[TUTO] VPN Server

[Fenrir]

@balthazar

1. C'est Apple qui nomme les choses bizarrement, ikev2 c'est aussi de l'ipsec, quand ils disent ipsec c'est celui de cisco et ipsec/l2tp c'est noté l2tp seul => L2TP avec un syno comme serveur
2. à toi de voir, si ta connexion est bonne (up+down de la box), tu peux laisser connecté h24, mais ça consomme un peu de batterie
3. pour que ça fonctionne en local, il faut une conf réseau adaptée
4. selon que tu coches ou non la case, tout le trafic passe ou non par ton nas, ce n'est pas recommandé au travail

@Gulliver42

Qui a le problème, la box du client ou du serveur ? Dans un cas comme dans l'autre c'est curieux

[Gulliver42]

Pour moi, çà doit être la box du client vu que je l'utilise chez moi et que je n'ai aucun soucis ... C'est assez curieux, en effet

[Nolin]

 

Bonjour,

Tout d'abord un grand merci pour vos tutos, je les suis quasi à la lettre, ça me permet de faire quelque chose de correct et d'apprendre (quand j'arrive à comprendre... ) en même temps!

J'ai pas mal de questions, mais j'arrive en général à trouver les réponses.

Sauf ici. Je voudrais être sûr de bien faire. Vous dîtes :

Le 13/08/2016 à 17:13, Fenrir a dit :

remote YOUR_SERVER_IP 1194

• il faut remplacer YOUR_SERVER_IP par l'adresse IP publique utilisée pour joindre votre nas (c'est probablement votre IP publique)
• même si c'est déconseillé, vous pouvez spécifier un nom de domaine à la place de l'adresse IP

Pourquoi est-ce déconseillé de mettre un nom de domaine?

Je suis chez orange, donc ip publique dynamique. Je n'ai franchement pas le choix que d'utiliser un nom de domaine?

J'utilise donc le DDNS dans les paramètres de synology : "monnas".synology.me

Ca fonctionne parfaitement! J'ai redémarré la livebox, elle a changée d'IP, et le NAS à récupéré la nouvelle adresse.

Donc est-ce qu'il y a un problème de sécurité ou autre à faire comme ça? Faut-il faire autrement?

 

Merci par avance.

 

PS : je confonds peut-être nom de domaine et nom d'hôte... je ne vois pas trop la différence s'il y en a une... Je suis débutant.

 

[Fenrir]

Il y a 18 heures, Nolin a dit :

Pourquoi est-ce déconseillé de mettre un nom de domaine?

ça implique que le client est en mesure de faire une résolution DNS, que ce nom de domaine est bien résolu, sans usurpation et qu'il est bien uptodate.

ça laisse aussi moins de traces

ps :

• nom d'hôte, c'est le nom local de la machine, seule la machine et ses proche le connaissent (son prénom si tu veux), il n'est pas nécessairement lié au nom de domaine (une machine peut se nommer toto et être accessible via www.machin.com)
• nom de domaine, c'est un nom lié aux DNS, on passe par un serveur DNS pour le résoudre, c'est le nom "public" que tout le monde peut identifier sans ambiguïté (nom complet avec adresse postale si tu veux)

[Nolin]

OK merci, c'est plus claire!

Donc question sécurité, je prends pas plus de risque?

J'entends par là, que quelqu'un accède à mon NAS parce que j'ai mis un nom de domaine au lieu de l'IP publique.

 

Et dans les paramètre DSM, tout en bas il y a "domaine"

Si je l'active, j'ai un intérêt à rentrer le nom d'hôte que j'ai créé dans le DDNS? (monnas.synology.me)

Parce que j'arrive déjà à accéder à mon nas avec cette adresse, depuis l'extérieur (lorsque je coupe le pare feu pour tester).

En fait je ne vois pas quand utiliser cette option...

Merci pour vos réponses.

[Fenrir]

Il y a 1 heure, Nolin a dit :

Donc question sécurité, je prends pas plus de risque?

non

Il y a 1 heure, Nolin a dit :

Et dans les paramètre DSM, tout en bas il y a "domaine"

une capture d'écran ? (il y a plein d'endroits avec domaine)

[Nolin]

OK. Me voilà rassuré!

Pour "domaine", c'est dans "panneau de config" -> "réseau" -> onglet "paramètre DSM", puis en bas il y a "domaine"

[Fenrir]

Non, ce n'est pas obligatoire, mais ça peut aider dans certains cas (avec certaines appli).

[Einsteinium]

@Fenrir faudrait le même sur vpnplus avec le routeur 

[Fenrir]

@Einsteinium si tu m'offres la licence et le routeur, pas de problèmes

[Einsteinium]

@Fenrir Y a une licence gratuite de base, 10€ la licence supplémentaire à vie (je trouve cela pas cher, quand on voit d’autre service)

A défaut de t’en offrir un, je peux te faire des screens 

[Fenrir]

10€ c'est peut être pas cher, ou très (je n'ai pas testé), mais il faut aussi un nas compatible => je ne peux pas tester => je ne fais pas de doc/tuto sur un truc que je n'ai pas testé moi même en détails, surtout si c'est lié à de la sécurité.

[Einsteinium]

Un nas compatible ? Je ne parles pas du site-to-site vpn, mais de vpn plus (synology vpn), au même titre que les server vpn standard que tu proposes dans le tutoriel.

[Nolin]

Il y a 8 heures, Fenrir a dit :

Non, ce n'est pas obligatoire, mais ça peut aider dans certains cas (avec certaines appli).

 

Super, merci pour les réponses!

Je vais avoir d'autres questions, mais sur d'autres posts... A plus tard surement!

[Fenrir]

@Einsteinium VPN plus n'est pas disponible sur tous les modèles, les miens n'y ont pas accès par exemple.

[Mic13710]

Sauf erreur, VPN plus c'est pour les routeurs pas pour les NAS.

extrait :

VPN Plus Server transforme votre Synology Router en un serveur VPN (virtual private network) avancé. Ce paquet permet aux utilisateurs d'accéder aux ressources Internet et à celles des réseaux locaux derrière votre Synology Router, simplement grâce à un client VPN ou un navigateur Web.

[Einsteinium]

Ouaip voilà, merci mic 

[Mic13710]

pas de quoi, ce fut un plaisir

[Fenrir]

Je n'avais pas regardé (my bad), je pensais que c'était un paquet générique, mais ça ne change rien au fait que sans pouvoir tester, je ne peux pas faire de tuto

[Dam's Ker]

Bonjour et merci pour la doc c'est très ben expliqué.

J'ai un petit soucis avec la connexion PPTP, si je ping mon Nas avec son nom NAS-SYNOLOGY à travers ma connexion VPN à distance ça fonctionne bien.

En revanche, si je ping une des machines sur le réseau via son nom (ex:WIN7-PC) à travers le VPN cela ne fonctionne pas, par contre si je ping avec l'adresse IP de la machine là ça marche.

L'idée est de pouvoir accéder à distance, à travers le VPN PPTP, au dossier partagé sur la machine WIN7-PC avec un lecteur réseau; Non pas avec l'adresse IP comme cela "\\192.168.1.2\Partage" mais plutôt via son nom comme cela \\WIN7-PC\Partage

Quelqu'un aurait une idée ?

Merci

Modifié le 18 février 2018 par Dam's Ker

[Fenrir]

PPTP => pas de support ici (en tout cas de ma part)

[Mic13710]

C'est pourtant bien écrit dans le tuto. PPTP, à proscrire.

[knightchanse]

Salut tous... je commence à avoir du Vpn plus ou moins fonctionnel.. merci pour les conseils trouvés ici.

1) remarque pour le tuto, j' ai pas mal cherché pour trouver la config Syno A  <=> Syno B    "Créer Profil"

Synology : Configuration : Il faut créer un nouveau profil réseau dans les paramètres :    => je suggère de préciser "Panneau Config  / Réseau / Créer  (ou modifier )

 

2) J'ai donc un Syno A  à une adresse (batiment A)  et un Syno B à une autre (batiment B), sur des réseaux différents. 

J'arrive à faire un tunnel  (L2TP/IpSec) vers A ("Vpn A")  ou B (Vpn "B")  , mais j'essaie de rajouter un tunnel ENTRE A et B   => utiliser Vpn A ou B  ?  ou créer un  "Vpn C" ?

  j'aimerais garder la possibilité d'accéder à Syno A  ou à Syno B depuis mon pc en balade ...  mais en plus, je voudrais que le syno A et le Syno B se voient via le tunnel A<=>B

quelle config adopter ?

Syno A 192.168.1.210  , Réseau A derrière bbox A 192.168.1.1   , Syno A VPN L2TP 192.168.13.0

actuellement, Syno B 192.168.1.220, réseau B derrière BBox B  192.168.1.1  (oui, je sais, conflit possible!)  Syno B VPN L2TP 192.168.13.0  (aussi confilt!?)

si possible, je garderais le même réseau , 192.168.1.x  , en changeant l'ip d'une des BBOX...    sauf si vous me dites de changer le reseau pour, disons, 192.168.2.x

pour configurer "VPN A" sur Syno A =>ok   , pareil pour "VPN B" sur syno B  ,   mais que dois je mettre pour configurer A <=> B ??  faut il  configurer un profil sur A  ET un profil sur B ??  ou juste un qui utilise le tunnel défini sur l'autre?  ou définir une config "VPN C" sur un des 2  ?  (j'essaie d'^etre clair, mais pas facile  :)  )

 

 

 

 

 

 

Modifié le 20 février 2018 par knightchanse

[Fenrir]

@knightchanse on se rapproche d'un besoin d'entreprise, je te recommande d’investir dans une paire d'appliance VPN (ça peut être 2 rapsberry, 2 erx ou des trucs bien plus gros/cher).

Un VPN ça marche toujours dans les 2 sens, donc le reste n'est qu'une histoire de routes.

La première chose à faire est de s'assurer de ne pas utiliser 2 fois le même réseau =>

• tu as 3 équipements (nasA, nasB, ton pc)
• chacun doit pouvoir parler autres 2 autres
• il faut donc 6 réseaux différents :
  • lan nasA
  • lan nasB
  • lan pc
  • vpn entre les 2 nas
  • vpn pc vers nasA
  • vpn pc vers nasB
• si nas A et B n'ont pas à parler à des équipements situés derrière le voisin, les lan A et B peuvent être les mêmes (pas bien mais pas grave)
• si le pc n'a pas à parler à des équipements situés derrière le voisin, les lan A ou B et celui du PC peuvent être les mêmes (pas bien mais pas grave)
• =>tu peux avoir les même LAN partout
• PAR CONTRE, les réseaux VPN entre les pairs doivent tous être différents

Enfin, pour le nas A vers nas B (ou l'inverse), tu choisis le sens que tu veux

[knightchanse]

déjà merci. :--)

besoin entreprise? non, je m'amuse, c'est parti de l'idée de sauvegarder mes documents/ photos du Synology sur un autre synology, placé dans un autre batiment...

un raspberry ne me semble pas plus puissant qu'un synology, si? (en plus, j'en ai un!)   et erx, c'est quoi?

et pour les reseaux, voici la description:

* mon pc mobile, sur le lan où je me connecte, disons proximusFon =adresse Ip "internet" = lance un VPN vers VpnA  ou VpnB 

* Mon SynoA lan 192.168.10.x , tourne VpnA, subnet 192.168.15.x  (L2TP/IPsec  sur le synoA)  = adresse Ip de ma bbox A , port 500 4500 forwardés vers 192.168.10.210 (syno A)

aka Vpn 192.168.15.0

* Mon Syno B lan 192.168.20.x , tourne Vpn B, subnet 192.168.15.x  ( L2TP/IPsec  sur le syno B)  = adresse Ip de ma bbox B , port 500 4500 forwardés vers 192.168.20.220(syno B) aka Vpn 192.168.15.0 (je pourrais mettre Vpn autre que 192.168.15.x  , dites moi si c'est mieux)

si mon pc vpn ouvre un  tunnel vers VpnA, il a donc une Ip 192.168.15.x   (et ca marche!)

Si je veux que Syno A parle Vpn avec Syno B, je dois mettre un autre 192.168.xx  ?? par exemple 192.168.100.xx  ?  donc le Vpn A aurais aussi ip 192.168.100.0  et le B recevrait 192.168.100.1  ? (par exemple)   et si oui, que configurer pour cela sur vpn A  ?  un autre Vpn L2TP/IPsec  ? mais comment en mettre 2?   et sur l'autre?  créer profile dans param reseau?

ensuite, vu que j'ai 2 VPN  sur un syno (si j 'ai bien compris) , que faire pour le port forwarding sur la bbox?  je n'ai que 500 et 4500 pour le premier Vpn...  ou j'ai raté une marche?

 

 

Modifié le 23 février 2018 par knightchanse