[Tuto] Reverse Proxy

[alan.dub]

Je vais peut être faire le lourd...

Mais je suis en train de faire d'autres reverse proxy pour Drive et Moments...

Et je me dit que le faire pour Mail Station serait peut être pas mal...

Avant de finaliser le tout, je me dit "tiens on va d'abords essayer pour voir si déjà... ça fonctionne".

Problème, lorsque je tape : https://mail.ndd.tld je tombe sur ça : (au lieu de roundcube !)

Ce qui est étrange... ce que leur certificat https montre... les miens 😕

Je... je ne l'explique pas...

Dans l'attente, j'ai supprimé le reverse proxy de mail station... et maintenant la page n'est plus accessible... comprends plus ^^

Modifié le 10 septembre 2018 par alan.dub

[unPixel]

Réactive et envoi moi le lien en MP stp que je regarde la source ce que ça raconte.

[alan.dub]

Merci Yann ^^

Ce soir c'est transfert (avec beaucoup de retard...) de photos / vidéos / films et mumuse avec Drive / Moments pour la synchro photos.

Je te transmets le lien demain matin sans faute 🙂 

Merci beaucoup !

[unPixel]

Ok, je serais peut-être pas dispo demain alors désoler si je te fais patienter un peu mais je te répondrai sans faute 😉

[alan.dub]

Bon et bien impossible à remettre en place 😅

J'ai même tenté et mettant autre chose comme :

Et bien impossible de sortir la page web de "web station" (même en activant le forçage http vers https via le fichier .htaccess).

Donc on va laisser tomber l'affaire mais... question ^^

Peut-on utiliser le reverse proxy pour round cube ?

Et si oui, comment ?

 

Dernier point... mais là c'est hors sujet...

J'ai régulièrement des tentatives de connexion venant d'autres pays (3 tentatives en 60 minutes pour bloquage de l'IP).

Aujourd'hui par exemple j'ai eu mon record de tentatives : 50 😲

C'est normal ?

Modifié le 10 septembre 2018 par alan.dub

[Jojo (BE)]

pour ton HS,

oui c'est normal, il y a toujours des idiots qui essayeront => met en place le FW sur ton Syno ou ton router (voit tuto sécurité)

Modifié le 11 septembre 2018 par Jojo (BE)

[alan.dub]

Le FW (Fire Wall), et bien activé sous DSM et Freebox comme indiqué sur le tuto sécurité.

Il n'y a que le port 80 que je dois modifier, ouverture TCP :

- France (uniquement).

- IP Let's Encrypt (certificats).

Mais les tentatives restent (port 25 ???).

Modifié le 10 septembre 2018 par alan.dub

[alan.dub]

Pour reprendre mes messages précédents, je suis aujourd'hui à 20 tentatives bloquées par Mail Server  🙄

Vous êtes certains que ça ne commence pas à faire beaucoup depuis hier (où j'étais à 50) ?

Cher utilisateur,
L'adresse IP [82.213.227.140] a connu 3 tentatives échouées en essayant de se connecter à Mail Server ouvert sur NAS dans un intervalle de 60 minutes, et a été bloquée à Tue Sep 11 20:20:14 2018.
Sincères salutations,
Synology DiskStation

Je préfère vous redemander pour être vraiment certain 😞

[Jojo (BE)]

apparemment, le gugus vient de Madrid. Mais ton FW a bien fait son boulot.

Tu peux rajouter cette IP dans la liste de IP à bloquer (sur ton Syno)

[unPixel]

Il y a 1 heure, alan.dub a dit :

L'adresse IP [82.213.227.140] a connu 3 tentatives échouées en essayant de se connecter à Mail Server ouvert sur NAS dans un intervalle de 60 minutes, et a été bloquée à Tue Sep 11 20:20:14 2018.

 

il y a 31 minutes, Jojo (BE) a dit :

Tu peux rajouter cette IP dans la liste de IP à bloquer (sur ton Syno)

 

Déjà fait par le système... Et le je te cîte "gugus" peut très bien avoir un pc zombie qui en gros veut dire que sa machine est utilisée par un pirate comme beaucoup d'autres machines dans le monde pour faire pas mal de mauvaises choses !

[alan.dub]

Oui, le bloquage est automatique sur mon syno :

Donc... tout va bien ?

Pour info, ça semble se calmer... je n'ai plus de tentative depuis fin de cet après-midi...

Modifié le 11 septembre 2018 par alan.dub

[Jojo (BE)]

Je proposais de rajouter l'ip, car n'y a-t-il pas également un déblocage automatique après un certain temps ? 

[alan.dub]

Regarde bien ma capture ;-) 

[unPixel]

Il y a 2 heures, Jojo (BE) a dit :

Je proposais de rajouter l'ip, car n'y a-t-il pas également un déblocage automatique après un certain temps ? 

Si ce n'est pas coché par l'utilisateur, je crois que de base, il n'y a pas de déblocage automatique.

[Johnson]

Salut et merci pour ce tuto.

J'ai actuellement videostation, filestation, audiostation pour lesquels j'ai créé un sous-domaine et configuré un reverse proxy. Après plusieurs jours d'essais je constate qu'il m'est impossible d'utiliser videostation en https si la connexion de destination n'est pas aussi en https. Il est donc obligatoire de définir l'intégralité des échanges en https dans la configuration du reverse proxy pour videostation, c'est-à-dire de la source à la destination.

J'espère que ce court commentaire pourra aider certains à résoudre d'éventuels problèmes s'il sont dans la même situation que moi auparavant...

Autre remarque : Les liens de partage ne fonctionnent pas car l'adresse de partagée n'est pas correcte. Celle indiqué correspond à celle de destination du reverse proxy et non celle que les utilisateurs utilisent pour se connecter. C'est bien malheureux et je me demande si quelqu'un n'aurait pas une solution...

Par exemple : Je me connecte à filestation depuis mon sous-domaine : https://filestation.ndd.fr    ... je cherche mon fichier que je souhaiterais partager, fais un clic droit > partager le fichier  ... et là on constate que l'adresse n'est pas la bonne puisque il me propose celle de destination du reverse proxy, c'est-à-dire : https://files.ndd:23456/fjhfksguk/  ce port n'est biensûr pas autorisé dans le pare-feu puisque tout passe par le port 443...

Que faire ?

[unPixel]

Bonjour,

Tu peux essayer de modifier toi même ce lien dans la barre d'adresse, ça devrait fonctionner.

[Johnson]

Salut Yann,

Oui c'est ce que je fais habituellement mais c'est pas très orthodoxe. DSM devrait considérer le véritable lien... ça ne devrait pas être compliqué...

[Mic13710]

Les liens de partage prennent les infos indiquées dans le menu Accès externe - Avancé. Indiquez le nom de domaine (pour vous filestation.ndd.fr) et les ports que vous souhaitez en http (80, mais ce n'est pas recommandé) et https (443)

[Spi]

Hello,

Merci pour le tuto, configuré et approuvé!

 

[_Megalegomane_]

Bonjour,

Un grand merci pour ce tuto très bien détaillé 👍

Je suis en IP dynamique avec un NDD chez OVH, j'ai donc :
- configuré les reverse proxy moments, file, note, audio, drive, cloud (redirigé du https vers les ports standard de chaque appli)
- configuré le DynHost chez OVH
- configuré le DynHost sur le synology
- créé des entrées CNAME dans la zone DNS de OVH

Tout est fonctionnel sauf mon application Drive sur Windows où j'ai le message suivant : "La connexion a échoué. Veuillez vérifier vos paramètres réseau puis réessayez."
L'application mobile n'a pourtant aucun soucis quand je me connecte de la même manière.

L'adresse utilisé est drive.mondomaine.fr:443 qui est ensuite redirigée par le reverse proxy sur localhost (mon NAS) sur le port standard 10002.

D'après ce lien, le port 6690 est peut-être concerné... j'ai bien testé avec l'adresse cloud.mondomaine.fr:443 (redirigée par le proxy sur du localhost:6690) mais pas mieux...

Je sèche un peu là... est-ce que quelqu'un a eu ce cas ?

Merci

Modifié le 22 octobre 2018 par bryce426

[unPixel]

Tu dois ouvrir le port 6690 sur le port malgré le reverse proxy. Pas le choix !

[_Megalegomane_]

Effectivement, c'est dommage mais au moins ça fonctionne.

merci

[_Megalegomane_]

Si cela peut servir à d'autres, j'ai pu affiner un peu la sécurité pour chaque proxy inversé en ne donnant l'accès qu'à certaines IP ou plages IP.
Cela diffère du blocage des IP au niveau du pare-feu qui va s'applique sur un/des port(s) en particulier(s).
Là on va pouvoir affiner ce qu'on a pas pu faire par le pare-feu et gérer par proxy.

Pour moi, le but recherché était surtout de restreindre le plus possible l'accès à la partie DSM aux adresses LAN, VPN ou fixes (celle du boulot, d'un ami, etc...).

La manipulation est la suivante :

• Créer un profil de contrôle d'accès :
  • Aller sur Panneau de configuration > Portail des applications
  • Sur l'onglet Profil de contrôle d'accès
  • Cliquer sur Créer
  • Dans la nouvelle fenêtre, cliquer Créer pour chaque adresse CIDR que vous souhaitez ajouter (voir ici si besoin d'infos)
    Par exemple pour n'autoriser que le LAN (je ne sais pas si le le 127.0.0.0/8 a vraiment une utilité) :
    
    pour n'autoriser que le LAN et le VPN :
    
     
• Attribuer le profil de contrôle d'accès à la règle de proxy inversé :
  • Toujours sur Panneau de configuration > Portail des applications
  • Sur l'onglet Proxy inversé (fonctionne de même sur l'onglet application)
  • Sélectionner une de vos entrées proxy inversé puis cliquer le bouton Modifier
  • Cocher la case Activer le contrôle d'accès
  • Choisir le Profil de contrôle d'accès que vous souhaitez appliquer
  • Cliquer OK
    

 

Pensez bien à vérifier qu'en dehors des IP autorisés, vous tombez sur une erreur "page introuvable" :

(Ces manipulations ne dispensent pas des réglages pare-feu / blocage auto et autres manipulation à mettre en place pour sécuriser votre NAS)

Modifié le 29 octobre 2018 par bryce426

[unPixel]

Oui cette fonction est arrivée très récemment. D'ailleurs, je cherche à modifier la page d'origine qui m’énerve avec en gros "Synology" 🤔

Modifié le 29 octobre 2018 par InfoYANN

[_Megalegomane_]

C'est vrai que ce serait pas mal!

à priori il faut modifier ce fichier /usr/syno/share/nginx/error.html

mais apparemment il est remis à zéro à chaque redémarrage/upgrade...