[TUTO] Sécuriser les accès à son nas - DSM 6.x

[unPixel]

Je viens d'aller voir une vidéo sur Youtube et la personne ouvre simplement le port 6281.

Modifié le 3 juillet 2018 par InfoYANN

[aurique]

Bonjour,

 

je confirme , seul la redirection du port Hyperbackup est nécessaire. 

[unPixel]

Merci pour la confirmation.

[ers31]

Bonjour, merci à vous.

Je vais voir ce soir si la sauvegarde hyperback up distante fonctionne, car du coup je n'ai plus aucune redirection depuis la box...

hyperback up sauvegarde sur Dropbox dans mon cas.

[Jojo (BE)]

Il y a 9 heures, Jojo (BE) a dit :

il faut que je vérifie tout ça ce soir à la maison

Je confirme, que pour HyperBackup j'ai du ouvrir le port de chiffrement SSH défini sur le Syno qui reçoit les données (Service de fichiers -> rsync)

Au niveau du Syno "émetteur", j'ai définis dans la tâche de HyperBackup -> Cible le port que j'ai ouvert pour le syno qui reçoit les données

[ers31]

bonjour, dans mon cas la sauvegarde hyperback up s'est bien passée. Elle envoie les données sur dropbox en non chiffré.

Aucune redirection de port n'est opérée sur la box.

[unPixel]

Ce qui est normal... Dropbox ne t'appartient pas et donc tu ne vas pas sur leur pare feu configurer telle ou telle règle ! Si tu avais voulu envoyer des données sur un de tes serveurs alors tu aurais certainement du configurer une règle dans le pare feu pour autoriser le transfert.

Envoyer des fichier non chiffrés sur Dropbox, c'est moyen quand on connait leur politique... Mais bon, chacun fait comme il veut.

Modifié le 5 juillet 2018 par InfoYANN

[Corse_34]

Salut @Fenrir

Merci pour ton tuto ultra détaillé 😁

Il y’a que le certificat que je n’ai pas touché  

J’ai toujours celui de Synology par peur de faire une connerie vue que je suis débutant. 

J’ai un mal de crâne maintenant 😝

C’est long mais au moins mon NAS n’est plus configuré n’importe comment.

Merci.

voila le rapport de l’analyse

Modifié le 5 juillet 2018 par Corse_34

[ers31]

Il y a 21 heures, InfoYANN a dit :

Ce qui est normal... Dropbox ne t'appartient pas et donc tu ne vas pas sur leur pare feu configurer telle ou telle règle ! Si tu avais voulu envoyer des données sur un de tes serveurs alors tu aurais certainement du configurer une règle dans le pare feu pour autoriser le transfert.

Envoyer des fichier non chiffrés sur Dropbox, c'est moyen quand on connait leur politique... Mais bon, chacun fait comme il veut.

Bonjour, en fait pour les données non chiffrée, j'avais lu quelque part mais je ne sais plus où que ça pouvait poser des difficultés avec hyperback up si on chiffre les données lors de l'envoi vers dropbox...

le pb se posant à la récupération/réinstallation des données. Raison pour laquelle je procède ainsi et également que nous n'avons rien de vraiment confidentiel...

[unPixel]

Le mieux étant de tester ses sauvegardes en restaurant les données et ainsi on sait si ça va ou pas 😉

Ne jamais se fier à l'informatique quand on parle sauvegarde et restauration !

 

Modifié le 6 juillet 2018 par InfoYANN

[ers31]

Oui mais j'ai peur de faire des bétises lors des tests de récupération.

Pour palier à ce "pb" j'ai 3 sauvegegardes différentes sur 3 supports différents.

Je fais le contrôle de l'intégrité, et pour une des sauvegardes c'est de la copy simple avec "usb copie" et là je peux lire sans pb la sauvegarde avec un autre pc.

Du coup je pense être bon de ce niveau là.

La sauvegarde dropbox est juste intéressante dans le cas d'incendie et vol de tous nos supports de sauvegarde, sachant quand même que l'un des DD est emporté au domicile pour réduire le risque...

[unPixel]

il y a 34 minutes, ers31 a dit :

Oui mais j'ai peur de faire des bétises lors des tests de récupération.

Pour palier à ce "pb" j'ai 3 sauvegegardes différentes sur 3 supports différents.

Je fais le contrôle de l'intégrité, et pour une des sauvegardes c'est de la copy simple avec "usb copie" et là je peux lire sans pb la sauvegarde avec un autre pc.

Du coup je pense être bon de ce niveau là.

La sauvegarde dropbox est juste intéressante dans le cas d'incendie et vol de tous nos supports de sauvegarde, sachant quand même que l'un des DD est emporté au domicile pour réduire le risque...

Ok pour de la copie simple qui te permet de lire en direct les données en espérant que tu les lis de temps en temps.

Pour le reste, ça ne sert à rien si tu ne restaures pas de temps en temps afin de vérifier TOI MÊME les données parce que si tu ne vérifies pas et que tes sauvegardes sont toutes corrompues alors je jour ou tu voudras restaurer, tu l'auras dans l'os.

Encore une fois, ne jamais se fier au système informatique.

 

Ce que tu peux faire et c'est ce que je fais une fois de temps en temps, c'est que je déplace mes données dans un dossier alternatif puis je fais une restauration. Ensuite, en plus de vérifier manuellement certains fichiers, je compare aussi les deux dossiers via un logiciel en SMB qui va pouvoir me détecter si soucis ou non. Mais encore une fois, la priorité pour vérifier une sauvegarde, ça reste l'homme !

 

J'insiste beaucoup sur ce point parce que j'en ai vu des personnes pensant avoir des sauvegardes mais en réalité elles étaient corrompues et inexploitables. Et forcément, ces personnes faisaient confiance à l'informatique et ne vérifiaient jamais leurs sauvegardes pensant naïvement qu'elles étaient bonnes.

Modifié le 6 juillet 2018 par InfoYANN

[Brunchto]

tu peux faire une restauration dans un autre dossier que le dossier d'origine.

[ers31]

Bonjour,

Merci pour vos deux dernières réponses.

Je m'en vais donc tester mes sauvegardes dans des dossiers temporaires pour ne pas mettre le box dans les dossiers de travail !

Encore merci pour vos précieux conseils ☺️

[Fenrir]

Le 21/06/2018 à 09:58, StéphanH a dit :

Du coup,  je ne comprends pas dans quel cas l'adresse en fe80:: est utilisée ...

Pour la découverte locale et la transmission directe (trop long à détailler sans faire un cours IPv6)

Le 21/06/2018 à 09:58, StéphanH a dit :

mon NAS log l'IPv6 de mon iPhone

plusieurs réponses possibles

mais avec quickconnect en chemin, je ne peux pas répondre

Le 21/06/2018 à 09:58, StéphanH a dit :

J'ai un gros doute sur le fait qu'une règle sur une sélection de pays fonctionne en IPv6

ça fonctionne de la même manière, exemple ici : http://www.ipdeny.com/ipv6/ipaddresses/aggregated/fr-aggregated.zone

mais avec quickconnect en chemin, je ne peux pas répondre

Le 05/07/2018 à 19:06, Corse_34 a dit :

voila le rapport de l’analyse

Les services LAN sont accessibles depuis Internet => c'est un gros problème (le reste est ok) => tu as du rater un truc dans la section Firewall => traité dans un autre post

 

Modifié le 11 juillet 2018 par Fenrir

[StéphanH]

Merci@fenrir pour tes réponses.

Pour les v6 locales, je constate qu’elles sont utilisées lorsque je suis sur mon LAN dont le routeur n’est pas IPV6. Je n.ai pas encore tout compris à IPV6 mais il semble que ce soit normal (un genre découverte locale)

Ces deux derniers cas montrent un vrai changement de comportement entre v4 et v6 pour la sécurité de nos NAS : il faut vraiment y aller molo et bien comprendre ce qui se passe (ou essayer ..) avant de migrer les yeux fermés.

Pour le firewall, mes culpa, ça semble fonctionner. J’aurai dû poster un correctif à mon post ...



(Rédigé avec Tapatalk)

[unPixel]

Pour ma part, pas encore osé tenter le pas vers l'IPV6. Faudrait que je me rencarde un peu plus encore sur ce dernier.

[Fenrir]

Le 11/07/2018 à 23:07, StéphanH a dit :

Ces deux derniers cas montrent un vrai changement de comportement entre v4 et v6 pour la sécurité de nos NAS : il faut vraiment y aller molo et bien comprendre ce qui se passe (ou essayer ..) avant de migrer les yeux fermés.

;)

Le 01/12/2016 à 19:33, Fenrir a dit :

Pour l'IPv6, même si je ne devrais pas le dire (car l'IPv6 c'est bien), du point de vue sécurité je vous recommande de le désactiver pour le moment.

un peu de lecture :

• http://livre.g6.asso.fr/index.php/Table_des_mati%C3%A8res
• https://cisco.goffinet.org/adressage-ipv6/

[FloAk]

Bonjour

 

Un grand merci pour ce super tuto. Je suis totalement débutant et j'ai appris beaucoup de choses. Je reste néanmoins loin de "tout" comprendre. J'y vais par étape.

J'ai suivi le tuto et appliqué presque tous les paramétres. Au moment de mettre les régles du parefeu j'ai ce message d'erreur: J'ai pourtant relu/refait/relu/refait. J'oublie quelque chose ? (mac book air via freebox revolution)

Mon nas me sert à la maison pour un usage de "débutant". Je gère mes photos et quelques films.

Pour l'instant je ne me sers que de mon compte perso créé par défaut qui a aussi les droits admins. Je comprends que tant que je reste en local "tout va bien" mais dés que je me connecte sur un réseau extérieur c'est plus dangereux. Si je veux accéder à mes photos sur mobile via l'appli moment mieux vaut me connecter avec un autre compte user je suppose et activer le partage de bibliothéque ?

 

Merci 

 

Modifié le 9 août 2018 par FloAk

[Jojo (BE)]

as-tu bien entré ces règles de Pare Feu pour "toutes les interfaces" ? (il s'agit du dropdown qui se trouve au-dessus à droite de ta première capture d'écran.

[FloAk]

Salut

Oui tout à fait

[Jojo (BE)]

et quelle est l'IP locale de ton PC ?

[Mic13710]

A moins d'avoir pu renseigner une adresse "exotique" dans le dhcp de la freebox (ce qui m'étonnerait beaucoup), normalement ça couvre toutes les adresses privées. Il n'y a que si la box est en bridge (en ip publique donc) que ça risque de coincer.

[FloAk]

Merci pour vos réponses

Voilà ce que j'ai pour mon pc ET pour ma freebox. J'ai rien bidouillé dans la freebox. Dans le FW du nas j'ai même essayé d'entrer l'adresse IP du mac directement

[Jojo (BE)]

alors là, désolé, mais je n'ai plus d'autres idées