[Tuto] Reverse Proxy

[Jeff777]

Même avec un autre navigateur ça ne fonctionne pas ?

[oracle7]

@lowfab

Il y a 3 heures, lowfab a dit :

C'est bien ce que j'ai fait sur le port 45001.

Je ne suis pas sûr que ce soit une bonne idée pour Drive. Il est préférable que tu suives la recommandation de @Jeff777 pour utiliser le port dédié à Drive : 10002.

Du point de vue sécurité, selon @Fenrir, cela n'apporte rien de plus de modifier les ports par défaut fixés par Synology sauf à s'en "mêler les pinceaux" pour la configuration. Maintenant à toi de voir ...

Cordialement

oracle7😏

[lowfab]

@Jeff777 je ne sais pas, c'est avec le client synology drive windows que cela ne fonctionne pas

@oracle7 je vais essayer

[Jeff777]

il y a 22 minutes, lowfab a dit :

je ne sais pas, c'est avec le client synology drive windows que cela ne fonctionne pas

Ah mais sinon si tu mets drive.ndd.tld dans le navigateur tu peux te connecter ?

Et quand tu dis que cela ne fonctionne pas avec le client drive c'est lorsque tu veux faire une tâche de synchro ?

Personnellement je mets l'adresse IP locale du NAS. D'ailleurs c'est ce qui est demandé.

Modifié le 6 juillet 2020 par Jeff777

[lowfab]

oui j'utilise le client drive en syncho permanente sur plusieurs machines à la maison ou au boulot. jusqu'à présent j'utilisais quickconnect

je parviens à m'y connecter avec drive.ndd.tld avec un navigateur ou avec l'app android en ajoutant le port 443, mais avec le client drive ca ne fonctionne pas sauf avec adresse ip local mais au boulot je suis coincé.

idem sur port 10002, je vais devoir conserver quickconnect pour ce seul service si je ne trouve pas une autre solution.

 edit : il semble qu'il faille ouvrir le port 6690 pour utiliser le client windows

 

Modifié le 6 juillet 2020 par lowfab

[lowfab]

avec le port 6690 ouvert ça fonctionne ! c'est ca ou quickconnect

[Jeff777]

Oui. Il ne s'agit pas de la même application :

Mais tu dois pouvoir faire un proxy inversé avec le port 6690 et tu n'auras plus besoin d'ouvrir ce port ☺️

https://sync.ndd.tld ====> iplocaleNAS:6690

[.Shad.]

il y a 2 minutes, Jeff777 a dit :

Mais tu dois pouvoir faire un proxy inversé avec le port 6690 et tu n'auras plus besoin d'ouvrir ce port ☺️

Aux dernières nouvelles on ne peut pas, comme Active Backup for Business ou Hyperbackup Vault.

Oh alors avec des en-têtes spéciaux dont je n'ai pas connaissance.

[Jeff777]

Ah bon ! C'est vrai que j'utilise le client Drve, ABB et hyperbackup en local donc j'ai toujours mis l'adresse locale.

[.Shad.]

Je parle du port par lequel transitent les données, pour les interfaces web elles sont tout à fait accessibles par proxy inversé (pour ABB et Drive).

[lowfab]

donc pour l'utilisation du client synology drive en dehors du réseau local : quickconnect ou ouverture du port 6690. entre deux maux il faut choisir le moindre.

[pluton212+]

Bonjour

avec drive il faut ouvrir le port tcp 6690 dans le routeur sinon ça ne marche pas... 

[alan.dub]

Bonsoir,

Voilà ça fait deux heures que je cherche un truc tout bête (certainement) et je n'y arrive pas ^^

Rapidement, aujourd'hui j'utilise le reverse proxy (via .htaccess dans le dossier partagé "web") pour tous mes services et tout fonctionne parfaitement bien.

Sauf qu'aujourd'hui... j'aimerais mettre en place un site web perso.

Là il tourne bien sur let net... mais en http (!) et impossible de forcer le passage en https (là pour l'instant je n'ai pas encore modifié mon certificat Let's Encrypt, j'attends le dernier moment).

 

J'ai tenté de modifier le .htaccess qui est sous web, ça ne marche pas.

J'ai tenté d'insérer un nouveau .htacccess dans le dossier du site (yoga), ça ne marche pas.

J'ai tenté dans le Virtual Host de forcer le HTTPS en prenant le port 443, il ne veut pas car le port est déjà utilisé...

Donc... euh... si quelqu'un a une petite idée... je l'écoute avec la plus vive attention 😉 

[alan.dub]

JOKER 😅

Bizarrement là ça à l'air de prendre...

J'ai simplement viré le virtual host et je l'ai recréé en ayant déjà le .htaccess dans le dossier Yoga.

Je ne vois pas trop le rapport... mais là si je tape http://yoga.ndd.fr, Safari m'indique qu'il y a un problème avec le certificat 🙂 

Là c'est normal puisque, comme indiqué précédemment, le certificat de Let's Encrypt n'est pas encore modifié pour prendre en compte cette nouvelle adresse.

Donc là le forçage en https se fait bien 🙂 

 

Ca vous semble logique tout ça ou... pas trop (?)

 

EDIT : Le certificat et maintenant à jour (pourquoi attendre...) et tout est OK.

Modifié le 19 juillet 2020 par alan.dub

[Pinpon_112]

Bonjour,

J'ai appliqué le tuto comme décrit.  J'ai donc créé notamment 'download.ndd.net'.  Le problème, si j'essaye de me connecter en tapant l'url 'download.ndd.net, j'obtiens une horrible page bleue avec le message repris en annexe.  Si je tape nas.ndd.net, j'accède bien à mon nas.

Que puis-je faire pour résoudre ce problème ?  Je précise qu'automatiquement, je reçois un message de mon routeur pour me dire que l'addresse IP xyz a été bloquée.

Merci pour votre aide.

[oracle7]

@Pinpon_112

Bonjour,

Il y a de multiples causes à ton message d'erreur, par ex et ce n'est pas exhaustif :

1. Tu tapes "download.ndd.net" depuis où ? en local sur un PC/Mac ? où depuis par ex un smartphone en 4G ?
2. As-tu aussi ajouté un enregistrement CNAME pour "download.ndd.net" dans la zone DNS de ton domaine "ndd.net" chez ton fournisseur d'accès ?
3. As-tu ajouté "download.ndd.net"  à ton certificat et re-généré ce dernier ?

Cordialement

oracle7😏

[Pinpon_112]

Bonjour @oracle7

il y a 2 minutes, oracle7 a dit :

Tu tapes "download.ndd.net" depuis où ? en local sur un PC/Mac ? où depuis par ex un smartphone en 4G ?

Je le tape, actuellement, en local depuis mon mac.  Si j'essaye depuis mon smartphone, en 4G, pour voir, j'ai mis une capture d'écran en annexe.

il y a 8 minutes, oracle7 a dit :

As-tu aussi ajouté un enregistrement CNAME pour "download.ndd.net" dans la zone DNS de ton domaine "ndd.net" chez ton fournisseur d'accès ?

Oui

il y a 8 minutes, oracle7 a dit :

As-tu ajouté "download.ndd.net"  à ton certificat et re-généré ce dernier ?

Oui

[oracle7]

@Pinpon_112

As-tu installé le package Web StaTion sur ton NAS ? Il ne semble pas car sinon tu n'aurais pas le message de ta capture d'écran sur le serveur www.XXXXX.ndd.net.

PS : tu peux STP mettre une copie d'écran de ton paramétrage pour download.net dans ton revers proxy ?

Cordialement

oracle7😏

Modifié le 19 juillet 2020 par oracle7

[Pinpon_112]

Il y a 2 heures, oracle7 a dit :

As-tu installé le package Web StaTion sur ton NAS ? Il ne semble pas car sinon tu n'aurais pas le message de ta capture d'écran sur le serveur www.XXXXX.ndd.net.

Oui, peut-être que le fichier .htaccess n'est pas correct ?  Je vais aller contrôler.

Il y a 2 heures, oracle7 a dit :

PS : tu peux STP mettre une copie d'écran de ton paramétrage pour download.net dans ton revers proxy ?

 

Voilà :

[oracle7]

@Pinpon_112

Dans l'état cela semble correcte.

Effectivement, contrôler aussi le fichier .htaccess est une bonne chose.

Par ailleurs juste une remarque, tu en feras ce que tu veux, mais saches que cela n'apporte quasiment rien en termes de sécurité que de changer les ports par défauts des applications. C'est @Fenrir (expert s'il en est) qui l'a dit sur ce forum, voir son TUTO sur la sécurisation des accès ...

Tu ne fais en fait, que retarder de moins d'une minute une potentielle attaque s'il devait y en avoir une. Sinon tout ce que cela fait surtout : c'est compliquer largement la gestion courante car ces ports sont du coup et entre autres difficiles à retenir en mémoire et puis tu n'es pas à l'abri de "t'emmêler les pinceaux" avec la configuration. Même si les changer est stricto sensu possible, je ne suis pas sûr du tout que les applications concernées y retrouvent ensuite correctement leurs petits. d'où peut-être tes problèmes. Maintenant ce que j'en dis ...

Cordialement

oracle7😏

[Pinpon_112]

OK, si je te suis et si je veux remettre les ports d'origine, comment est-ce que je fais alors ?  Comment puis-je connaître le port par défaut d'origine ?

Autre chose aussi.  Si je tape l'url suivante : nas.ndd.net/drive, j'arrive sur la bonne page.  Si je tape drive.ndd.net, j'ai la page comme montrée plus haut (cette connexion n'est pas sécurisée !).

Est-ce normal ?

Merci pour ton aide.

Modifié le 19 juillet 2020 par Pinpon_112

[oracle7]

@Pinpon_112

il y a 43 minutes, Pinpon_112 a dit :

Comment puis-je connaître le port par défaut d'origine ?

Je suis trop gentil 😜 : voir ici

il y a 43 minutes, Pinpon_112 a dit :

nas.ndd.net/drive, j'arrive sur la bonne page.  Si je tape drive.ndd.net, j'ai la page comme montrée plus haut (cette connexion n'est pas sécurisée !).

La résolution de "nas.ndd.net" se faisant bien c'est normal que "nas.ndd.net/drive" fonctionne. Ce qui n'est pas le cas pour "drive.ndd.net". Donc as-tu bien aussi ajouté un enregistrement CNAME pour "drive.ndd.net" dans la zone DNS de ton domaine "ndd.net" chez ton fournisseur d'accès ? et inclus ce sous domaine dans ton certificat ? (tout est lié !).

Pour Drive, n'oublies pas aussi que le port 6690 doit être ouvert dans le pare-feu. (ceci indépendamment du port 10002 de l'application)

Regardes quand même partout, ce que tu as fait comme configuration pour "nas.ndd.fr" en remplaçant à l'image "nas" par chaque sous domaine (aux ports près). Y-a pas de raison que cela ne marche pas puisque c'est OK pour ce dernier. Non ?

Cordialement

oracle7😏

 

Modifié le 19 juillet 2020 par oracle7

[oracle7]

@Pinpon_112

Bonjour,

Je re-pense à un truc : dans ton DynDNS chez ton fournisseur d'accès quel domaine fais-tu pointer sur ton @IP externe (box) ? "nas.ndd.net" ou "ndd.net" ? J'espère que c'est bien "ndd.net" tout simplement, sinon cela pourrait bien expliquer beaucoup de choses...

Cordialement

oracle7😏

[Pinpon_112]

Il y a 5 heures, oracle7 a dit :

@Pinpon_112

Bonjour,

Je re-pense à un truc : dans ton DynDNS chez ton fournisseur d'accès quel domaine fais-tu pointer sur ton @IP externe (box) ? "nas.ndd.net" ou "ndd.net" ? J'espère que c'est bien "ndd.net" tout simplement, sinon cela pourrait bien expliquer beaucoup de choses...

Cordialement

oracle7😏

Pour le DynDNS, j'ai mis ceci en sous-domaine : nas.ndd.net.  C'est juste ou je dois corriger ?

Pour les entrées CNAME, elles y sont toutes.

Pour le certificat, voir en image.  JE passe par ZéroSSL car si j'essaye directement via l'interface du NAS, je ne peux pas avoir le certificat de la part de Let's Encrypt.

Pour l'image de la connexion non sécurisée, j'ai également un mail de mon routeur, car c'est lui qui bloque, qui me dit ceci : 

Citation

La connexion de MBP de Pinpon RJ45 à 213.186.33[.]5 a été bloquée pour des raisons de sécurité (Malveillant).

 

[oracle7]

@Pinpon_112

Bonjour,

C'est bien ce que je pensais.

Si tu mets "nas.ndd.net" dans ton DynDNS cela ne marchera que pour lui et les sous domaines "xxxx.nas.ndd.net". Il faut corriger pour que "ndd.net" pointe sur ton @IP externe dans ton DynDNS. Ensuite, tous tes CNAME dans la zone DNS de ton fournisseur de domaine seront du type "xxxxx.ndd.net. CNAME 86400 ndd.net.".

il y a 21 minutes, Pinpon_112 a dit :

si j'essaye directement via l'interface du NAS, je ne peux pas avoir le certificat de la part de Let's Encrypt.

Pour cela, il te faut aussi que les ports 80 et 443 soit redirigés de la box vers ton routeur et ouverts dans le pare-feu du routeur et du NAS.

Cordialement

oracle7😏