Sécuriser mon NAS (en lien étroit avec Fenrir et Kawamashi !)

[d4RSH]

Bonjour,

Bon voilà mon petit tuto.

Avant de commencer, je rappelle que je ne suis qu'un néophyte dans le monde des réseaux, donc si ça ne fonctionne pas, et que toutes les étapes sont respectées à la lettre, alors il y a peu de chance que je sois capable de régler les problèmes.

De plus prérequis :

• Tu as bien paramétré ton nas soit :
  • Fixer une ip local pour ton NAS.
  • créer un DDNS.
  • (voir tuto Fenrir)
  •  

Réglage du NAS : (avec un Compte administrateur)

Principales étapes

·        Mise en place paquet WebDav

·        Création d’un groupe et compte user KeePass

·        Gestions des permissions lecture/écriture

·        Création dossier partagé pour BD Keepass

·        Réglage pare-feu NAS + BOX (pour reverse proxy OU Sans reverse proxy)

·        Vérification fonctionnement

 

 

 

• Télécharger le paquet WebDav Server
  • Activer https  (laisser port 5006 par défaut)

 

• Créer un Groupe utilisateur
  • Créer un nouveau groupe « WebDav User »,
  • Passer l’étape des permissions pour le moment,
  • Choisir « Webdav server » dans Applications,

 

• Créer un nouvel utilisateur : « KPass »,
  • Assigner cet utilisateur au groupe « WebDav User » uniquement ("user" est pas défaut et inchangeable btw),
  • Passer le choix des permissions pour le moment,
  • Cocher « WebDav server » dans application,

 

• Aller dans dossier partagé
  • Créer un nouveau dossier partagé « WebDav »
  • Créer un sous-dossier « KeePass »
  • Éditer paramètres dossier partagé WebDav
    • Dans Permissions > Utilisateurs locaux à Donner la permissions à KPass uniquement
    • Dans Permissions > Groupes locaux à Donner permissions à Admin et WebdavUser
    • Dans Permissions > Utilisateur système interne à Donner la permission Uniquement à Anonymous FTP/Presto/Webdav …

 

• Éditer les permissions de l’utilisateur KPass

 

• Éditer les permissions du groupe WebDav User

 

• (Sans reverse proxy) Réglage Pare-Feu du NAS
  • Ouvrir le port 5006 (restreindre les IP source à la France, si pas besoin d’accéder à la BD KPass à l’étranger)

 

• (reverse proxy) Réglage Pare-Feu du NAS
  • Si votre reverse proxy passe déjà par le  port 443, alors pas besoin de changer quoi que ce soit dans le pare-feu NAS

 

 

• Créer/Re-créer un certificat lets encrypt
  • Ouvrir les ports 80 et 443 sur votre BOX + sur le NAS, le temps de la création du certificat)
  • Rentrer le nom de domaine, rentrer les sous-domaines éventuels  et vérifier qu’il couvre bien le WebDav
    • (reverse proxy) Écrire le sous domaine webdav.xxxxx.synology.me

 

• (reverse proxy) Créer un reverse proxy pour le webdav folder

 

 

 

• Réglage pare-feu BOX :
  • (Sans reverse proxy) Ouvrir le  port 5006 sur la box
  • (Sans reverse proxy)   Créer la règle de redirection du port externe 5006 vers le port interne 5006 du NAS
  •  (reverse proxy) Ouvrir seulement le 443 sur la box + pas de règle supplémentaire.

(pour le port 5006; remplacer le "443" par "5006" sur les screens ci-dessus)

 

• Vérifier l’accès du dossier via WebDav par Windows

•  
  • (Sans reverse proxy) Tester avec l’URL du dossier Webdav : https://XXXXXX.synology.me:5006/WebDav
  •  (reverse proxy) https://webdav.xxxxxx.synology.me/WebDav/

 

• • Essayer d’enlever et de mettre des dossiers en drag & drop
  • Si ça fonctionne alors bravo !
  • Déposer votre BD Keepass dans le dossier KeePass qui est dans le dossier partagé WebDav
  • Ouvrir l’application keepass android ou windows
    • Ouvrir base depuis url…
    • Écrire https://XXXXXX.synology.me:5006/WebDav/KeePass/NOMBD.kdbx
    • Ou alors si Reverse proxy : https://webdav.XXXXXXXX.synology.me/WebDav/KeePass/ NOMBD.kdbx
  • Se connecter avec le compte utilisateur keepass et vérifier que le compte n’a accès à rien à part le dossier partagé webdav

ENLEVER LE DROIT DE LECTURE/ECRITURE/CONSULTATION du compte  utilisateur Keepass dans l’application photoStation directement (à l'aide d'un compte admin)

 

Voilà je crois que c'est tout, je pense ne rien oublier, en espérant que ça puisse t'aider.

(ps : quand tu rentres l'url complet dans keepass, c'est bien NOMDEBD.kdbx et pas bd. non je te le dis parce que j'ai passé une heure à trouver pourquoi ça ne marchait pas.

 

Cdlt.

 

 

 

Modifié le 12 avril 2019 par d4RSH

[firlin]

Bonjour d4RSH,

Sans te commander post le dans la section suivant https://www.nas-forum.com/forum/forum/28-tutoriels/

Il sera plus visible et tu ferra partie du club comme ca 😁

[d4RSH]

Bonsoir,

 

Oui mais ".... tous les tutoriels doivent-être validées par un modérateur avant d'être visible par tout les membres. "

Du coup, faut-il envoyer quelque chose à quelqu'un ?

cdlt,

 

[unPixel]

Bonjour,

En effet, tu devrais poster dans la partie TUTO 🙂

Et non, tu postes comme un nouveau topic, il sera juste bloqué pour les autres membres le temps qu'un modérateur valide.

Tu as juste à patienter mais ça se fait dans la journée en général 😉

 

[weyb]

bonjour,

tout d'abord un grand BRAVO car c'est le genre de tuto qui prend bcp de temps à faire !!!

 

j'ai cependant une question :

dans les pré-requis il est écrit qu'il faut un DDNS : c'est indispensable ???

et comment fait-on ?

 

cordt

Modifié le 24 avril 2019 par weyb

[Mic13710]

Ce n'est pas un tuto mais une discussion autour de 2 tutos.

Le DDNS (Dynamic Domain Name System), comme son nom l'indique, c'est uniquement si vous avez une IP dynamique. Totalement inutile si votre IP est statique.

[weyb]

ok cool !

je vais pouvoir m'y atteler ASAP !

même si c'est aps un tuto, ça y ressemble beaucoup - et c'est qd même bcp de boulot à rédiger !!!

 

autre question :

ensuite c'est dans keepass sur le NAS qu'on met à jour les login/mdp j'imagine ?

[d4RSH]

Heu oui pas besoin du DDNS, tu remplaces le ndd par l'ip fixe est c'est réglé.

J'ai pas compris ta question. Oui c'est dans la base de donnée keepass qui est sur le NAS que tes logs de banques/internets sont mis à jours.

[weyb]

bonjour,

 

1/à l'étape :

"Aller dans dossier partagé 

• Créer un nouveau dossier partagé « WebDav » "

faut-il laisser "restreindre l'accès aux seuls admins" ???

 

2/pour "créer un sous-dossier Keepass"

comment fait-on ???

dans "dossier partagé" je ne peux que créer un dossier

faut-il sélectionner "webdav" et faire clic-droit > créer ?

 

cordt

Modifié le 4 mai 2019 par weyb

[weyb]

up...

[Mic13710]

Le 12/04/2019 à 19:24, d4RSH a dit :

Aller dans dossier partagé

• Créer un nouveau dossier partagé « WebDav »
• Créer un sous-dossier « KeePass »
• Éditer paramètres dossier partagé WebDav
  • Dans Permissions > Utilisateurs locaux à Donner la permissions à KPass uniquement
  • Dans Permissions > Groupes locaux à Donner permissions à Admin et WebdavUser
  • Dans Permissions > Utilisateur système interne à Donner la permission Uniquement à Anonymous FTP/Presto/Webdav …

Il me semble pourtant que c'est clair. Et pour créer un dossier dans un dossier partagé, il faut aller dans file station.

[weyb]

bonsoir,

 

je bloque un peu + loin sur le domaine :

"Créer/Re-créer un certificat lets encrypt

• Ouvrir les ports 80 et 443 sur votre BOX + sur le NAS, le temps de la création du certificat)
• Rentrer le nom de domaine, rentrer les sous-domaines éventuels  et vérifier qu’il couvre bien le WebDav"

--> je suis allé dans "Sécurité > Certificat > Ajouter"

j'ai choisi "ajouter un nv certificat" puis "procurez-vous un certificat auprès de let's encrypt", et là je ne sais aps quoi mettre dans :

- nom de domaine : ce que je veux ?

- adresse électronique (sachant que je n'ai pas de serveur mail sur mon NAS --> je mets la mienne ?)

- autre nom de l'objet : ???

 

bien cordt

[Mic13710]

Il y a 5 heures, weyb a dit :

- nom de domaine : ce que je veux ?

Bin non, un domaine qui vous appartient et qui est dirigé vers votre NAS. Ce peut-être un ndd en ***.synology.me ou un ndd que vous achetez chez un registar (OVH, Gandi,...)

Il y a 5 heures, weyb a dit :

adresse électronique

Une adresse valide (la votre)

Il y a 5 heures, weyb a dit :

autre nom de l'objet : ???

C'est ce qu'on appelle les SAN. Ce sont les ndd associés au ndd principal. Par exemple : video.ndd.fr, audio.ndd.fr, nas.ndd.fr, etc...