[Tuto] Reverse Proxy

[Jeff777]

Bonsoir @MBL05

Il y a 1 heure, MBL05 a dit :

il faudra donc toujours taper https://xxx.NDD.fr pour accéder au NAS, c'est bien ça ?

Dans ce cas, je ne comprends plus l'intérêt d'ajouter le "fichier" .htaccess

L'intérêt du fichier .htaccess c'est de rediriger une requête http vers https.

Donc que tu tapes https://xxx.NDD.fr, http://xxx.NDD.fr ou xxx.NDD.fr  c'est  https://xxx.NDD.fr qui apparaitra dans ton navigateur (parfois on ne voit que xxx.NDD.fr avec un petit cadenas mais en double-cliquant sur l'adresse le https apparaît)

[MBL05]

Bonsoir @Jeff777

C'est bien ce que j'avais compris mais cette phrase de @oracle7 m'a mis le doute :

Citation

Maintenant, sauf erreur de ma part (mais je peut me tromper) il me semble avoir lu sur le forum, qu'il n'est pas prioritaire par rapport aux URL du Reverse proxy.

 

Comment savoir si la redirection htaccess ne fonctionne pas car elle n'est pas prioritaire ou car elle n'est pas prise en compte ?

[.Shad.]

il y a 24 minutes, MBL05 a dit :

Comment savoir si la redirection htaccess ne fonctionne pas car elle n'est pas prioritaire ou car elle n'est pas prise en compte ?

Jusqu'à ce que ça marche.
Il n'y a pas de mystère, si tu as bien suivi les consignes pour le .htaccess, et que le port 80 est correctement redirigé vers ton NAS depuis ta box avec Webstation lancé, ça doit fonctionner.

Pour des tests, tu peux ouvrir le port 80 au monde entier, et tu vérfies sur https://www.yougetsignal.com/tools/open-ports/ que ton port 80 est bien ouvert, même chose avec le 443.

PS : Je n'ai aucune idée de quoi @oracle7 parle concernant la "priorité".

Modifié le 15 mars 2021 par .Shad.

[.Shad.]

J'y pense, mais est-ce que le serveur principal HTTP dans Webstation -> Paramètres généraux, c'est bien Apache ? Car sinon ça ne risque pas de marcher. 🙂 

[MBL05]

@.Shad.

 

Lorsque j'ouvre les ports 80 et 443 au monde entier le test fonctionne bien

Oui, le serveur principal est bien Apache 2.4

Il ne me reste plus qu'à persévérer jusqu'à ce que ça marche alors ! 

[Jeff777]

Il y a 6 heures, MBL05 a dit :

Il ne me reste plus qu'à persévérer jusqu'à ce que ça marche alors !

oui relit bien les tutos. Par exemple je n'ai rien vu sur l'onglet réseau/paramètre DSM. La case "rediriger les connexions http vers https...." est bien désactivée (elle fait bugger le reverse proxy c'est pour cette raison que l'on met .htaccess en place).

Bonne journée

[oracle7]

@.Shad., @MBL05

Bonjour,

Il y a 11 heures, .Shad. a dit :

PS : Je n'ai aucune idée de quoi @oracle7 parle concernant la "priorité".

Je n'ai fais que retranscrire une assertion d'un "initié" que j'avais lue dans un post ici et que j'avais eut la faiblesse de croire en lui faisant confiance, mais sans la vérifier. Rien de plus. De toutes façons, j'avais bien aussi précisé : "sauf erreur de ma part".

Cordialement

oracle7😉

Modifié le 16 mars 2021 par oracle7

[MilesTEG1]

@oracle7 @.Shad. @Jeff777

Cette petite discussion sur le .htaccess m'a fait me poser la question : est-ce que je l'utilise ça ? 
Dans mes souvenirs pas vraiment, si ce n'est pour faire une redirection pour photostation.
Mais en allant voir le-dit fichier, j'ai pu constater que j'avais dedans la redirection vers le HTTPS pour tout ce qui arrive sur le NAS 😄

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
RewriteCond %{HTTP_HOST} ^photo.monNAS.monNDD.ovh$
RewriteRule ^$  https://photo.monNAS.monNDD.ovh/photo [L,R=301]

On avait aussi eu une discussion sur le [L,R=301] à la fin des RewriteRule, dont j'ai oublié tous les aboutissants 😅

[MimiraK]

Bonsoir à tous !

J'ai pu configurer mon nas niveau sécurité en suivant les recommandations du tuto de Fenrir, aucuns soucis particuliers sauf a faire quelques cheveux blancs quand il faut systématiquement aller cocher les accès 😞 bref

Je me suis attelé ensuite au reverse proxy, tiptop le tuto 😉 et :

- Je me suis fait avoir par la limite de demande chez Let's Encrypt 😞 mais pour info on a un certificat Wildcard (Geotrust) gratos chez Ionos avec le domaine chez eux ! Importé avec succès

- Mon soucis maintenant est le suivant : après toute la config jusqu'au fichiers .htaccess, je pouvais acceder au nas avec fichiers/drive/autre.ndd.com et j'étais bien diriger en HTTPS MAIS vers la page de connexion DSM

Donc, en fin de tuto il est à préciser qu'il faut décocher "nom de domaine personnalisé" dans paramètres DSM, ce que j'ai fait (il y avait nas.ndd.com) MAIS maintenant j'arrive sur ça avec n'importe quel exemples.ndd.com :

J'ai réessayé de cocher "nom de domaine personnalisé" dans paramètres DSM (pour voir 🙂 ) avec le nas.ndd.com et plus d'accès à la page de co DSM mais le message ci-dessus.

Malheureusement, je sèche et ne sais plus quoi faire, si quelqu'un pouvait m'aider je lui en serai reconnaissant !

Au plaisir de vous lire !

Petit complément d'info (si ça peut aider) :

Avant de configurer le .htaccess et désormais quand je tape https://exemples.ndd.com je tombe sur ça :

Merci à vous !

[Jeff777]

il y a 8 minutes, MimiraK a dit :

Donc, en fin de tuto il est à préciser qu'il faut décocher "nom de domaine personnalisé" dans paramètres DSM

oui et aussi la case au dessus "rediriger connexions http vers https.." c'est le fichier .htaccess qui fait le redirection. Cocher cette case fait bugger le reverse proxy.

[MimiraK]

Oui biensur 🙂 C'est ce qui à été fait. Cette info revient souvent dans plusieurs tutos.

Le problème ne vient pas de là, surtout qu'un bref instant (avant de décocher domaine personnalisé) j’accédais à la page de co de DSM.

Merci quand même 🙂

[MimiraK]

Je reviens ce matin après plusieurs essais et le redémarrage du nas.

Ci-après les test effectués, je précise que j'ai vidé les caches navigateur :

 

Avec exemples.ndd.com voici ce qui se passe (les noms suivants remplace “exemples”) :

En local (sur le même réseau câblé et le même navigateur que pour DSM) :

videos… —> OK Page de co de video station en https
https://videos… —> OK Page de co de video station en https

drive… —> Erreur 404 Not Found nginx
https://drive… —> OK Page de co de Syno drive en https

fichiers… —> OK Page de co de file station en https
https://fichiers… —> OK Page de co de file station en https

audio… —> OK Page de co de audio station en https
https://audio… —> OK Page de co de audio station en https

contacts… —> Erreur 404 Not Found nginx
https://contacts… —> OK Page de co de Syno contact en https

sauvegardes… —> Erreur 404 Not Found nginx
https://sauvegardes… —> OK Page de co de Active Backup for business Portal en https

 

Pour les services ou j’ai la page de co et que je me connecte avec un utilisateur ça marche.

Pourquoi sur certains services ça me met une erreur quand je suis en exemples.ndd.com et si je rajoute https:// avant j’ai la page de connexion ?? c’est pas logique non ?

Depuis l’extérieur (partage de co iPhone en 4G ou même en wifi sur le réseau local avec une tablette pc windows 10) ça va être rapide rien ne marche ! :

videos…/drive…/fichiers…/audio…/contacts…/sauvegardes… —> Erreur 404 Not Found nginx
https://videos…/drive…/fichiers…/audio…/contacts…/sauvegardes… —> Erreur Echec de la connexion sécurisée PR_END_OF_FILE_ERROR

 

Avec les applis Clients, drive ou DS video par exemple, c’est pareil pas de connexion en 4G ou même en wifi sur le même réseau. Pour info, dans le client je mets exemples.ndd.com:443

 

C’est incompréhensible, je suis désespéré :,( ...

Si quelqu'un veut bien m'aider

[MimiraK]

Je rajoute ma config zone DNS du fournisseur, si ça peut venir de la...

 

[Mic13710]

Il NE PEUT PAS y avoir 2 enregistrements A pour un même domaine qui pointent vers deux IP différentes.

Il y a un enregistrement de trop. Il faut supprimer le premier.

Si votre box est en IPV6, vous pouvez conserver l'enregistrement AAAA, à condition bien entendu que l'adresse IP corresponde bien à votre IPV6 publique. Vous pouvez supprimer cet enregistrement si vous n'avez pas d'IPV6. Et l'autre AAAA pointe t'il vers la même IPV6 que le premier enregistrement ?

Si votre site est hébergé chez vous, vous pouvez remplacer votre enregistrement A www par un CNAME. Sinon, l'IP doit pointer vers votre site. Là aussi, il ne peut pas y avoir 2 enregistrements A pour le même domaine (www) avec 2 IP différentes.

[.Shad.]

Les IP qui étaient là par défaut correspondent généralement à l'hébergement gratuit de quelques Mo que propose un fournisseur de nom de domaine lors de l'achat.

Bien suivre les conseils de @Mic13710 et dis-nous ce qu'il en est une fois les enregistrements corrigés.

[MimiraK]

MERCI !!

Pour l'IPV6, dans l'état de la freebox Delta j'ai bien une IPV6 (c'est plus désactivable dans freeboxOS), mais je ne souhaite pas forcément utiliser l'IPV6, Faut-il quand même que je la renseigne ?

Je n'ai pas de site pour le moment, dans un future proche mais sous le même "nom de domaine" mais en .fr, le .com ne sera que pour les services.

Que dois-je faire de l'enregistrement A www en IPV4 et IPV6, je le fait pointer vers mon IP fixe (box) ?

Merci 🙂

[.Shad.]

Ben si tu comptes t'en servir oui, sinon tu peux l'effacer, c'est toi qui vois.

[MimiraK]

Merci, ca avance petit à petit...

Voici le résultat :

En wifi sur le local :

• ca fonctionne dans le navigateur avec ou sans https
• l'appli DS Video fonctionne
• Client drive ne fonctionne pas echec connexion

Depuis l'extérieur en partage 4G :

• Ca ne fonctionne pas sans le https, ça n’aboutit jamais, mais avec oui j'arrive sur la page de connexion
• toute les applis ne fonctionnent pas, DS Video tourne sans aboutir et drive echec de connexion.

C'est très ennuyeux étant donné que je souhaite proposer tous ces services à mes collaborateurs qui sont hors de mon réseau...

Vous avez une idée de ce qui pourrait coincer ?

[.Shad.]

Il nous faut toute une série d'impressions d'écran, parce que là on y va à tâtons :

- tes redirections au niveau de la box
- tes règles de pare-feu
- les ports utilisés pour les applications Synology (Portail des applications)
- les entrées de proxy inversé (Portail des applications -> Proxy inversé) et leur contenu

Modifié le 20 mars 2021 par .Shad.

[MimiraK]

Voila tu as tout. J'ai aussi fait le fichier .htaccess comment indiqué dans le tuto.

Je viens de virer les A / www et AAAA / www ainsi que la AAAA / @ et désormais du navigateur en 4G si je tape exemples.ndd.com j'arrive bien sur la page de connexion en https.

MAIS les applis ne fonctionnent toujours pas. Je ne comprends pas

je mets exemples.ndd.com:443 avec user et mdp mais rien

Modifié le 20 mars 2021 par MimiraK

[Mic13710]

Photo est une application spécifique qui ne fonctionne pas via le reverse proxy, sauf à faire la translation dans un .htaccess par exemple. Pour photo station, c'est ndd/photo

il y a 29 minutes, MimiraK a dit :

si je tape exemples.ndd.com j'arrive bien sur la page de connexion en https.

exemples c'est quoi ? quelle page de connexion ? Vous voulez dire par exemple qu'avec https://audio.ndd vous arrivez bien sur audio station ?

il y a 31 minutes, MimiraK a dit :

je mets exemples.ndd.com:443 avec user et mdp mais rien

Si sur cette page les identifiants ne fonctionnent pas c'est que l'utilisateur n'a pas les droit sur l'application.

En bref, si vous atteignez l'application mais que vous ne pouvez pas l'ouvrir, c'est que votre zone DNS et le reverse proxy fonctionnent correctement. La suite n'est qu'une affaire de droits.

[.Shad.]

il y a une heure, MimiraK a dit :

En wifi sur le local :

• ca fonctionne dans le navigateur avec ou sans https
• l'appli DS Video fonctionne
• Client drive ne fonctionne pas echec connexion

Quid des autres applications ? elles devraient fonctionner normalement. As-tu bien désactivé "Rediriger automatiquement les connexions HTTP vers HTTPS pour le bureau DSM" dans Panneau de configuration -> Réseau -> Paramètres de DSM ?

Pour Drive c'est normal que ça marche pas, l'application Drive sur le port 10002 n'est qu'une application de gestion de Drive pour un utilisateur. Les données transitent par le port 6690/tcp, et ne peuvent pas passer par un proxy inversé. Si tu veux que tes collègues synchronisent leurs fichiers sur le NAS depuis l'extérieur, il faut faire une redirection de ce port dans ta box vers ton NAS, et l'autoriser dans le pare-feu du NAS. Dans le client, ils doivent indiquer un domaine pointant sur ton IP publique, par exemple ndd.com.

il y a 49 minutes, MimiraK a dit :

MAIS les applis ne fonctionnent toujours pas. Je ne comprends pas

je mets exemples.ndd.com:443 avec user et mdp mais rien

Tu as bien coché HTTPS dans l'appli à l'écran de connexion ?
Tu peux te connecter avec un PC portable sur la 4G de ton smartphone en mode point d'accès mobile, et depuis une invite de commande Windows, tu tapes :

nslookup exemples.ndd.com

exemples étant évidemment un domaine correspondant à un de tes proxy. Normalement ça doit renvoyer ton IP publique.

[MimiraK]

il y a 4 minutes, Mic13710 a dit :

Photo est une application spécifique qui ne fonctionne pas via le reverse proxy, sauf à faire la translation dans un .htaccess par exemple. Pour photo station, c'est ndd/photo

Oui j'avais cru comprendre, par contre si on peut faire la translation ça m'intéresse. Peut on mettre ça dans le même fichier .htaccess que la redirections http-->https du tu tuto ? Si oui comme fait-on ?

il y a 4 minutes, Mic13710 a dit :

exemples c'est quoi ? quelle page de connexion ? Vous voulez dire par exemple qu'avec https://audio.ndd vous arrivez bien sur audio station ?

Oui, drive, fichiers, videos, sauvegardes .ndd.com j’arrive sur la page de connexion et peux me connecter avec un user/mdp

il y a 4 minutes, Mic13710 a dit :

Si sur cette page les identifiants ne fonctionnent pas c'est que l'utilisateur n'a pas les droit sur l'application.

Je me connecte sans problème, également sur toutes les applis IOS (DS video, audio, file et drive)

MAIS sur le Synology Drive client de windows 10, impossible echec de la connexion ! et je vois pas pourquoi... Et c'est ce service dont j'ai le plus besoin pour synchroniser tout les PC et MAC de mes collaborateurs selon leurs droits.

Pareil pour DS video windows 10 qui me met echec de connexion temps dépassé 😞

il y a 4 minutes, Mic13710 a dit :

En bref, si vous atteignez l'application mais que vous ne pouvez pas l'ouvrir, c'est que votre zone DNS et le reverse proxy fonctionnent correctement. La suite n'est qu'une affaire de droits.

 

Oui, et c'est déjà la une très grande victoire pour moi, merci infiniment à toi et à .Shad.

Me reste plus qu'à régler ce problème de drive client et des applis de windows 10, si tu as une piste je suis prenneur

[.Shad.]

il y a 8 minutes, MimiraK a dit :

Peut on mettre ça dans le même fichier .htaccess que la redirections http-->https du tu tuto ? Si oui comme fait-on ?

Voir message de @MilesTEG1 un peu plus haut : 

Et pour :

il y a 8 minutes, MimiraK a dit :

Peut on mettre ça dans le même fichier .htaccess que la redirections http-->https du tu tuto ? Si oui comme fait-on ?

Je t'ai répondu entre temps. 😉 

Modifié le 20 mars 2021 par .Shad.

[MimiraK]

il y a 28 minutes, .Shad. a dit :

Quid des autres applications ? elles devraient fonctionner normalement. As-tu bien désactivé "Rediriger automatiquement les connexions HTTP vers HTTPS pour le bureau DSM" dans Panneau de configuration -> Réseau -> Paramètres de DSM ?

Oui j'ai désactivé

Citation

Pour Drive c'est normal que ça marche pas, l'application Drive sur le port 10002 n'est qu'une application de gestion de Drive pour un utilisateur. Les données transitent par le port 6690/tcp, et ne peuvent pas passer par un proxy inversé. Si tu veux que tes collègues synchronisent leurs fichiers sur le NAS depuis l'extérieur, il faut faire une redirection de ce port dans ta box vers ton NAS, et l'autoriser dans le pare-feu du NAS. Dans le client, ils doivent indiquer un domaine pointant sur ton IP publique, par exemple ndd.com.

Aaahaa, tout s'explique 🙂 je vais tester tout ça.

Est-ce que c'est sécurisé ? Seulement si on coche "Activer le chiffrement de la transmission des données SSL" ?

Citation

Tu as bien coché HTTPS dans l'appli à l'écran de connexion ?
Tu peux te connecter avec un PC portable sur la 4G de ton smartphone en mode point d'accès mobile, et depuis une invite de commande Windows, tu tapes :

nslookup exemples.ndd.com

exemples étant évidemment un domaine correspondant à un de tes proxy. Normalement ça doit renvoyer ton IP publique.

Oui pour https

la commande me renvoi ça pour video.ndd.com :

Serveur : UnKnown

Address : Fe80.....

Réponse ne faisant pas autorité :

Nom : ndd.com

Adresses : 64:ff....

                  82..... MON IP

Aliases : videos.ndd.com

Merci à toi !! et @Mic13710 !! je suis en passe de régler tout mes soucis

 

il y a 20 minutes, .Shad. a dit :

Voir message de @MilesTEG1 un peu plus haut : 

Et pour :

Je t'ai répondu entre temps. 😉 

😄 Merci ! juste pour être sur.

Si je veux aussi la redirection de photo et tout les http -->https, je mets dans mon fichier .htaccess ceci :

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}
RewriteCond %{HTTP_HOST} ^photos.ndd.com$
RewriteRule ^$  https://photos.ndd.com/photo

Merci d'avance ! 🙂

Modifié le 20 mars 2021 par MimiraK