Aller au contenu

[Tuto] Reverse Proxy

Kawamashi

Par Kawamashi
dans Tutoriels

 Partager

Messages recommandés

  • Réponses 1.8 k
  • Créé
  • Dernière réponse

Meilleurs contributeurs dans ce sujet

Jours populaires

Meilleurs contributeurs dans ce sujet

Jours populaires

Messages populaires

Kawamashi
Kawamashi

Bonjour tout le monde,   J'ai l'impression qu'il y a pas mal de monde intéressé par la possibilité d'utiliser un NAS Synology pour faire du Reverse proxy (depuis DSM 6.0). Je voulais ajouter

.Shad.
.Shad.

Parce que chez toi, de ce que j'en déduis, c'est que NAS1 correspond à la page de login de NAS1, pareil pour NAS2 et NAS3. Donc là tu fais appel au backend, une application, en l'occurrence le bu

oracle7
oracle7

@Diabolomagic Bonjour, Juste un truc à propos du HSTS, c'est est une option pas du tout recommandée (voir le TUTO ReverseProxy) car c'est le navigateur qui enregistre cette information pour

Images postées

Mic13710 Grand Master

Mic13710

Posté(e)
Posté(e)
Il y a 12 heures, math311 a dit :

J'ai redirigé calendrier.mon.domaine vers le port 38443 (le port du server CalDav inclus dans Calendar à priori). J'ai aussi essayé de rediriger vers 38008 vu qu'une fois passé le reverse proxy on est sur le réseau local

Le port http par défaut pour calendar est le 20002 qui doit être activé dans l'onglet application du portail des applications pour pouvoir être utilisé dans le reverse proxy.

 

0
math311 Rookie

math311

Posté(e)
Posté(e)

@Mic13710Ah, ok je vais tester ce soir.

Je suis assez surpris car sur cette page https://kb.synology.com/fr-fr/DSM/tutorial/What_network_ports_are_used_by_Synology_services ce n'est pas du tout ce que je trouve

@Jeff777 pourtant sur le lien que j'ai mis juste au dessus, si on fait une recherche textuelle sur "Contacts" on voit que Synology Contacts intègre un serveur CardDav sur le port 5555. D'après ce que j'ai compris en le packet "CardDav Server" n'existe plus, si on veux en avoir un il faut passer par Synology Contact qui en embarque un en plus d'une UI pour gérer ses contacts et peut être d'autres choses

Merci pour les réponses 🙂 

0
math311 Rookie

math311

Posté(e)
Posté(e)

Ok, je viens de comprendre le fin mot de l'histoire : j'ai un compte d'admin et il n'a pas le droit d'accès à toutes ces application (calendrier, contacts, etc.). Hors tant que cet utilisateur n'a pas les droits, on ne voit pas les applis en questions dans le "portail des applications".

Grâce à vos message j'ai compris qu'il manquait quelque chose à ce niveau, j'ai mis les droits le temps de voir les ports par défauts et maintenant tout roule.

Merci à vous 🙂 

0
  • 2 semaines après...
Amsonia Explorer

Amsonia

Posté(e)
Posté(e)

Bonsoir,

Je me permets d'apporter ma petite pierre à l'édifice, dont @Kawamashi pourra peut-être tirer avantage.
Pardon d'avance si les informations ci-dessous sont déjà présentes dans les 60 pages de ce fil, j'avoue ne pas les avoir parcourues...

Mon soucis portait sur la mise en place d'une redirection par htaccess de HTTP vers HTTPS, de sorte que lorsque l'on tape machin.domaine.fr (sans http://) on soit renvoyé vers https://machin.domaine.fr et non vers le DSM en HTTPS.
 

Sous DSM7 donc, inutile apparemment de créer un "site web personnel", inutile également d'installer deux versions du serveur web Apache. Je me suis contenté d'installer la version la plus récente, soit la 2.4 à l'heure où j'écris ces lignes.

J'ai utilisé ces lignes plutôt que celles proposées dans le tuto : 

RewriteEngine On 
RewriteCond %{HTTPS} off 
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Mais surtout, j'ai réalisé que le serveur web utilisé par défaut était nginx et non Apache et, d'après ce que j'ai cru comprendre, Nginx ne sait pas lire les htaccess.
Des redirections vers https sont bien possibles avec nginx mais il aurait apparemment fallu modifier des fichiers de configurations dans les entrailles du NAS.

La seule manipulation que j'ai eu à faire fut donc de basculer de nginx à apache pour que la redirection soit effective.

 

image.thumb.png.5165fbda61700fd95b27deb9a7b971c0.png

 

 

Enfin, et je pense que cela pourra intéresser du monde, mon reverse proxy et ma redirection fonctionne parfaitement avec le HSTS activé (que ce soit pour le domaine personnalisé de DSM ou pour les sous-domaines gérés par reverse proxy) ainsi qu'avec la redirection http vers https pour le DSM.

Autrement dit, ça fonctionne avec cette configuration :

image.png.aa270eccfa2863611e846f0e1c24e4ac.png

J'espère avoir été relativement clair ! 🙂

0
aloysbr Explorer

aloysbr

Posté(e)
Posté(e)
Le 20/02/2018 à 09:11, Kawamashi a dit :

Une fois le NDD loué, il faut ajouter 2 entrées dans sa zone DNS

Merci @Kawamashi pour ce tuto bien rédigé 🙂 

J'ai néanmoins une question sur la 1ère partie. Est-ce que je peux avoir mettre en place les 2 entrées avec un nom de domaine du type xxx.freeboxos.fr ? J'ai bien peur de comprendre que non car c'est déjà un sous nom de domaine, mais sait-on jamais 😌

0
oracle7 Grand Master

oracle7

Posté(e)
Posté(e)

@aloysbr

Bonjour,

Il y a 2 heures, aloysbr a dit :
  Le 20/02/2018 à 09:11, Kawamashi a dit :

Une fois le NDD loué, il faut ajouter 2 entrées dans sa zone DNS

Attention, les deux entrées dont parle @Kawamashi ne sont à saisir QUE SI tu disposes d'une @IP externe FIXE.

Si tu as une @IP externe dynamique alors seul l'entrée "wilcard" i.e. " *.freeboxos.fr.   CNAME   84600  freeboxos.fr. " est nécessaire. Pas d'enregistrement de type "A" !

A elle seule cette entrée "wilcard" couvre tous tes sous-domaines existants et/ou à venir. Donc plus besoin de revenir ensuite dans ta zone DNS de ton domaine chez ton fournisseur de domaine pour y ajouter un nouveau CNAME pour un sous-domaine nouvellement créé.

Cordialement

oracle7😉

 

1
aloysbr Explorer

aloysbr

Posté(e)
Posté(e)
Il y a 5 heures, oracle7 a dit :

Si tu as une @IP externe dynamique alors seul l'entrée "wilcard" i.e. " *.freeboxos.fr.   CNAME   84600  freeboxos.fr. " est nécessaire. Pas d'enregistrement de type "A" !

Merci @oracle7 de la précision. Cette partie est loin d'être évidente pour moi 😇

J'ai une adresse IP fixe que j'ai demandé auprès de free. Est-ce une IP externe dynamique ? Est-ce que je dois faire un réglage particulier pour le CNAME ? 

J'ai bien suivi le reste du tutoriel et je n'arrive pour le moment pas à me connecter via mes adresses du type : https://fichier.ndd.freeboxos.fr.
J'ai bien ouvert le port 443 sur mon NAS et sur j'ai fait la redirection au niveau de ma freebox, mais je n'arrive pas à joindre la nouvelle adresse https://fichier.ndd.freeboxos.fr;  j'ai l'erreur DNS_PROBE_FINISHED_NXDOMAIN qui s'affiche sur mon navigateur.

0
oracle7 Grand Master

oracle7

Posté(e)
Posté(e)

@aloysbr

Bonjour,

il y a 5 minutes, aloysbr a dit :

J'ai une adresse IP fixe que j'ai demandé auprès de free. Est-ce une IP externe dynamique ? Est-ce que je dois faire un réglage particulier pour le CNAME ?

Bah, réfléchis un peu si tu as demandé une @IP FIXE elle ne peut pas être dynamique, logique non ? (dynamique veut dire qu'elle peut changer dans le temps, alors que FIXE elle est donc immuable).

Donc pour résumer :

  • @IP externe FIXE : tu dois avoir (entres autres) chez ton fournisseur de domaine dans ta zone DNS , ces deux enregistrements :
    " freeboxos.fr.   A   84600  11.22.33.44 " avec 11.22.33.44 = ton @IP externe (box)
    " *.freeboxos.fr.   CNAME   84600  freeboxos.fr. "
     
  • @IP externe DYNAMIQUE : tu dois avoir (entres autres) chez ton fournisseur de domaine dans ta zone DNS , cet enregistrement (puisque que tu as par ailleurs un DDNS qui pointe lui sur ton @IP externe) :
    " *.freeboxos.fr.   CNAME   84600  freeboxos.fr. "

Comme tu es chez Free, as-tu demandé une @IP "Full Stack" (voir pour la demande dans l'interface d'admin de la box) ? Car sinon tu pourrais ne disposer que d'une plage de ports et non de l'ensemble des ports ce qui pourrait être plus que bloquant pour la suite.

il y a 10 minutes, aloysbr a dit :

je n'arrive pour le moment pas à me connecter via mes adresses du type : https://fichier.ndd.freeboxos.fr.

Si tu as défini un wilcard " *.freeboxos.fr " chez ton fournisseur de domaine, saches qu'il ne couvre que tes sous-domaines du type " xxxxxx.freeboxos.fr " donc si tu utilises des URL du type " xxxxxx.ndd.freeboxos.fr " cela ne peut pas le faire (tu utilises un niveau en quelque sorte de trop ...).

Sinon, pourquoi le "niveau" de sous-domaine "ndd" ? Il t'es vraiment utile ? j'ai du mal à comprendre ...

Cordialement

oracle7😉

 

1
aloysbr Explorer

aloysbr

Posté(e)
Posté(e) (modifié)
il y a 21 minutes, oracle7 a dit :

Comme tu es chez Free, as-tu demandé une @IP "Full Stack" (voir pour la demande dans l'interface d'admin de la box) ?

Alors effectivement j'ai fait une demande d'IP full-stack, ce qui me permet d'utiliser l'ensemble des ports.

il y a 21 minutes, oracle7 a dit :

Si tu as défini un wilcard " *.freeboxos.fr " chez ton fournisseur de domaine, saches qu'il ne couvre que tes sous-domaines du type " xxxxxx.freeboxos.fr " donc si tu utilises des URL du type " xxxxxx.ndd.freeboxos.fr " cela ne peut pas le faire (tu utilises un niveau en quelque sorte de trop ...).

C'est là ou le bas blesse, c'est que le wildcard "*.freeboxos.fr" ne m'appartient pas. En fait mon nom de domaine est déjà un sous-domaine de freeboxos.fr, du type mon-nas.freeboxos.fr. C'est un service proposé par Free qui permet de bénéficier d'un nom de domaine gratuitement. Mais du coup ca revient à ma 1ère question, qui est de savoir si je peux définir un wildcard du type "*.mon-nas.freeboxos.fr" ? 

Modifié par aloysbr
0
oracle7 Grand Master

oracle7

Posté(e)
Posté(e) (modifié)

@aloysbr

Bonjour,

Ah alors pas pareil là, j'avais cru comprendre que " freeboxos.fr " était un domaine personnalisé. Donc, tu te retrouves dans le même cas que celui qui utilise un domaine en " xxxxx.synology.me ".

Donc, on corrige le tir pour dire que tes deux enregistrements chez ton fournisseur de domaine doivent être :
" ndd.freeboxos.fr.   A   84600  11.22.33.44 " avec 11.22.33.44 = ton @IP externe (box)
" *.ndd.freeboxos.fr.   CNAME   84600  ndd.freeboxos.fr. "

Ton nom d'hôte pour le NAS doit alors être " ndd.freeboxos.fr ".

EDIT : Il te faudra alors aussi faire ton certificat SSL sur ce domaine " ndd.freeboxos.fr " avec dans "Autre nom de l'objet" --> " *.ndd.freeboxos.fr "

Et tous tes sous-domaines seront du type " xxxxxx.nnd.freeboxos.fr" ce qui à l'usage, tu t'en apercevras d'ailleurs assez vite, est un peu lourd car long à saisir à chaque fois.

Maintenant ce que j'en dit, pour simplifier la choses, je t'invite à réfléchir et regarder à prendre un nom de domaine personnalisé (de ton choix) chez par ex OVH (pour à peine une dizaine d'euros par an). Au moins tu en sera propriétaire ce qui te facilitera les choses pour d'autres configurations de services. Mais c'est toi qui voit ...

Cordialement

oracle7😉

 

 

Modifié par oracle7
0
aloysbr Explorer

aloysbr

Posté(e)
Posté(e)
il y a 51 minutes, oracle7 a dit :

Il te faudra alors aussi faire ton certificat SSL sur ce domaine " ndd.freeboxos.fr " avec dans "Autre nom de l'objet" --> " *.ndd.freeboxos.fr "

Alors yes j'ai bien essayé de me reprocurer un certificat avec "*.ndd.freeboxos.fr dans "autre nom de l'objet", et j'ai une fenêtre d'erreur m'indiquant : "Seuls les domaines Synology DDNS prennent en charge les certificats génériques émis par Let's Encrypt."

Je pense que c'est cuit parce que même sans le certificat, je devrais quand même pouvoir accéder à mon appli vers lequel j'ai redirigé l'adresse fichier.ndd.freeboxos.fr.

il y a 54 minutes, oracle7 a dit :

Maintenant ce que j'en dit, pour simplifier la choses, je t'invite à réfléchir et regarder à prendre un nom de domaine personnalisé (de ton choix) chez par ex OVH (pour à peine une dizaine d'euros par an). Au moins tu en sera propriétaire ce qui te facilitera les choses pour d'autres configurations de services. Mais c'est toi qui voit ...

Alors là j'y pense également, mais je suis toujours en réflexion sur le registrer parce qu'ils sont vraiment pas clair sur le prix du nom de domaine. Par exemple chez OVH, un domaine en .fr est à environ à 5 euros la 1ère année mais on ne sait pas à combien sera facturé les prochaines années... Si vous avez des retours sur leur politique prix, ca me dit bien 🙂 

0
oracle7 Grand Master

oracle7

Posté(e)
Posté(e) (modifié)

@aloysbr

Bonjour,

il y a une heure, aloysbr a dit :

Je pense que c'est cuit parce que même sans le certificat, je devrais quand même pouvoir accéder à mon appli vers lequel j'ai redirigé l'adresse fichier.ndd.freeboxos.fr.

Effectivement j'avais oublié que quand tu passes par DSM pour créer le certificat LE, seuls les domaines en synology acceptaient le wilcard en autre nom de l'objet. On a pas cette limitation avec d'autre méthodes de création du certificat LE.

Cela dit, NON ce n'est pas "cuit",  dans "autre nom de l'objet" tu peux saisir différents sous-domaines séparés par des point-virgule ";" dans la limite où la chaine de caractères ainsi constituée ne doit pas dépasser 254 caractères (c'est imposé par Synology). Cela te limite forcément le nombre de sous-domaines utilisables 🥴

Cordialement

oracle7😉

Modifié par oracle7
0
aloysbr Explorer

aloysbr

Posté(e)
Posté(e)
Il y a 1 heure, oracle7 a dit :

Cela dit, NON ce n'est pas "cuit"

Haha merci @oracle7 d'y croire 😉 

Je viens d'essayer ce que tu me propose mais malheureusement ca me dit : "Domaine non valide. Veuillez vous assurez que ce domaine peut être résolu en adresse IP publique."

0
aloysbr Explorer

aloysbr

Posté(e)
Posté(e) (modifié)

@oracle7

je cherche à créer un certificat sur des domaines du type : fichier.monsousdomaine.freeboxos.fr.

Mais je doute de la faisabilité de la chose car LE m'envoie l'erreur : "Domaine non valide. Veuillez vous assurez que ce domaine peut être résolu en adresse IP publique." et que même en essayant d'y accéder sans certificat après l'avoir bien déclaré dans mon reverse proxy, le navigateur me renvoi l'erreur : DNS_PROBE_FINISHED_NXDOMAIN

Je précise que je n'ai a aucun moment paramétré A et CNAME car je n'ai pas l'impression d'avoir accès à ce paramétrage sur mon espace freebox ou j'ai défini ce sous-nom de domaine.

Modifié par aloysbr
0
oracle7 Grand Master

oracle7

Posté(e)
Posté(e)

@aloysbr

Bonjour,

il y a 24 minutes, aloysbr a dit :

Je précise que je n'ai a aucun moment paramétré A et CNAME car je n'ai pas l'impression d'avoir accès à ce paramétrage sur mon espace freebox ou j'ai défini ce sous-nom de domaine.

Bon bah manifestement cela semble très verrouillé sur ton espace Free du coup il serait alors judicieux pour toi de vraiment réfléchir à prendre un domaine personnalisé ailleurs. Cela t'évitera de perdre du temps et d'avoir ce genre de déboires tout en étant bien plus simple à l'usage. Maintenant c'est toi qui voit ...

Il y a 19 heures, aloysbr a dit :

Par exemple chez OVH, un domaine en .fr est à environ à 5 euros la 1ère année mais on ne sait pas à combien sera facturé les prochaines années... Si vous avez des retours sur leur politique prix, ca me dit bien

Pour ma part, j'ai pris un domaine tout simple en ".fr" (le truc de base) depuis plusieurs années je suis toujours au même tarif que je viens de renouveler pour 3 ans (8,xx€ par an) et aucuns soucis.

Cordialement

oracle7😉

1
aloysbr Explorer

aloysbr

Posté(e)
Posté(e)

@oracle7 

Oui je crois que je vais franchir le pas et tout sera plus simple. Je réfléchis encore un peu au nom de domaine et je me lance 👍

il y a 25 minutes, oracle7 a dit :

je suis toujours au même tarif que je viens de renouveler pour 3 ans (8,xx€ par an)

Merci pour ce retour d'expérience 🙂 

0
Pascalou59 Collaborator

Pascalou59

Posté(e)
Posté(e) (modifié)

Pour moi 10,78€ annuel en .eu  TTC c,est l'extension qui fait que ça peut etre plus cher

Modifié par Pascalou59
1

Rejoindre la conversation

Vous pouvez publier maintenant et vous inscrire plus tard. Si vous avez un compte, connectez-vous maintenant pour publier avec votre compte.

Invité
Répondre à ce sujet…

×   Collé en tant que texte enrichi.   Coller en tant que texte brut à la place

  Seulement 75 émoticônes maximum sont autorisées.

×   Votre lien a été automatiquement intégré.   Afficher plutôt comme un lien

×   Votre contenu précédent a été rétabli.   Vider l’éditeur

×   Vous ne pouvez pas directement coller des images. Envoyez-les depuis votre ordinateur ou insérez-les depuis une URL.

×
 Partager
Aller sur la liste des sujets
×
×
  • Créer...

Information importante

Nous avons placé des cookies sur votre appareil pour aider à améliorer ce site. Vous pouvez choisir d’ajuster vos paramètres de cookie, sinon nous supposerons que vous êtes d’accord pour continuer.