problème d'accès à distance via un nom de domaine

[rvga]

Bonjour,

J'ai réussi (non sans peine) à configurer l'accès à mon NAS via l'IP fixe (82.247.190.114) de ma freebox revolution. L'ayant à peu près configuré selon les recommandations de Fenrir (sécuriser les accès à son nas) j'ai une connexion externe sécurisée qui si je tape 82.247.190.114:5000 me redirige vers 82.247.190.114:5001. J'accède au NAS depuis internet, tout va bien (enfin il me semble)

Cherchant à professionnaliser un peu l'environnement du NAS, j'ai acheté ce matin un domaine chez OVH (twiners.fr) et je souhaite naturellement le faire pointer vers mon IP fixe.

Ce tuto, plus l'aide OVH m'ont conduit à paramétrer ma zone DNS chez OVH, comme suit :

1.                                          Domaine : twiners.fr | TTL : 0 | Type : A | Cible : 82.247.190.114
2. sous-Domaine : www | Domaine : twiners.fr | TTL : 0 | Type : A | Cible : 82.247.190.114

Suite à ce paramétrage, j'obtiens désormais les connexions suivantes selon ce que je saisis :

1. si je saisis : 82.247.190.114 OU twiners.fr OU www.twiners.fr ==> J'arrive sur ma page de connexion "mafreebox"...  est-ce normal ? parce que ce n'est pas l'objectif
2. si je saisis : 82.247.190.114:5000 OU twiners.fr:5000 OU www.twiners.fr:5000 ==> J'arrive au bon endroit

Evidemment je souhaite arriver directement sur la page de connexion sécurisée en tapant simplement twiners.fr (éventuellement www.twiners.fr ) dans la barre d'adresse, mais comme je n'y vois plus très clair dans ces notions que je ne maîtrise pas, je ne sais plus quoi paramétrer pour que ce soit propre et sécurisé.

Un coup de main SVP pour finaliser la dernière ligne droite ne serait vraiment pas de refus. D'avance merci.

 

[El_Murphy]

Il faut faire des redirections de ports dans l'interface de la freebox.

 

port 80 ====> port 80 sur l'ip local de votre nas (exemple 192.168.1.20) pour le http://

port 443====> port 443 sur l'ip local de votre nas (exemple 192.168.1.20) pour le https://

[rvga]

Merci El_Murphy pour le conseil.

J'ai rajouté le port 443 pointant sur mon Ip locale comme les 3 précédentes, malheureusement ça ne change pas mon problème, twiners.fr pointe tjrs sur "mafreebox".

 

[Pascalou59]

Il faut décocher dans ta freebox l' acces a distance de ta box

[rvga]

Salut Pascalou,

je ne vois pas ou modifier ce paramètre dans la console mafreebox ? Si tu veux bien me guider un peu...

 

Modifié le 2 janvier 2018 par rvga

[rvga]

Pour y voir plus clair et reprenant le déroulé du tuto de Fenrir, voilà l'ensemble du paramétrage de mon NAS.

1.1 Accès externe - DDNS : aucun

1.2 Accès externe - Pas de configuration routeur

1.3 - Accès externe - Avancé : aucun paramétrage.

2.1 - Réseau - Général - paramétrage conventionnel je pense

2.2 - Reseau - interface réseau/Lan1, plutot conventionnel également je pense

IPv6 : désactivé

2.3 - Réseau - Paramètre DSM

J'avais ici activé le 'Domaine' mais ça n'avait rien changé, du coup je l'ai supprimé.

3.1 - Sécurité Pare-feu, je suis resté minimaliste en me contentant de paramétrer les 4 premières règles du tuto

3.2 - Sécurité - Protection DoS Lan1 : activé

3.3 - Sécurité - Certificat, j'ai laissé par défaut l'auto-signé de Synology , mais je le changerai par un gratuit d'OVH-LetsEncrypt quand l'accès externe via le domaine fonctionera

3.4 - Sécurité - onglet Avancé : reste identique au tuto

 

En espérant que ça puisse aider...

[Mike913]

il y a une heure, rvga a dit :

Salut Pascalou,

je ne vois pas ou modifier ce paramètre dans la console mafreebox ? Si tu veux bien me guider un peu...

 

 

Bonjour

Tu n' as pas beaucoup cherché,  Configuration sur ta copie d'écran: 

Configuration Accès à Freebox OS

[rvga]

 

Il y a 10 heures, Mike913 a dit :

Tu n' as pas beaucoup cherché,  Configuration sur ta copie d'écran: 

Configuration Accès à Freebox OS

Oops désolé...

Ca m'inquiète un peu de laisser cette option décocher, j'ai l'impression de laisser la porte grande ouverte, non ?

Effectivement on a progressé, reste que je ne pointe pas encore sur la page du login. J'ai essayé d'activer webstation,...sans succès :(

[rvga]

Résolu :)

En activant le domaine personnalisé (Réseau/Paramètres DSM/Domaine), le domaine pointe enfin sur la page de connexion.

Merci pour le coup de pouce à El-Murphy, Pascalou et Mike913.

 

[rvga]

Oops ! Ben non en fait, j'ai parlé trop vite, mon site n'est pas accessible depuis l'extérieur.

Je me suis fait avoir, jusqu'à maintenant je me connectais depuis chez moi, donc j'ai cru que ça fonctionnait, mais aujourd'hui que je suis vraiment à l'extérieur, je me rends compte que je n'accède pas à mon NAS via le nom de domaine, pas plus que par l'IP publique. Là pour le coup, je sais pas quel paramètre regarder pour corriger.

[El_Murphy]

D'après les règles du par feu de votre nas c'est normal.

Vos ports sont accessibles pour les IPs du réseau local seulement.

Il vous faut faire une règle dans le par feu du nas pour le port que vous voulez ouvrir, autoriser une ou plusieurs IP (ou zone france) et la mettre avant la dernière règles de votre par feu.

Modifié le 8 janvier 2018 par El_Murphy

[rvga]

Merci El_Murphy, je teste ça dès mon retour...

[rvga]

Je pensais avoir compris en autorisant l'accès à l'interface de gestion (5000, 5001) pour mon IP publique mais visiblement ce n'est pas ça. J'ai testé avec http://canyouseeme.org/... ça ne fonctionne pas :(

Par ailleurs, je souhaiterai bloquer toutes connexions autre que les françaises. Est-ce que la règle "France" (une fois activée) fonctionnera bien dans ce sens ?

Enfin la configuration de mon NAS fait qu'il créé et paramètre lui-même la règle des ports 80,443 sans l'activer. Quel intérêt ? Je comprends bien que le système paramètre une règle suite à l'installation du drive et qu'il l'active, mais celle des 80,443... je vois pas ?

 

[El_Murphy]

Oui , pour la règle concernant "Interface de Gestion, File St..." c'est bon.

La règle juste au dessus " Tous  Tous  France  Autoriser" vous l'enlevez vite.

Vous cochez "Activé" pour la règle 80/443 vous validez et c'est bon.

Dernier point , n'oubliez pas de renseigner dans : Panneau de Configuration => Réseau => Paramètre DSM => Activer un Domaine Personnalisé 

Le 02/01/2018 à 10:15, rvga a dit :

 

Domaine :   twiners.fr

Modifié le 13 janvier 2018 par El_Murphy

[rvga]

Merci pour les explications pas à pas, j'apprécie vraiment.

Les ports sont Ok (à priori) j'avais paramétré le domaine personnalisé entre-temps, mais canyouseeme.org ne voit tjrs pas le domaine twiners.fr   :((

Modifié le 14 janvier 2018 par rvga

[El_Murphy]

Ah bah forcement , si vous essayez via un site tiers comme canyouseeme votre règle par feu "72.235.180.94" s'applique , il n'y a que cette ip qui peut y acceder.

[rvga]

vous voulez dire que vous accédez à twiners.fr ?

[El_Murphy]

Non , je ne peut pas non plus et c'est normal , 

vos 2 règles de par feu sont configurer pour laisser passer les requêtes provenant de l'ip 72.235.180.94.

Il n'y as qu'a partir de cette ip que l'on peut acceder a vos port.

Pour que moi j'accede a votre DSM il faudrait par exemple mettre mon ip a la place , ou mettre "Tous" ou "France".

 

Edit : Chez moi j'ai mis "France"  (car les ip de mes téléphones 4G change souvent mais sont toujours françaises)

Modifié le 14 janvier 2018 par El_Murphy

[El_Murphy]

C'est bon , vous avez réussi.

Voilà ce que j'ai quand je tape https://twiners.fr 

[rvga]

C'est ça ! Merci El_Murphy pour votre patience face à mon incompréhension pour ces malheureux réglages. Si vous avez un tuto, un site... à me préconiser sur le sujet, je suis preneur parce que là je suis vraiment très idiot.

Canyouseeme renvoie ce msg d'information : "Your ISP is not blocking port 5000"... ISP c'est quoi ? C'est bon signe ou pas ?

[El_Murphy]

ISP = Internet Service Provider (FAI chez nous , Fournisseurs d'accès internet, Orange/SFR/Bouygues/Free).

Et c'est normal qu'il ne le voit pas car le serveur de canyouseeme doit être a l'étranger , par conséquent il doit avoir une IP que votre par feu refuse.

j'ai essayé http://twiners.fr et https://twiners.fr et j'arrive a chaque fois sur votre page DSM , il n'y a pas besoin de mettre :5000 ou : 5001 .

 

Pour le https , je vous conseille de remplacer le certificat synology par un certificat Let's Encrypt ::

Panneau de Configuration => Sécurité => Certificat => Ajouter => Remplacer un certificat existant = Synology

Ensuite dans la fenêtre suivante vous cochez "Procurez vous un certificat Let's encryp" et la case Configurer par défaut puis Suivant.

Dans la partie Domaine vous mettez twiners.fr

Email : vous mettez la votre 

Autres noms d'objet : www.twiners.fr 

Si vous avez d'autre noms a déclarer (exemple dsm.twiners.fr / file.twiners.fr ou autres) vous pouvez le rajouter a la suite de www.twiners.fr en mettant un point virgule comme ça :

www.twiners.fr;file.twiners.fr;mail.twiners.fr;dsm.twiners.fr

 

Avant de validez cette dernière étape , vous devez vous assurez de plusieurs choses :

N°1 Let's Encrypt va regarder les entrés DNS pour les noms que vous déclarez. Il faut donc bien vérifier que les CNAME / A existe bien (chez votre fournisseur de noms de domaine)

Si je déclare "dsm.twiners.fr;www.twiners.fr;file.twiners.fr" et que sur mon domaine il n'y a pas de redirection pour file.twiners.fr la procédure va se stopper là.

N°2 Let's Encrypt va devoir passer par le port 80 , et leurs IP ne sont pas françaises.Vous allez devoir changer la règle du par feu concernant le port 80/443 pour autoriser toutes les ip le temps de validé la procédure.

Une fois la procédure finis , vous pourrez remettre "France".

N°3 Tous les 3 mois , votre certificat va vouloir se renouveler , il faudrat donc penser a ré-ouvrir le port 80 pour toutes les ip , le temps du renouvellement.

 

Edit : Canyouseeme n'a pas l'air très stable , essayez https://www.yougetsignal.com/tools/open-ports/

Pour Drive , n'oubliez pas de faire un transfert de port (6690) de la freebox sur le NAS.

Et vous devriez remettre "France" sur vos règles de par-feu (drive, 80/443 , interface de gestion...)

Sauf si vous avez beaucoup d'utilisateurs a l'étranger.

 

Modifié le 14 janvier 2018 par El_Murphy

[rvga]

Changer de certificat, c'était le prochain objectif - vous m'avez devancé. Y'aura certainement des doutes et des questions que je poserai dans une file plus appropriée dans le forum.

Merci pour les tous derniers conseils et d'une manière générale un Grand merci pour votre temps et votre aide. Vous m'avez été précieux.

[rvga]

Je viens de changer de certificat en suivant les conseils ci-dessus... comme une lettre à la poste ;)

Cependant je n'accède plus directement au nas via l'adresse "twiners.fr"...

... je dois saisir "twiners.fr:5001" pour y accéder.

Aurai-je dû rajouter 'twiners.fr:5001' dans les autres nom de l'objet ou services de mon nouveau certificat Lets Encrypt ?

A moins que ça soit au niveau d'OVH qu'il faut créer une nouvelle entrée pour gérer le 'twiners.fr:5001' ?

Modifié le 17 janvier 2018 par rvga

[rvga]

Je n'accéde plus non plus à Redmine via : https://www.twiners.fr:30002/ "Site inaccessible" alors qu'il est bien déclaré dans les règles du parfeu ?

J'accède toujours bien à Drive mais jai pas compris ce conseil :

Le 14/01/2018 à 13:46, El_Murphy a dit :

Pour Drive , n'oubliez pas de faire un transfert de port (6690) de la freebox sur le NAS.

ça veut dire quoi faire un transfert de port freebox vers le NAS ?

Modifié le 17 janvier 2018 par rvga

[El_Murphy]

La freebox bloque les ports a destination de votre réseau.

Il faut lui dire quels ports doivent aller où , comme ce que vous avez fait pour les port 80,443,500,5001 ici :

Le 02/01/2018 à 01:12, rvga a dit :

Donc il vous faut faire une règle pour le port 6690 tcp (drive) et une règle pour votre container docker (port 30002) a destination du DS718.