Accès à distance et port 65377

[Ds4]

Bonjour à tous !

Il se passe quelque chose de bizarre avec mon syno.
J'ai une ddns avec ovh (je suis derrière avec livebox) et j'ai galèré pendant pas mal de temps à essayer d'ouvrir mon nas à l'exterieur pour finir par laisser tomber. Je me suis dit que j'allais  repasser à quickconnect (tout en laissant les ddns activé dans dsm). Alors je me rend compte que quickconnect se connecte bien à mon domaine en externe, mais sur le port 65377 oO ! 

Pour faire clair :

- je tape www.mondomaine.com > echec de connexion
- je tape quickconnecto.to/monNas > redirection vers www.mondomaine.com:65377 > connexion
- si jessaye www.mondomaine.com:5000 > rien...

En soit c'est pas un problème, mais je trouve ça assez étrange, je n'ai jamais spécifié un tel port et tout est configuré sur le port 5000 et 50001 dans dsm

Pour info je suis sur dsm 5.2 update 4

Modifié le 27 octobre 2015 par Ds4

[StéphanH]

Bonjour et bienvenue !

A propos de bienvenue, un petit tour par la case "présentation" serait sympa !

 

Quickconnect est là pour ne pas avoir besoin de router des ports particuliers; C'est donc normal que cela fonctionne.

Pour une Livebox, cela fonctionne également en routant le port externe 5000 sur le 5000 interne (préférer du https en 5001 ...).  Je crois de mémoire qu'il faut passer le firewall de la Box à "faible".

[gaetan.cambier]

Bonjour et bienvenue !

A propos de bienvenue, un petit tour par la case "présentation" serait sympa !

 

Quickconnect est là pour ne pas avoir besoin de router des ports particuliers; C'est donc normal que cela fonctionne.

Pour une Livebox, cela fonctionne également en routant le port externe 5000 sur le 5000 interne (préférer du https en 5001 ...).  Je crois de mémoire qu'il faut passer le firewall de la Box à "faible".

Non, ne jamais passer un firewall en faible, déjà que la lb est une grosse merde niveau sécurité, faut pas en plus enlevé le peu qu'il y a

[StéphanH]

Non, ne jamais passer un firewall en faible, déjà que la lb est une grosse merde niveau sécurité, faut pas en plus enlevé le peu qu'il y a

Même à Faible, le FW ne laisse rien rentrer si une connexion n'est pas préalablement établie:

 

 

Modifié le 27 octobre 2015 par StéphanH

[gaetan.cambier]

Même à Faible, le FW ne laisse rien rentrer si une connexion n'est pas préalablement établie:

 

 

Fait comme tu veux, qd les utilisateurs viendront pleurer car il auront eu des problèmes, moi, je rigolerai encore

[Ds4]

Bonjour et bienvenue !

A propos de bienvenue, un petit tour par la case "présentation" serait sympa !

 

Quickconnect est là pour ne pas avoir besoin de router des ports particuliers; C'est donc normal que cela fonctionne.

Pour une Livebox, cela fonctionne également en routant le port externe 5000 sur le 5000 interne (préférer du https en 5001 ...).  Je crois de mémoire qu'il faut passer le firewall de la Box à "faible".

mais du coup je ne passe pas du tout par quickconnect
celui ci ne fait que rediriger sur mon dyndns et m'a uniquement permis de me rendre compte de cette histoire de port 65377

[StéphanH]

Fait comme tu veux, qd les utilisateurs viendront pleurer car il auront eu des problèmes, moi, je rigolerai encore

Cela n'empêche pas d'activer le FW du Syno pour faire du filtrage plus fin.

Depuis que j'ai filtré tous les pays sauf ceux qui m'intéressent, je n'ai plus aucune @IP bloquée.

mais du coup je ne passe pas du tout par quickconnect

celui ci ne fait que rediriger sur mon dyndns et m'a uniquement permis de me rendre compte de cette histoire de port 65377

Donc, c'est quoi ton problème DS4 ?

Tu n'arrives pas à créer une règle NAT sur ta box ?

(Rédigé sous Tapatalk)

[gaetan.cambier]

 

Cela n'empêche pas d'activer le FW du Syno pour faire du filtrage plus fin.

encore une connerie, protegé 1 seul périphérique au lieu de l'ensemble de ceux qui se trouve sur le reseau ... bonne tactique pour avoir des problèmes

[StéphanH]

encore une connerie, protegé 1 seul périphérique au lieu de l'ensemble de ceux qui se trouve sur le reseau ... bonne tactique pour avoir des problèmes

je ne comprends pas ta réponse.

le FW de la Box bloque tout sauf les ports NATés dont le trafic est dirigé vers l'@IP locale choisie (en l'occurence, le Syno).

Si sur le Syno, tu filtres ceux que tu ne souhaites pas voir accéder à ton NAS, où est la faille ?

 

[gaetan.cambier]

faible : le pare-feu de votre Livebox ne filtre aucune donnée échangée entre votre réseau domestique et votre Livebox. Ce niveau n'est pas conseillé et est réservé aux clients experts.

source : http://assistance.orange.fr/livebox-modem/toutes-les-livebox-et-modems/installer-et-utiliser/piloter-et-parametrer-votre-materiel/le-parametrage-du-firewall-de-votre-livebox/livebox-2-parametrer-le-firewall_21365-21836

meme Orange recommande de ne pas l'utiliser, mais c'est comme vous voulez, ne rien y connaitre, faire n'importe quoi et l'inverse de ce qui est conseiller sur le site officiel ...   

[StéphanH]

source : http://assistance.orange.fr/livebox-modem/toutes-les-livebox-et-modems/installer-et-utiliser/piloter-et-parametrer-votre-materiel/le-parametrage-du-firewall-de-votre-livebox/livebox-2-parametrer-le-firewall_21365-21836

meme Orange recommande de ne pas l'utiliser, mais c'est comme vous voulez, ne rien y connaitre, faire n'importe quoi et l'inverse de ce qui est conseiller sur le site officiel ...   

Cette page contient exactement la hardcopy que j'ai postée plus haut. C'est rassurant !

Ouvrir un port, c'est ouvrir un accès depuis Internet sur son LAN = c'est une faille de sécurité. Il faut le faire en connaissance de cause.

Le plus simple pour ne pas prendre de risque, c'est d'empêcher tout accès depuis l'extérieur à son LAN, ce que fait toute box opérateur par défaut.

Mon propos en répondant à ce message est d'aider DS4 à accéder à son NAS depuis Internet. Mais tu as raison, c'est dangereux !

[gaetan.cambier]

Il ne faut nullement couper un firewall pour que le nat/pat fonctionne, c'est n'importe quoi

[StéphanH]

Ais-je écrit qu'il fallait le couper ?

(Rédigé sous Tapatalk)

[gaetan.cambier]

faible : le pare-feu de votre Livebox ne filtre aucune donnée échangée entre votre réseau domestique et votre Livebox.  ....

il est donc désactivé . faut lire ! 

[StéphanH]

Ben non : quand tu lis plus loin, seuls les ports NATés sont ouverts.

(Rédigé sur mon mobile avec Tapatalk)

[gaetan.cambier]

pour toi, le nat, c'est un firewall, c bien on avance  dans l'ignorance de la sécurité informatique ....

 

[StéphanH]

Essaie de créer une règle NAT sur ta Livebox, et mets le FW au niveau "personnalisé". Tu verras alors que la Box a généré autant de règles sur le FW que de règles NAT, de façon à ce que le trafic des ports concernés puisse entrer chez toi, puis être dirigés vers la bonne @IP via la règle NAT

(Rédigé sur mon mobile avec Tapatalk)

[gaetan.cambier]

c bizarre, tu parle du niveau personalisé tout a coup, plus du niveau faible ...

[StéphanH]

Le mode "Personnalisé" te permet de voir les règles que la Livebox a généré, et te permets de les modifier à la main si tu le souhaites.

Le mode "faible", est un mode "automatique", qui te masque les règles du FW, dont la gestion est confiée à la Box. Mais ces règles existentent bien.

Le mode "Faible" est plus simple à mettre en œuvre pour un utilisateur lambda, et il fonctionne très bien.

[gaetan.cambier]

non, le mode faible desactive tout filtrage --> aucune protections

source : http://assistance.orange.fr/livebox-modem/toutes-les-livebox-et-modems/installer-et-utiliser/piloter-et-parametrer-votre-materiel/le-parametrage-du-firewall-de-votre-livebox/livebox-2-parametrer-le-firewall_21365-21836

meme Orange recommande de ne pas l'utiliser, mais c'est comme vous voulez, ne rien y connaitre, faire n'importe quoi et l'inverse de ce qui est conseiller sur le site officiel ...   

faut te le remettre combien de fois pour que tu comprenne ?

[StéphanH]

Fais le test en mode faible et en mode moyen, et donnes nous le résultat !

(Rédigé sur mon mobile avec Tapatalk)

[gaetan.cambier]

à quoi ca sert, je l'ai fait des millier de fois

[Ds4]

Comme je disais, mon problème n'en est pas vraiment un, j'aimerais juste comprendre d'ou sort ce port, et si possible me connecter avec le port 5000 par défaut

[StéphanH]

Désolé DS4 pour ce léger changement de sujet ...

Je ne sais pas d'où vient ce port 65377, mais ça pourrait être le port utilisé par quickconnect pour maintenir le lien avec le serveur relai de Synology (ce n'est qu'un avis, je laisse les experts répondre).

Pour l'accès via le port 5000, il faut que tu crées une règle NAT dans les paramètres avancés de ta Box. Cette règle a pour ports internes et externes le 5000, en TCP, et L'IP de destination est l'IP fixe de ton NAS que tu as préalablement déclarée dans le DHCP de ta box.

(Rédigé sur mon mobile avec Tapatalk)

[Ds4]

effectivement en désactivant quickconnect ce port n'est plus utilisable

mais du coup impossible d'accèder à mon nas avec le port 5000
les régles ont pourtant bien été créees, dans la box et mon routeur (ma livebox est derrière un archer C2, en DMZ) canyouseeme et nmap me confirment bien que ce port est ouvert