[Tuto] Reverse Proxy

[oracle7]

@AlexisG

Bonjour,

@Jeff777 t'a tout dit pour la zone DNS locale.

J'ajouterais simplement que dans le portail des applications il ne faut renseigner que le port HTTP pour une application donnée. Si tu renseignes aussi le port HTTPS et ensuite du reverse proxy, de fait, tu fais du HTTPS sur du HTTPS (double cryptage) ce qui devient alors contre productif pour ta redirection.

Sinon, maintenant que tu as mis en place une zone DNS locale, tes requêtes locales n'ont plus lieu de remonter jusqu'à la Livebox, elle sont traitées directement seules les requêtes externes remontent et là a priori il n'y a pas de bug de firmware donc elles doivent aboutir.

Cordialement

oracle7😉

 

[AlexisG]

Il y a 4 heures, Jeff777 a dit :

Pour la zone privée il faut mieux faire :

ns.ndd  A iplocalenas

Merci pour l'info @Jeff777. Idem pour le champ mail ?

Il y a 4 heures, Jeff777 a dit :

et puis tu passeras un jour sur wildcard

Let's Encrypt le fait ?

Il y a 2 heures, oracle7 a dit :

Sinon, maintenant que tu as mis en place une zone DNS locale, tes requêtes locales n'ont plus lieu de remonter jusqu'à la Livebox, elle sont traitées directement seules les requêtes externes remontent et là a priori il n'y a pas de bug de firmware donc elles doivent aboutir.

Merci @oracle7, je pense que je jetterai un coup d'oeil à l'occasion sur le sujet, je suis déjà content d'en être là 👍

[oracle7]

@AlexisG

Bonjour,

mail 3600 A @IPlocaleNas

il y a 6 minutes, AlexisG a dit :

Let's Encrypt le fait ?

OUI bien sûr, et il est même préférable de passer par un wilcard " * " plutôt qu'empiler les CNAME pour tous tes domaines, surtout si tu en as "beaucoup".

Je me permet de te rappeler qu'il existe pas de "sous-domaines" et que "xxxx.ndd.tld" est un domaine au même titre que "yyy.xxxx.ndd.tld" ou que tout simplement "ndd.tld".

Cordialement

oracle7😉

[AlexisG]

Il y a 23 heures, oracle7 a dit :

OUI bien sûr, et il est même préférable de passer par un wilcard " * "

Merci pour l'info @oracle7. Néanmoins, à terme j'ai un de mes NAS (que je rend accessible via mon nom de domaine) qui va être installé chez un proche et donc il faudra que je fasse pointer son DDNS vers une autre IP. Du coup je me demande si un certificat Wildcard pourra toujours s'appliquer dans ce cas...

 

Autre chose que j'ai remarqué à présent, quand je tape une adresse de mon nom de domaine qui doit me faire aboutir sur l'interface de connexion de DSM d'un de mes NAS (sur lequel Web Station est installé, il m'affiche à présent une page "Web Station has been enabled [...]" au lieu de l'interface DSM. Une idée de comment contourner  le problème ?

[oracle7]

@AlexisG

Bonjour,

Il y a 3 heures, AlexisG a dit :

je me demande si un certificat Wildcard pourra toujours s'appliquer dans ce cas...

OUI bien sûr, le certificat wilcard est indépendant de ton @IP il est uniquement relatif à ton domaine.

Il y a 3 heures, AlexisG a dit :

il m'affiche à présent une page "Web Station has been enabled [...]" au lieu de l'interface DSM. Une idée de comment contourner  le problème ?

Aucune idée, je n'ai jamais rencontré ce problème. Je crains qu'il n'y ait autre chose qui provoque ce message. Vérifies quand même tes redirections dans le reverse proxy (@IP et port de destination), notamment pour celle qui arrive pas sur DSM alors qu'elle le devrait.

Cordialement

oracle7😉

[AlexisG]

Il y a 3 heures, oracle7 a dit :

Vérifies quand même tes redirections dans le reverse proxy (@IP et port de destination), notamment pour celle qui arrive pas sur DSM alors qu'elle le devrait.

En effet j'avais oublié un paramétrage. Merci pour le conseil @oracle7 !

J'en ai profité également pour corriger mon problème d'accès à mes noms de domaine depuis l'interne -->il fallait simplement que je mette mon NAS avec le DNS en serveur DNS préféré de la connexion internet.

Modifié le 11 janvier 2021 par AlexisG

[Jeff777]

Il y a 20 heures, AlexisG a dit :

Autre chose que j'ai remarqué à présent, quand je tape une adresse de mon nom de domaine qui doit me faire aboutir sur l'interface de connexion de DSM d'un de mes NAS (sur lequel Web Station est installé, il m'affiche à présent une page "Web Station has been enabled [...]" au lieu de l'interface DSM. Une idée de comment contourner  le problème ?

Effectivement comme dit @oracle7 c'est un problème de paramétrage du reverse proxy. D'ailleurs avec la wildcard si tu mets l'adresse toto.ndd et que toto.ndd n'existe pas en reverse proxy mais que tu as une wildcard la page d'accueil de webstation apparaitra également.

[AlexisG]

Hello @Jeff777 @oracle7 !

 

Je m'aperçois d'un *hic* dans mon paramétrage. Je vais essayer de l'expliquer simplement :

• J'ai mon nom de domaine "AlexisG.com" dont les DynDNS des différents sous-domaines pointent tous sur l'adresse IP publique de ma Box.
• J'ai un NAS1 avec une liste de paquets dessus (moments / drive / etc.) :
  • Chaque paquet est ouvert sur internet via un "sous-domaine" de mon domaine principal
  • Chaque paquet est paramétré à la fois dans le Reverse Proxy et également dans le DNS de ce même NAS1.
• Je fais pointer le DNS préféré de ce NAS1 sur lui-même pour contourner le problème de la LiveBox Orange (loopback).
• J'ai un NAS2 avec une autre liste de paquets dessus (video / audio) dont les services sont ouverts via mon nom de domaine et également paramétrés dans le Reverse Proxy du NAS1.

Du coup, avec mon paramétrage, depuis l'extérieur de mon domicile :

• Si je tape video.AlexisG.com j'arrive à aboutir à Video Station du NAS2.
• Si je tape drive.AlexisG.com j'arrive à aboutir à Synology Drive du NAS1.
• Si je tape NAS1.AlexisG.com j'arrive à aboutir à l'interface DSM de mon NAS1.
• Si je tape NAS2.AlexisG.com j'arrive à aboutir à l'interface DSM de mon NAS2.

Par contre depuis l'intérieur (mon Wifi domestique pointe en DNS préféré sur le DSN Server du NAS1) :

• Si je tape NAS1.AlexisG.com j'arrive à aboutir à l'interface DSM de mon NAS1.
• Si je tape NAS2.AlexisG.com j'arrive à aboutir à l'interface DSM de mon NAS2.
• Si je tape drive.AlexisG.com j'arrive à aboutir à Synology Drive du NAS1.
• MAIS si je tape video.AlexisG.com j'ai une alerte de sécurité car je suis redirigé vers l'interface DSM de mon NAS2.

Bref, depuis l'intérieur de mon domicile, tous les services exposés par le NAS2 auxquels j'essaie d'accéder via mon nom de domaine renvoient vers l'interface DSM du NAS2 avec une alerte de sécurité.

J'ai du mal à trouver la cause...vous avez des idées ?

[oracle7]

@AlexisG

Bonjour,

En première approche s'il y a une alerte de sécurité alors pour moi, il y aurait un problème de certificat.

Donc, as-tu installé le même certificat sur tes deux NAS ?

Sauf erreur de ma part, j'ai l'impression que non, voire même que le certificat actuel et actif du NAS2  serait différent de celui en place sur le NAS 1 car il ne semble pas couvrir les sous-domaines associés aux applications utilisées sur le NAS2 (Vidéo et audio).

Pour commencer, vérifies aussi à tout hasard pour le cas où ce serait le même que celui du NAS 1, si sur le NAS 2 ton certificat est bien configuré pour les services.

Ensuite, si les deux certificats sont différents, depuis le NAS 1 exporte le certificat et importe le sur le NAS 2 et n'oublies pas de le configurer pour les services adéquats.

Cordialement

oracle7😉

[.Shad.]

Que donnent :

nslookup video.alexisg.com IP_locale_NAS
nslookup drive.alexisg.com IP_locale_NAS

 

[AlexisG]

il y a 48 minutes, .Shad. a dit :

Que donnent :

nslookup video.alexisg.com IP_locale_NAS
nslookup drive.alexisg.com IP_locale_NAS

Hello @.Shad. ! Les deux me renvoient le comportement attendu (IP locale "NAS2" pour video.AlexisG.com et IP locale "NAS1" pour drive.AlexisG.com"). C'est juste que ça me renvoie sur le port de DSM et non le port de Video Station pour le 1er cas.

EDIT : depuis l'interne si je tape video.AlexisG.com:1234 (avec 1234 = port de Video Station), ça aboutit bien à Video Station (là ou video.AlexisG.com m'envoie sur DSM...)

 

Il y a 2 heures, oracle7 a dit :

En première approche s'il y a une alerte de sécurité alors pour moi, il y aurait un problème de certificat.

Donc, as-tu installé le même certificat sur tes deux NAS ?

En effet @oracle7 le certificat entre NAS2.AlexisG.com et video.AlexisG.com ne sont pas les mêmes (mais depuis l'extérieur ça ne pose pas d'alerte de sécurité car le certificat est conforme à l'URL visitée) . Depuis l'interne l'alerte est levée car je tape une adresse qui doit me faire aboutir sur Video Station alors que la requête m'envoie sur l'interface DSM.

Modifié le 13 janvier 2021 par AlexisG

[Jeff777]

@AlexisG

Tu héberges une zone privée sur ton NAS ou tu fais du loopback pour résoudre les adresses en interne ?

[oracle7]

@AlexisG

Bonjour,

As-tu essayé alors de faire une redirection dans le reverse proxy avec https://video.AlexisG.com:443 --> http://@IPNAS2:1234 ?

Cordialement

oracle7😉

[.Shad.]

Il y a 6 heures, AlexisG a dit :

Les deux me renvoient le comportement attendu (IP locale "NAS2" pour video.AlexisG.com et IP locale "NAS1" pour drive.AlexisG.com")

En quoi c'est normal ? Tu as dit :

Il y a 8 heures, AlexisG a dit :

J'ai un NAS2 avec une autre liste de paquets dessus (video / audio) dont les services sont ouverts via mon nom de domaine et également paramétrés dans le Reverse Proxy du NAS1.

Si le proxy inversé est sur le NAS1, drive aussi bien que video.alexisg.com doivent pointer sur le proxy inversé. Là tu sollicites le port 443 du NAS2, y a rien dessus donc il te renvoie le port DSM du protocole demandé, ici HTTPS...

On s'en balance du certificat sur NAS2 sauf pour les services non proxiables du NAS2 comme le transfert de données Drive sur le port 6690, Active Backup for Business, etc...

Modifié le 14 janvier 2021 par .Shad.

[popoff]

Bonsoir

Je ne poste peut-être pas dans le bon sujet mais je n'ai pas vraiment trouvé où le faire.

J'ai configuré mon nas pour avoir un accès via un ndd. Chaque service (drive, audio etc...) possède un sous nom de domaine. Tout fonctionne à la fois en interne à mon réseau local ou en extérieur sans aucun problème. J'en profite pour remercier les auteurs des différents tuto !!!

Cependant je rencontre un problème avec l'accès depuis les applications android ou les clients lorsque je suis connecté au réseau de mon entreprise.

Par exemple, et c'est le plus problématique pour moi, lorsque mon pc est connecté au réseau de mon entreprise le client drive n'arrive pas à se connecter (en adresse j'utilise drive.ndd). J'ai essayé en renseignant l'ip du proxy ou en le faisant détecté automatiquement cela ne fonctionne pas...

J'ai trouvé peu de réponses sur le net, mis à part que le problème se situerait au niveau d'un blocage de ports par le proxy. Cependant étant donné j'utilise un ndd si j'ai bien compris cela ne passe que par le 443....

Si quelqu'un peut m'expliquer la raison du problème ou éventuellement me proposer une solution, je suis preneur !

Modifié le 14 janvier 2021 par popoff

[oracle7]

@popoff

Bonjour,

1. Comme sur tout forum, il est d'usage que les nouveaux membres passent par la rubrique [PRESENTATION] pour faire la leur. Certains ici, y sont sensibles et de plus cela facilite les réponses en fonction du niveau de compétences du membre et de ses équipements. Cela dit rassures-toi il n'est pas trop tard pour bien faire ...

2. il y a 6 minutes, popoff a dit :

   Cependant je rencontre un problème avec l'accès depuis les applications android

   C'est une particularité et un fait, mais avec les applications DSxxx, il te faut ajouter le port 443 à l'URL de connexion, par ex : audio.ndd.tld:443, file.ndd.tld:443, etc ...

3. Dans le cas particulier de drive, il te faut aussi ouvrir/autoriser le port 6690 dans le pare-feu du NAS. Drive en a besoin pour son fonctionnement interne.

Cordialement

oracle7😉

[popoff]

il y a 19 minutes, oracle7 a dit :

@popoff

Bonjour,

1. Comme sur tout forum, il est d'usage que les nouveaux membres passent par la rubrique [PRESENTATION] pour faire la leur. Certains ici, y sont sensibles et de plus cela facilite les réponses en fonction du niveau de compétences du membre et de ses équipements. Cela dit rassures-toi il n'est pas trop tard pour bien faire ...

    

2. C'est une particularité et un fait, mais avec les applications DSxxx, il te faut ajouter le port 443 à l'URL de connexion, par ex : audio.ndd.tld:443, file.ndd.tld:443, etc ...

3. Dans le cas particulier de drive, il te faut aussi ouvrir/autoriser le port 6690 dans le pare-feu du NAS. Drive en a besoin pour son fonctionnement interne.

Cordialement

oracle7😉

Merci à toi pour la réponse !

Le port 6690 est autorisé sur le pare-feu mais je ne me souviens plus si j'ai testé avec le :443 à la fin de l'URL.

Je vais faire un tour sur la page de présentation 😉

Bonne soirée

Popoff

Modifié le 14 janvier 2021 par popoff

[oracle7]

@popoff

Bonjour,

Astuce : Pour avertir un membre de ta réponse, tu tapes dans ton message "@" + les premiers caractères de son pseudo. Dans le popup qui apparaît tu cliques alors sur le pseudo recherché et il s'affiche sur fond bleu dans ton texte. Ainsi ton interlocuteur est informé/notifié de ta réponse sinon il ne voit rien sauf à rebalayer en arrière tous les messages (ce que peu de monde fait).

PS : Dans tes réponses, il n'est pas nécessaire de re citer le post précédant dans sa totalité, ne cites que la partie à la quelle tu réponds, cela surcharge moins les posts et ils sont plus faciles à lire. Merci.

Cordialement

oracle7😉

 

Modifié le 15 janvier 2021 par oracle7

[AlexisG]

Il y a 23 heures, oracle7 a dit :

As-tu essayé alors de faire une redirection dans le reverse proxy avec https://video.AlexisG.com:443 --> http://@IPNAS2:1234 ?

Yes c'est ce que j'ai déjà @oracle7

Il y a 18 heures, .Shad. a dit :

Si le proxy inversé est sur le NAS1, drive aussi bien que video.alexisg.com doivent pointer sur le proxy inversé. Là tu sollicites le port 443 du NAS2, y a rien dessus donc il te renvoie le port DSM du protocole demandé, ici HTTPS...

OK merci pour l'information @.Shad.

Mais du coup comment ça se fait que quand je ne suis pas sur mon Wifi domestique et que je tape l'adresse video.AlexisG.com j'aboutis sur le bon service du NAS2 ?

Et question subsidiaire : a quel niveau doit être fait le changement ?

EDIT : tu avais bien raison...en faisant pointer l'adresse sur l'IP locale de mon NAS1 ça refonctionne...😅...merci @.Shad. !

Modifié le 14 janvier 2021 par AlexisG

[MilesTEG1]

Le 20/02/2018 à 09:11, Kawamashi a dit :

Pour mettre en place la redirection automatique, il faut créer un fichier .htaccess. Pour ça, il faut créer un fichier texte dans le dossier Web. A l'intérieur de ce fichier, on écrit le code suivant :

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}

On enregistre sous ".htaccess" (donc sans nom mais juste avec l'extension htaccess).

Il faut ensuite redemander un certificat à Let's Encrypt, en ajoutant www.ndd.fr dans le champ 'Autre nom de l'objet" (en plus des noms de tous les sous-domaines).

Après cette étape, quand on tape music.ndd.fr dans un navigateur, celui-ci nous redirige automatiquement vers https://music.ndd.fr.

Bonjour par ici 👋
Je me dis que la solution que je recherche à une petite contrariété pourrait trouver réponse ici, même s'il y a des chances que ça devienne caduc avec DSM7 et la fusion de PhotoStation et de Moments dans la nouvelle application Photos.
Bref, actuellement j'ai PhotoStation installé, et pour y accéder depuis internet, je dois taper : https://photostation.mon-nas.mon-ndd.ovh/photo/
J'aimerais bien pouvoir accéder à photostation directement depuis l'adresse : https://photostation.mon-nas.mon-ndd.ovh/
Je précise que photostation.mon-nas.mon-ndd.ovh redirige vers mon-nas.mon-ndd.ovh , lui même étant le DynHost configuré sur le NAS chez OVH.
Je n'ai pas de reverseproxy pour PhotoStation car je ne peux pas spécifier le .../photo/ dans la redirection du reverse proxy. (j'ai plein d'autre service configurés avec le reverse-proxy du nas).

Le ndd est renseigné dans la configuration de PhotoStation :


Est-ce possible du coup de faire rediriger un accès via  https://photostation.mon-nas.mon-ndd.ovh/ vers  https://photostation.mon-nas.mon-ndd.ovh/photo/ ?
Merci d'avance.

[Jeff777]

@MilesTEG1

Bonjour,

Ce qui fonctionne pour moi mais sans garantie pour ton cas :

Reverse proxy :  https://photo.ndd =====>http:// IPlocaleNas

.htaccess avec la redirection générale https et une redirection spécifique pour photostation: 

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}

RewriteCond %{HTTP_HOST} ^photo.ndd$
RewriteRule ^$ https://photo.ndd/photo [L,R=301]

[oracle7]

@MilesTEG1

Bonjour,

En regardant mes archives, j'ai retrouvé cette procédure, en espérant que cela te sera utile :

Citation

Paramétrage général :

Coté NAS :

•       Reverse proxy : https://photo.ndd.tld => http://localhost:80

•       Serveur DNS Local : CNAME photo.ndd.tld => ns.ndd.tld (pour la résolution locale)

•       Pour s'affranchir du "/photo", cela va se passer au niveau du .htaccess

RewriteEngine On

RewriteCond %{HTTPS} off

RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

RewriteCond %{HTTP_HOST} ^photo.ndd.tld$

RewriteRule ^$  https://photo.ndd.tld/photo [L,R=301]

Coté OVH (zone DNS) :

•       CNAME photo.ndd.tld => ndd.tld

Pour pouvoir accéder directement à photo station en https il faut activer le websocket dans la redirection du reverse proxy :

sur l'onglet « En-tête personnalisé », cliquer sur « Créer » et sélectionner « Websocket »

Ahhhrreeeee encore grillé par @Jeff777 🤪

Cordialement

oracle7😉

[MilesTEG1]

@Jeff777 @oracle7 Merci à vous, je tente ça de suite 😉

 

[Jeff777]

A noter:

ça marche aussi pour photo dsm7. Point peut-être important je n'ai rien dans les paramètres généraux de photostation

il y a 7 minutes, oracle7 a dit :

Ahhhrreeeee encore grillé par @Jeff777

C'est pas toujours le cas😄

il y a 7 minutes, oracle7 a dit :

Coté OVH (zone DNS) :

 

•       CNAME photo.ndd.tld => ndd.tld

Oui c'est vrai avec la wildcard j'oublie.

il y a 7 minutes, oracle7 a dit :

Pour pouvoir accéder directement à photo station en https il faut activer le websocket dans la redirection du reverse proxy :

 

sur l'onglet « En-tête personnalisé », cliquer sur « Créer » et sélectionner « Websocket »

@oracle7 moi je n'ai pas 😉

Modifié le 16 janvier 2021 par Jeff777

[MilesTEG1]

@Jeff777 @oracle7
Merci bien 😄

La solution fonctionne parfaitement 😄

Maintenant j'aimerais comprendre ce que fait exactement chaque ligne de ce fichier 😉  (c'est ma nature de scientifique qui veut ça je pense 😛)
Je vais mettre chaque ligne du code du .htaccess, et je vais soit poser une question après la concernant soit décrire ce que je pense qu'elle fait.

 

RewriteEngine On

Je pense que ça c'est pour activer la réécriture des URLs.

 

RewriteCond %{HTTPS} off

Ceci, ça doit être pour dire qu'on ne réécrit pas les HTTPS ?? J'avoue ne pas trop être sûr...

 

RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Là par contre... je sèche, même si je me doute que ça va prendre l'URL en question, ou bien c'est pour le format d'URL...
Et le [L,R=301] à la fin, ça fait quoi ???
Haaaa, est-ce que les deux lignes RewriteCond et RewriteRule n'irait pas ensemble ?
Ce qui pourrait être : Si l'url demandé n'est pas en https, alors on la réécrit avec le https ?
Reste toujours le [L,R=301] à la fin... Et aussi, la variable HTTP_HOST, ça correspond à quoi ?

 

 

RewriteCond %{HTTP_HOST} ^photo.ndd.tld$
RewriteRule ^$  https://photo.ndd.tld/photo [L,R=301]

Du coup, là ça voudrait dire que si l'url est photo.ndd.tld, alors on la réécrit en https://photos.ndd.tld/photo ?
Qu'est que le chapeau avant le photo.ndd.tld ?
Et aussi le ^$ de la ligne suivante ?
Reste toujours le [L,R=301] à la fin...

 

Merci en tout cas pour cette solution 😉