le routeur assimile ce port "A" à l'adresse IP locale du routeur avec le port "interne" "B" ? C'est ça ou j'ai tout faux ?

Voir ma première réponse : dans tes règles de routage, tu indiques que ce qui arrive à destination du port xxx doit être envoyé vers le port yyy de la machine zzz.zzz.zzz.zzz ... Donc un port => une machine

Et puis, même si j'ai bien compris tout ce que tu as écrit, je ne comprendre toujours pas bien ce que veut dire "ouvrir des ports" ou "fermer des ports". Et où interviennent les sécurités qui permettent d'éviter que des personnes étrangères puissent rentrer sur le réseau ?

"Ouvrir des port" ou "fermer des ports", c'est pour moi un abus de langage.

Si un port n'est pas renvoyé vers une machine, ce port est considéré comme fermé. Toute requête à destination de se port n'arrivera nul part...

Si un port est redirigé vers une machine, c'est le service qui écoute le port sur cette machine qui se doit de gérer la sécurité.

Par exemple si tu as redirigé le port 5000 vers le port 5000 de ton NAS, c'est le DSM qui écoute ce port et qui va répondre à la requête, et qui va demander une identification. Si un hacker a identifié une faille dans cette demande d'identification (par exemple que le couple admin/admin est une identification câblée en dur dans le DSM), rien ne l’empêchera de prendre le contrôlé de ta machine...

Puisque dans ma tête (même si c'est faux mais je sais pas encore où ), il suffirait à un hacker de connaitre l'adresse IP du routeur et à la limite de savoir qu'il y a un NAS derrière, pour envoyer une requête avec le bon numéro de port (liste qui est bien accessible directement sur le site des constructeurs) puisqu'il n'a même pas besoin de connaitre l'IP du NAS dans la mesure où ce serait le routeur qui va envoyer la requête directement là où il faut non ?

Les hackers vont scanner les ports standards pour savoir s'il y a un service qui répond derrière. Par exemple, le port standard du service SSH est le port 22. C'est celui qui est sans doute le plus scanné, et qui va déclencher le plus de blocage automatique (si tu les a activés). Pour éviter le problème, il suffit de rediriger vers le port 22 de ton Nas non pas le port 22, mais un port plus exotique (par exemple le 48922). Personne ne va s’amuser à scanner ce port. Et toi tu peux accéder en toute tranquillité à tes sessions SSH avec une adresse de type xxx.xxx.xxx.xxx:48922

Désolé si je dis des bêtises, mais c'est aussi pour vous montrer ce que je comprends et vous permettre de savoir ce qui est faux dans mon raisonnement pour pouvoir me corriger.

Merci d'avance pour vos réponses très instructives.

[Fragger008]

Merci pour ces précisions

Donc, pour être bien sûr de comprendre :

Si j'ai deux NAS identiques, avec les mêmes ports utilisés, disponibles ici sur le site du constructeur :

https://www.synology.com/fr-fr/support/faq/299

Si je veux utiliser Cloudstation par exemple, il s'agit du port 6690.

Imaginons que je possède un cloudstation sur chaque NAS (c'est juste pour l'exemple).

Si je fais une requête xxx.xxx.xxx.xxx(adresse ip du routeur):0001 --> port 6690 du NAS "A"

Si je fais une requête xxx.xxx.xxx.xxx(adresse ip du routeur):0002 --> port 6690 du NAS "B"

J'ai bien compris ? Et c'est à moi de choisir les "0001" et "0002" ? Je peux mettre ce que je veux ? Et comment savoir si certains de ces ports "externes" sont déjà utilisés ? Il suffit de se connecter au routeur pour voir ce qu'il y a dans les redirections de port ?

[PiwiLAbruti]

Et c'est à moi de choisir les "0001" et "0002" ? Je peux mettre ce que je veux ?

Oui, il faut juste que tu choisisses un nombre supérieur à 1024.

Et comment savoir si certains de ces ports "externes" sont déjà utilisés ? Il suffit de se connecter au routeur pour voir ce qu'il y a dans les redirections de port ?

La liste des ports déjà utilisés est affichée dans les règles NAT de ta box/routeur.

[Fragger008]

Merci pour vos réponses

Du coup, concernant la sécurité, si je veux déjà limiter le nombre possible de hacks, il faudrait n'utiliser que des ports autres que ceux par défaut ?

Par exemple si je veux accéder en http à mon NAS avec le port 5000, il faudrait que je choisisse de rediriger un port non "connu" (6543 par exemple, au pif) vers le port 5000 de mon NAS, et faire ça pour tous mes accès distants c'est bien ça ? Comme Kramlech l'explique dans son dernier paragraphe ? Est-ce que ça a du sens ou est-ce que ça ne sert à rien ?

Enfin, si dans les paramètres NAT de mon routeur, tout est vide, ça veut dire que normalement tout est bloqué vers l'extérieur et que je ne crains absolument rien ? Ou tout n'est pas si simple ?

En tout cas, je comprends beaucoup mieux les choses maintenant grâce à vos réponses, merci beaucoup

[PiwiLAbruti]

Du coup, concernant la sécurité, si je veux déjà limiter le nombre possible de hacks, il faudrait n'utiliser que des ports autres que ceux par défaut ?

Par exemple si je veux accéder en http à mon NAS avec le port 5000, il faudrait que je choisisse de rediriger un port non "connu" (6543 par exemple, au pif) vers le port 5000 de mon NAS, et faire ça pour tous mes accès distants c'est bien ça ?

Très exactement

Est-ce que ça a du sens ou est-ce que ça ne sert à rien ?

Ce n'est pas de la sécurité mais ça permet de limiter la détection par des scans réseau (un truc du style nmap -Pn -sS -p 5000 a.b.c.x-y).

De ce que j'en ai vu, les victimes de SynoLocker avaient au moins le port tcp/5000 ouvert. Maintenant comme il s'agissait d'une vulnérabilité du DSM, le changement de port ne comble pas la faille mais ça évite qu'elle soit trop exposée.

Enfin, si dans les paramètres NAT de mon routeur, tout est vide, ça veut dire que normalement tout est bloqué vers l'extérieur et que je ne crains absolument rien ? Ou tout n'est pas si simple ?

À ton niveau tu peux considérer que si aucun port n'est ouvert, les attaques depuis l'extérieur sont quasi-impossible (mais on n'est pas à l'abri d'une faille du routeur, ce qui reste tout de même assez rare).

À partir du moment où tu ouvres un service sur internet (DSM via port tcp/5001, FTP via port tcp/21, ...), il faut avoir confiance dans la robustesse du service en question.

Modifié le 18 août 2014 par PiwiLAbruti

[Fragger008]

Merci encore pour ces précisions

Encore une chose, sur le routeur j'ai le choix entre TCP ou UDP, si j'ouvre un port pour le NAS, faut-il que j'utilise l'un, l'autre, ou les deux ?

[PiwiLAbruti]

Dans la très grande majorité des cas, il faut utiliser TCP.

Si un port doit être configuré en UDP, ça sera précisé (https://www.synology.com/fr-fr/support/faq/299).

[Fragger008]

Parfait merci beaucoup pour tous ces éclaircissements

Une autre question qui me turlupine : Qu'est-ce qu'un "masque de sous-réseau", que je vois tout le temps configuré sur 255.255.255.0 ? Et une adresse "MAC" ?

Désolé je pose beaucoup de questions ^^

Mais j'apprends plein de trucs grâce à vous

[kissaidonc]

Une petite recherche sur Google t'aurai donné ceci :

http://coursz.com/le-masque-de-sous-reseau-definition.html

L'adresse Mac est la carte d'identité d'une carte réseau celle -ci ne sera jamais identique sur 2 cartes

http://www.panoptinet.com/securiser-ma-connexion/documentation-technique/comment-trouver-son-adresse-mac/

Pour trouver toute tes adresses Mac de ton réseau tu as ceci >> SoftPerfect Network Scanner

En espérant t'avoir éclairé

[Fragger008]

Merci pour ta réponse kissaidonc.

J'avais fait quelques recherches sur Google, mais je suis souvent tombé sur des sites assez pointus avec un vocabulaire pointu, et comme je ne connais pas encore bien ce domaine, j'étais un peu perdu... D'où mes questions sur le forum où les réponses sont vraiment plus claires pour moi

[zarwinch]

Salut,

Tout nouveau possesseur d'un NAS DS214 play, je suis bien heureux que des membres du forum ai pris le temps d'expliquer de manière claire et rapide l'utilité et le fonctionnement de ces différents éléments de base du réseau. Tout est plus clair maintenant !!

Merci encore et au plaisir et vous lire et d'apporter ma contribution un jour si je le peux

[Fragger008]

Bonjour à tous,

Je viens de relire tout le sujet pour me faire une petite piqûre de rappel, et je me suis rendu compte de quelque chose qui me met le doute :

En effet, on a vu plus haut que toute requête adressée à une machine est en fait adressée à une adresse IP et à un port (si aucun port n’est indiqué, c’est par défaut le port – ou le 443 si on est en HTTPS - qui utilisé).

Il existe au niveau du routeur, une table de correspondance qui va lui permettre se savoir que quand il reçoit une requête pour un port donné, il doit envoyer cette requête vers une certaine machine et un certain port.

Exemples :

• Une requête pour le port va être dirigée vers le port du NAS
• Une requête pour le port 5000 va être dirigée vers le port 5000 du NAS
• Une requête pour le port 45678 va être dirigée vers le port 12345 du PC n° 1
• Etc ….

Oui, il faut juste que tu choisisses un nombre supérieur à 1024.

Comment fait-on du coup si l'on doit ouvrir un port inférieur à 1024 ? Si par exemple on veut ouvrir un port qui se trouve sur cette liste et qui est inférieur à 1024 :

https://www.synology.com/fr-fr/support/faq/299

On ne peut pas réutiliser le même numéro de port en externe pour éviter les "confusions" ? Par exemple, si on a besoin d'ouvrir un port pour le port 443 en HTTPS pour DS Photo+, on ne peut pas choisir le port 443 en externe ? Il faut utiliser un numéro supérieur à 1024 forcément ?

[PiwiLAbruti]

Non, pas forcément.

Si tu avais regardé les messages qui précèdent le mien, tu aurais vu qu'il s'agissait d'utiliser un port différent pour un service donné.

[Fragger008]

Merci pour ton message PiwiLAbruti, mais j'ai bien regardé les messages qui précèdent le tien, j'ai même relu plusieurs fois l'intégralité du sujet, et j'avoue que je ne comprends toujours pas Je ne vois pas ce que veut dire "utiliser un port différent pour un service donné"

Mais bon tant pis, je vais faire des tests et je verrai bien si ça fonctionne ou pas.

[PiwiLAbruti]

Ça veut dire par exemple rediriger le port tcp/55022 externe vers le port tcp/22 du NAS. Ainsi SSH est accessible sur le port tcp/55022 depuis l'extérieur du réseau.

[Fragger008]

Oui oui, c'est bien ce que j'avais compris, jusque là c'est OK pour moi, j'en avais déjà parlé dans mon précédent post :

Merci pour ces précisions

Donc, pour être bien sûr de comprendre :

Si j'ai deux NAS identiques, avec les mêmes ports utilisés, disponibles ici sur le site du constructeur :

https://www.synology.com/fr-fr/support/faq/299

Si je veux utiliser Cloudstation par exemple, il s'agit du port 6690.

Imaginons que je possède un cloudstation sur chaque NAS (c'est juste pour l'exemple).

Si je fais une requête xxx.xxx.xxx.xxx(adresse ip du routeur):0001 --> port 6690 du NAS "A"

Si je fais une requête xxx.xxx.xxx.xxx(adresse ip du routeur):0002 --> port 6690 du NAS "B"

J'ai bien compris ? Et c'est à moi de choisir les "0001" et "0002" ? Je peux mettre ce que je veux ? Et comment savoir si certains de ces ports "externes" sont déjà utilisés ? Il suffit de se connecter au routeur pour voir ce qu'il y a dans les redirections de port ?

Mais justement, si l'on ne veut pas utiliser un autre numéro de port (55022 au lieu de 22) pour que ce soit par exemple plus facile à retenir, ça veut dire que je ne peux pas rediriger le port 22 externe vers le port 22 du NAS parce que le port 22 est inférieur à 1024 ? C'était ça ma question en fait.

Merci.

[PiwiLAbruti]

Si tu peux.

Mais dans le cas de SSH (et d'autres services comme le DSM sur tcp/5000), tu exposes ton NAS aux scans automatiques sur ces ports et aux tentatives d'intrusions.

C'est d'ailleurs ce qui a servi de porte d'entrée au dernier ransomware qui cryptait les données des NAS Synology.

Si tu as une sauvegarde de ton NAS, ça n'a pas trop d'importance. Sinon tu risques éventuellement une perte irréversible de tes données comme certains l'ont récemment subie.

[Fragger008]

Oui donc c'est bien ce que j'avais compris dans tes précédents messages ! Du coup, pour en revenir à ma question initiale de ce matin, ta phrase qui disait d'utiliser un nombre supérieur à 1024, c'est uniquement pour des questions de sécurité ? Ce n'est pas une limite "technique" ?

C'est juste pour être sûr de bien comprendre hein

Merci pour ta disponibilité en tout cas

[PiwiLAbruti]

Non, ce n'est pas une limite technique ni vraiment de la sécurité.

Utiliser un port externe différent du port interne permet de moins exposer le NAS sur internet et donc de limiter les scans et les tentatives d'intrusions qui s'en suivent.

[ambui]

Nouveau dans l'univers. Merci pour ces explications !