Accès Local : connexion pas privée

[higs]

Bonjour,

Désolé si ce n'est pas vraiment le bon endroit pour le post. Après plusieurs recherches, c'est celui qui je pense se rapproche le plus de mon problème.

Voici mon "petit" problème :

J'ai 2 NAS Synology (DS414 / DS1813)

Sur chacun d'eux à chaque fois (et à force ça m'énerve) je dois lorsque j'accède en interne sur mon réseau local via le navigateur "https://ds414:5001/" valider le message que ma connexion n'est pas sécurisé (votre connexion à ce site n'est pas privée)

J'ai pourtant bien le certificat de base qui semble correct :

Connection

Protocol

TLS 1.2

Key Exchange

ECDHE_RSA

Cipher Suite

AES_128_GCM

Certificate

Subject

synology.com

SAN

(N/A)

Valid From

Fri, 08 Jan 2016 13:48:05 GMT

Valid Until

Tue, 25 Sep 2035 13:48:05 GMT

Issuer

Synology Inc. CA

 

J'ai vu des tutos avec Let's Encrypt, Ok pour l'accès externe mais je ne vois pas pour l'accès interne...

Merci de votre aide !

[Mic13710]

Logiquement vous n'avez pas besoin de vous connecter en https (5001) sur votre réseau privé. Il y a peu de chance que vos connexions soient interceptées. Connectez vous en http (5000) et dans ce cas vous n'avez pas besoin de certificat.

Vous accédez en http://ds214:5000

Il faut bien évidemment que l'accès au port 5000 soit autorisé dans le NAS.

[higs]

Idem quand je tape http://ds414:5000, je suis redirigé vers : https://ds414:5001/

La configuration est la suivante dans "Réseau/Paramètres de DSM" sur mon Nas :

• Ports DSM 
  • HTTP: 5000
  • HTTPS : 5001
• Rediriger automatiquement les connexions... : Coché
• Activer HTTP/2 : coché
• Activer la découverte du réseau windows : Coché
• Activer la découverte du service Bonjour : Coché

La partie Domaine n'est pas activé.

[Mic13710]

Si vous redirigez les HTTP vers les HTTPS, vous passez par la certification du NAS. Il faut comprendre que votre certificat ne peut pas fonctionner sur des connexions privées car l'adresse que vous utilisez (ds414) n'est pas le domaine pour lequel le certificat a été émis. Pour vous connecter en HTTPS, il faut passer par l'adresse du domaine : https://domaineducertificat:5001, ce que vous ne pouvez faire de votre réseau privé que si votre FAI l’autorise. A ma connaissance, seul Free le permet.

Pour faire simple, vous vous connectez en http avec le 5000 sur votre réseau privé, et pour que ça fonctionne, vous supprimez la redirection des connexions http vers https.

Par contre, si vous ne l'avez pas fait, je vous conseille de supprimer la redirection du port 5000 dans le routeur et ne conserver que le 5001 pour que vos liaisons de l'extérieur vers le NAS soient sécurisées.

[higs]

Ok, je comprends bien donc. étant chez free ce sera donc possible. Sachant que j'ai les 2 nas, il me faudra l'un sur le 5000 /5001 et l'autre sur d'autres ports ou alors mettre en place un systeme genre : mondomaine/ds414 et mondomaine/ds1813 ou même en sous domaine :ds414.mondomaine et ds1813.mondomaine. et donc ne laisser comme vous le dites que l'accès sécurisé ouvert sur la box en redirection depuis une source "externe"

Merci de votre aide, il me faut maintenant trouver un poste externe de chez moi pour tester pour la mise en place.

[Mic13710]

Pas nécessairement. Vous pouvez très bien garder les ports du NAS par défaut. C'est au niveau du routeur qu'il faut faire les bonnes redirections. Par exemple le 5001 vers le 5001 de l'IP du 414 et le 5002 vers le 5001 de l'IP du 1813. Dans ce cas, il faut un certificat vers le même domaine pour chaque NAS. Pour atteindre le 414 : https://mondomaine:5001, pour atteindre le 1813 : https://mondomaine:5002

Si vous êtes chez free, vous pouvez tester directement à partir de votre réseau puisque free permet le loopback.

[higs]

Je viens d'essayé de l’extérieur (en prenant la mail sur le pc du travail) 

Ok : si je tape l'adresse en http (je donnerais l'url en message privée) : 5000 alors message : la connexion vers IP à échouée.

Ok à moitié : si je tape l'adresse en https :5001 alors j'ai le message  "votre connexion à ce site n'est pas privée" mais j'arrive bien sur le ds414, donc il est accessible.

Interne :

NOk : via l'adresse en http: ne fonctionne pas, tourne en boucle sans trouver (peut-être parce que mon premier dns sur mon PC est l'adresse de la passerelle qui est celle de la box ? du coup c'est comme si je sortais ?

 

[Fenrir]

DS414 :

• Ports DSM 
  • HTTP: 5000
  • HTTPS : 5001
• Rediriger automatiquement les connexions... : non coché
• Activer HTTP/2 : coché

DS1813 :

• Ports DSM 
  • HTTP: 5000
  • HTTPS : 5001
• Rediriger automatiquement les connexions... : non coché
• Activer HTTP/2 : coché

Freebox :

• 5001 - TCP - adresse.ip.du.DS414 - 5001
• 5002 - TCP - adresse.ip.du.DS1813 - 5001

Dans le navigateur (en vert ce qui doit marcher, en rouge ce qui ne doit pas marcher) :

• depuis le lan :
  • http://{adresse.ip.du.DS414}:5000
  • https://{adresse.ip.du.DS414}:5001
  • http://{adresse.ip.du.ds1813}:5000
  • https://{adresse.ip.du.DS1813}:5001
• depuis le Internet (les ports du syno doivent être autorisés en sortie dans le firewall du travail) :
  • http://{ip.de.la.freebox}:5000 => ko
  • https://{ip.de.la.freebox}:5001 => DS414
  • https://{ip.de.la.freebox}:5002 => DS1813

Une fois que tout ceci sera fonctionnel, on s'occupera du certificat

[higs]

Bonjour Fenrir !

comment-va tu depuis la dernière fois !

Ce que tu as indiqué au dessus fonctionne.

apparemment les ports au bureau passe car j'arrive sur ma page d'accès

[Mic13710]

Ca confirme ce que je vous ai dit en MP, c'est un problème de certificat. Chez qui l'avez vous fait ?