Download station + VPN HMA

[FlowLvl]

Bonjour à tous,

Je débute avec mon NAS (DS216play) et son administration, et je rencontre un problème avec Download Station.

Après avoir configuré en PPTP ma connexion en suivant le tutoriel de HideMyAss, puis avoir ajouté un torrent dans Download Station, je remarque que la vitesse de téléchargement reste à 0 ko/s. Cependant, si je déconnecte le VPN, là, le téléchargement se lance, sans problème.

Pourtant, dans le panneau de configuration, je vois bien que pour ma connexion VPN des bytes sont envoyés et reçu (environ 220000 bytes envoyés et reçus en 8 min).

Autre paramétrage que j'ai effectué: j'ai ajouté une règle NAT/PAT sur ma livebox play:

port interne 1723              port externe 1723              protocole TCP          appareil <mon_NAS>

 

Je remercie par avance tous ceux qui prendront le temps de m'aider :)

 

Pour rappel, mon matériel:

NAS DS216play

Livebox play

VPN HideMyAss

[FlowLvl]

Après avoir contacté le support HMA, il semblerait que sur certains serveurs tous les ports ne sont pas ouverts.

La solution est donc bien d'essayer différents serveurs HMA jusqu'à en trouver un qui fonctionne.

[wellbein]

salut ... 

tu peux aussi supprimer ta règle NAT sur la livebox du coup ... 

c'est un peu vieux pour moi, mais il me semble que le client pptp n'a pas besoin de port entrant ouvert pour pouvoir se connecter au serveur. 

qu'on m'arrête si je me trompe

[PiwiLAbruti]

Il y a 1 heure, wellbein a dit :

qu'on m'arrête si je me trompe

Tu ne t'es pas trompé. Le seul pré-requis est que la box/routeur supporte le VPN pass through pour le protocole VPN utilisé.

[angeck]

Le 13/1/2016 at 14:48, FlowLvl a dit :

Après avoir contacté le support HMA, il semblerait que sur certains serveurs tous les ports ne sont pas ouverts.

La solution est donc bien d'essayer différents serveurs HMA jusqu'à en trouver un qui fonctionne.

Bonjour,

 

Afin d'aider les autres (!!!) si tu peux donner celui que tu utilise ou ceux que tu sais marcher. Merci

[TuringFan]

Le 15/01/2016 à 10:12, PiwiLAbruti a dit :

Tu ne t'es pas trompé. Le seul pré-requis est que la box/routeur supporte le VPN pass through pour le protocole VPN utilisé.

Bonjour @PiwiLAbruti,

Le sujet commence à dater mais je suis sur la configuration de mon réseau et je bloque sur la partie que je pensais "facile".

• J'ai actuellement un NAS monté derrière un routeur Synology.
• Je me connecte à mon réseau depuis l'extérieur uniquement via un tunnel VPN SSL (paquet VPN Plus sur le routeur).
• Mon routeur Synology est configuré en pass-through pour le traffic VPN

Pour le moment cette configuration est pleinement fonctionnelle.

J'ai par ailleurs un abonnement Hide My Ass (fournisseur VPN) et je souhaite connecter mon NAS en tant que client de ce service et c'est là que ça bloque.
J'ai essayé en L2TP/IPSec et en OpenVPN, sur plusieurs serveurs HMA, en jouant sur l'activation / la désactivation des 4 options présentées (passerelle par défaut, autoriser d'autres appareils à se connecter, le serveur est derrière un NAT, reconnexion automatique) pour faire le test avec les 16 combinaison et rien : j'ai toujours une erreur de connexion.

Je n'ai créé aucune règle spécifique dans le pare feu NAS, pare-feu RT ou en transmission de port.

Aurais tu une idée d'où le problème peut venir ?

Merci d'avance,

Cordialement,

Modifié le 12 juillet 2020 par TuringFan

[PiwiLAbruti]

Je n’utilise pas de client VPN sur mes NAS et je ne connais pas HMA.

L’accès à ton routeur via VPN SSL et un client VPN L2TP/IPSec (ou OpenVPN) sont deux choses complètement différentes.
Je ne sais pas si tu veux faire fonctionner les deux en même temps mais ça va être compliqué car il faudra ajouter des règles de routage.

[TuringFan]

Merci @PiwiLAbruti,

J'ai bien tête que le serveur VPN sur mon RT et le client VPN sur mon NAS sont différents mais justement je ne savais pas s'il y avait des interférences. Je vais donc regarder comment configurer ces règles de routage.

Merci encore,

[TuringFan]

Pour info @PiwiLAbruti,

Si cela peut aider quelqu'un : cela fonctionne avec le protocole PPTP mais aucun des deux autres (L2TP/IPSec ou OpenVPN).

A noter notamment qu'en PPTP il n'y a pas d'option en rapport avec un serveur distant derrière un NAT (contrairement aux deux autres propotocoles) : peut-être une piste mais la configuration sur les autres protocoles ne fonctionne ni avec cette option activée ni avec cette option désactivée.

Cordialement,

[Juan luis]

Bonjour,

J'ai testé le client VPN en L2TP/IPsec , mais sur un autre serveur :RAS. Est ce que ton NAS accède bien à internet ? Est ce que tu ne le bloques pas par le FW du routeur ?

Le client VPN  du NAS , n’interfère pas avec le serveur VPN du routeur, mais le NAS ne sera pas accessible à distance (via le serveur) une fois le VPN client connecté.

[TuringFan]

Bonjour @Juan luis et merci pour ton post,

A priori mon NAS j'accède bien à internet car la connexion VPN se monte bien en PPTP mais as tu une façon "concrète" de vérifier que l'accès au net se fait bien ?

Sur le routeur (monté en DMZ d'une LiveBox)

FW

• Accès au port 80 depuis France ou USA
• Accès au port 443 depuis France ou USA
• Accès au port DNS Server
• Accès au port VPN SSL Server
• Tout le reste bloqué

Port Forwarding (uniquement avec le  le NAS)

• 80 <-> 80
• 443 <-> 443

Autorisation du trafic

• PPTP Pass-through autorisé
• L2TP Pass-through autorisé
• IPSec Pass-through autorisé
• SIP Pass-through autorisé

NAS (monté derrière le routeur)

FW

• IP sources en 10.0.0.0/255.0.0.0 autorisées sur tous les ports
• IP sources en 172.16.0.0/255.240.0.0 autorisées sur tous les ports
• IP sources en 192.168.0.0/255.255.0.0 autorisées sur tous les ports
• IP sources France et USA autorisées vers port 80
• IP sources France et USA autorisées vers port 443
• Tout le reste bloqué

A noter qu'une fois le tunnel VPN en PP2P monté (mon NAS est alors client de Hide My Ass) je peux toujours accéder à mon réseau (dont mon NAS) depuis l'extérieur en VPN SSL (mon périphérique est alors client d'un serveur VPN monté sur mon routeur).
Cet article traite notamment du sujet.

Merci d'avance,

Modifié le 13 juillet 2020 par TuringFan

[Juan luis]

Un client VPN nécessite une connexion sortante. Il faut donc que la NAS  "puisse sortir".

Pour vérifier, tu peut tester quickconnect, qui utilise une connexion sortante.

Est ce que les  paramètres L2TP/IPsec fonctionnent avec un PC du réseau ?

[TuringFan]

@Juan luis,

Je n'utilise pas QuickConnect et il est désactivé chez moi (après lecture du tuto sécurisation de Fenrir).
Mon NAS à bien un accès à internet car il est capable de télécharger des torrents (test fait légalement avec Internet Archive) et l'activation du VPN PPTP est bien fonctionnelle (l'IP Change).
En revanche je n'arrive toujours pas à me connecter avec un protocole L2TP/IPSec sur mon NAS et cela fonctionne nickel avec la même configuration sur mon iPad qui est sur le même réseau (a priori pas un problème FW routeur donc).
As tu une idée ?
Pour info j'ai envoyé un message aux supports Syno et Hide My Ass.

Enfin rien à voir mais je souhaite forcer une connexion VPN quand Download Station est utilisé : j'ai essayé en bloquant les trafics BT (bit torrent) et autorisant les autres sur l'interface LAN du FW du NAS et en faisant l'inverse sur l'interface VPN du FW du NA. L'utilisation de Download Station reste cependant possible sans le VPN. As tu une idée ?

[Juan luis]

il y a 21 minutes, TuringFan a dit :

@Juan luis,

Je n'utilise pas QuickConnect et il est désactivé chez moi (après lecture du tuto sécurisation de Fenrir).
Mon NAS à bien un accès à internet car il est capable de télécharger des torrents (test fait légalement avec Internet Archive) et l'activation du VPN PPTP est bien fonctionnelle (l'IP Change).
En revanche je n'arrive toujours pas à me connecter avec un protocole L2TP/IPSec sur mon NAS et cela fonctionne nickel avec la même configuration sur mon iPad qui est sur le même réseau (a priori pas un problème FW routeur donc).
As tu une idée ?
Pour info j'ai envoyé un message aux supports Syno et Hide My Ass.

Enfin rien à voir mais je souhaite forcer une connexion VPN quand Download Station est utilisé : j'ai essayé en bloquant les trafics BT (bit torrent) et autorisant les autres sur l'interface LAN du FW du NAS et en faisant l'inverse sur l'interface VPN du FW du NA. L'utilisation de Download Station reste cependant possible sans le VPN. As tu une idée ?

@ TuringFan,

Je proposais QuickConnect, pour test car c'est un peu comme un vpn .Le L2TP/IPsec est assez standardisé , mais il y a peut être une incompatibilité, est ce que tu rentre bien tous les paramètres , clé partage ?

Pour le reste je ne comprends pas trop ce que tu veux faire mais Download Station doit pouvoir fonctionner avec ou sans  VPN.

Cependant  personnellement , j'utiliserai pas mon NAS pour faire du téléchargement. A quoi bon utiliser 2 FW en série pour en final télécharger n'importe quel fichier? Il y a là une notion de sécurité m'échappe .

[TuringFan]

il y a 9 minutes, Juan luis a dit :

est ce que tu rentre bien tous les paramètres , clé partage

A priori oui : les même que sur mon iPad qui lui monte le tunnel VPN de façon fonctionnelle et qui est sur le même réseau local que mon NAS.

il y a 9 minutes, Juan luis a dit :

je ne comprends pas trop ce que tu veux faire

Je souhaiterais que l'utilisation de Download Station lance automatiquement la connexion du VPN de sorte à ne jamais pouvoir utiliser Download Station sans être derrière un VPN.

il y a 9 minutes, Juan luis a dit :

A quoi bon utiliser 2 FW en série pour en final télécharger n'importe quel fichier?

Très juste.
Mais je trouve que faire ça depuis le NAS permet plus de choses : garder un accès direct depuis ton appareil (donc meilleur débit), lancer un téléchargement à distance, planifier (pour que cela se fasse la nuit par exemple), limiter le débit et/ou prioriser par application, etc.
Mais à ce propos existe t il des "paquet antivirus" qui sacnnent le contenu du NAS ?

Modifié le 13 juillet 2020 par TuringFan

[oracle7]

@TuringFan

Bonjour,

il y a 33 minutes, TuringFan a dit :

Mais à ce propos existe t il des "paquet antivirus" qui sacnnent le contenu du NAS ?

Oui, tu as un package "Antivirus Essential" mais je ne recommande pas son utilisation. Il lui faut beaucoup de mémoire pour fonctionner qui plus est plus ou moins correctement. Personnellement je l'ai vite désinstallé car il me bouffait quasiment toutes les ressources du NAS à chaque mise à jour de ses signatures virales. Du coup, pas de donwload par le NAS. Ce qui n'est pas plus mal, et @Juan luis a raison quand au pb du double FW en intermédiaire.

Cordialement

oracle7😏

Modifié le 13 juillet 2020 par oracle7

[Juan luis]

il y a une heure, TuringFan a dit :

Mais je trouve que faire ça depuis le NAS permet plus de choses : garder un accès direct depuis ton appareil (donc meilleur débit), lancer un téléchargement à distance, planifier (pour que cela se fasse la nuit par exemple), limiter le débit et/ou prioriser par application, etc.
 

C'est vrai que c'est pratique , j'ai la chance d'avoir la freebox qui le fait.

Mais sur un NAS  à moins de le dédier à cette usage , je m' y risquerai pas . Perdre 10T de fichiers à cause d'un ransomware ce serait ballot.

[TuringFan]

@Juan luis et @oracle7,

Merci pour vos conseils que je vais vais probablement suivre.

Je n'ai pas la freebox mais j'ai un routeur MR22ac de Synology qui possède le paquet Download Station, probablement plus judicieux de l'utiliser ici avec un disque dur externe donc ?

Pour comprendre, car je ne maitrise pas ces sujets, admettons que je fasse un téléchargement d'un fichier virolé avec mon routeur ou un périphérique de mon réseau (un PC par exemple) plutôt que mon NAS, puisque le fichier va se retrouver sur le même réseau n'y a t il pas un risque que le virus / randsomware se propage sur tous les périphériques de mon réseau ? En gros cela fait il une différence du point de vue sécurité de télécharger depuis mon PC, mon routeur ou mon NAS ?

Enfin, quelle est la meilleur protection contre ce type d'attaque ? Une synchronisation du NAS avec un second NAS distant ? Si oui, ne vais je pas tous simplement dupppliquer les fichiers virolés et don le problème sur le secoind NAS ?

Merci d'avance,

[Juan luis]

Bonjour,

Je pense qu'un fichier vérolé peut infecter tout un disque, tout un réseau ça doit être compliqué car il lui faudrait découvrir l'architecture du réseau, mais si on le déplace ce doit être possible.

L'utilisation d'un routeur avec un disque externe est une solution pratique mais ne dispensera pas d'une analyse approfondie avant d'utiliser les fichiers.

A mon avis , il vaut mieux , ne pas trop télécharger,  d' essayer de flairer les arnaques , et d'utiliser un vieux pc sans trop de fichiers importants et surtout bien équipé en antivirus.

Modifié le 14 juillet 2020 par Juan luis

[oracle7]

@TuringFan

Bonjour,

Pour ma part, lorsque j'ai besoin de télécharger, j'applique un minimum de règles de bon sens.

Je ne télécharge que sur des sites "reconnus" sains via VPN et me méfie comme de la peste des sites dits "miroirs".

Je ne télécharge pas non plus n'importe quoi et me renseigne au préalable sur l'objet à télécharger. J'évite autant que possible les torrents (sauf si je n'ai pas le choix) et privilégie les sites de DL direct.

Ensuite, je fais confiance, même si elle est toute relative, aux antivirus, anti-malwares and co, installés sur mon PC en les mettant à jour régulièrement de leurs définitions virales sans parler des analyses régulières voir en temps réel exécutées sur le PC qui sert au DL.

Je teste ensuite le fichier/programme avec le bac à sable Windows 10, en aucun cas je n'exécute un programme fraichement téléchargé directement sur le PC.

Seulement après ce test, je rapatrie le fichier/programme sur le réseau local.

C'est à mon sens, le minimum d'actions à faire pour préserver au mieux mon réseau local et mes NAS.

Certes, il y aura toujours un risque mais difficile de faire mieux à défaut de paranoïa.

Cordialement

oracle7😏

[TuringFan]

Merci pour votre retour, je vais m'en inspirer.

Modifié le 16 juillet 2020 par TuringFan