[TUTO] Sécuriser et paramétrer son routeur Synology.

[unPixel]

Bonjour,

Nous allons voir dans ce petit tuto les quelques règles importantes pour configurer correctement son routeur Synology afin d'éviter qu'il ne soit ouvert aux quatre vents et par la même occasion protéger aussi notre réseau local du monde extérieur.

Quelques règles importantes :

1. S'assurer que le compte "admin" et le compte "guest" sont désactivés. Voir en image
2. S'assurer que notre compte administrateur a un mot de passe fort. Voir recommandations de l'ANSSI
3. S'assurer que notre routeur à l'heure à jour et qu'il est bien configuré. Voir en image
4. S'assurer que la double authentification est activée. Voir en image
5. S'assurer que l'accès à distance au routeur est désactivé. Voir en image
6. S'assurer que DoH est activé (DNS via HTTPS). Voir en image (On en parle ci-dessous 🙂)

Dans le cas ou vous voudriez tout de même accéder à votre routeur de l'extérieur ce qui n'est pas recommandé pour des questions de sécurité, je vous recommande vivement de :

• Passer par votre serveur VPN (voir tuto de Fenrir)voir tuto de Fenrir
• Éventuellement passer par un domaine personnalisé via votre proxy inversé sur le port 443. Pas de nom générique du type "routeur" dans votre domaine...

Lexique abrégé :

Transfert de port unique (Single Port Forwarding) : lorsqu'un accès entrant doit atteindre une application particulière (programme serveur). Il faut indiquer dans le routeur un numéro du port et l'adresse IP du PC serveur.

Transfert d'un ensemble de ports (Port Range Forwarding): lorsque plusieurs ports sont nécessaires pour une même application.

Déclenchement de ports (Port Triggering) : pour les applications qui nécessitent que les ports soient ouverts à la demande sans pour autant préciser un appareil contrairement au port forwarding.

DMZ (DeMilitarized Zone) : on autorise tous les ports à être ouvert en permanence. A ne jamais employer pour un non connaisseur en réseau. On peut éventuellement activer  ce paramètre quand nous avons derrière un autre routeur qui fera le travail.

UPnP (Universal Plug and Play) : on permet à n'importe quoi/qui d'ouvrir automatiquement des ports sans l'approbation du routeur/administrateur. A ne pas activer pour un non connaisseur en réseau.

Vous pourrez lire sur ce forum des membres qui recommandent d'activer l'option DMZ sur un modem routeur d'un opérateur internet comme Orange ou SFR par exemple. Cela peut être utile mais c'est souvent suivi de ces deux conditions obligatoirement :

1. Le modem routeur en question ne peut être mit en mode "bridge".
2. Vous avez déjà un routeur derrière ce modem routeur qui fera le boulot à sa place.

Partie local :

Principe : encapsuler une requête DNS dans une requête HTTP/2 et l’envoyer à un serveur HTTPS qui va faire la résolution et renvoyer la réponse en HTTPS

Pour ceux qui voudraient en savoir plus sur DNS DoH, je vous recommande cette vidéo très instructive : https://tube.benzo.online/videos/watch/756a8447-5a27-408d-a513-611f0288e1dd

On va configurer le serveur DNS DoH ici : Centre réseau > Réseau local > Options avancées

Je vous recommande de passer par le serveur DNS (DoH) de quad9 qui est un peu plus soucieux de votre vie privée que ne l'est Google ou Cloudflare par exemple...

Serveur DNS DoH de Quad9 : https://dns.quad9.net/dns-query

Liste des serveurs publiques DNS DoH :

https://github.com/curl/curl/wiki/DNS-over-HTTPS#publicly-available-servers

 

 

Partie internet :
Il n'y a pas grand chose à configurer sur cette partie à part les serveurs DNS.

 

Sécurité :

Protection DoS

On active la protection DoS si elle ne l'ai pas déjà.

Pour les petits curieux, je vous laisse découvrir ce que c'est sur la page Wikipedia.

Centre réseau > Sécurité > Général

Nous ne recommandons pas la modification des Paramètres avancés si vous n'êtes pas connaisseur car ça pourrait causer des soucis sur le routeur et les appareils du réseau.

 

DMZ

On vérifie que DMZ est bien désactivé.

Centre réseau > Transmission de port > DMZ

Bannir un appareil

Certains appareils connectés sont un peu trop bavards avec des serveurs du fabricant ou des serveurs tiers et/ou sont vendus avec des failles de sécurité comme des caméras IP, des imprimantes etc... Il peut donc être utile de leur interdire de discuter avec internet.

Si on veut bannir un appareil pour qu'il ne communique pas avec internet comme une imprimante en réseau, il faut aller sur :

Centre réseau > Contrôle du trafic > Généralités

Là, on coche le petit globe barré afin qu'il ne soit plus grisé. Ainsi l'appareil ne peut plus communiquer avec l'extérieur ou recevoir des informations.

ATTENTION : ça bloquera toutes communication entre l'appareil et internet donc ça bloquera aussi les mises à jour automatique de l'appareil. A prendre en compte !

 

 

Partie ethernet :

Ne mettez sur votre réseau local câblé QUE des appareils/personnes de confiance.

Une personne mal intentionnée n'aura aucun mal à récupérer vos informations en étant sur le même réseau que vous. Exactement comme un réseau wifi public (aéroports par exemple).

Adresses IP privées des principaux FAI FR :

    B-Box > 192.168.1.254    
    Free-Box > 192.168.0.254    
    Live-Box > 192.168.1.1    
    SFR-Box > 192.168.1.1

En sachant celà, on va éviter de donner à notre routeur la même adresse IP privée que le modem-routeur de notre opérateur.

Il est plus facile de procéder ainsi que de vouloir changer l'adresse IP privée du modem-routeur du FAI.

Voici ma configuration :

Pour en savoir plus sur l'IGMP, je vous laisse consulter ce lien qui sera bien plus parlant que moi.

https://fr.wikipedia.org/wiki/IGMP_snooping

 

Fixer une adresse IP privée à un appareil :

Je recommande vivement d'attribuer une IP privée à votre NAS afin que ce dernier garde toujours la même adresse IP. Quoi de mieux que de laisser faire le routeur et qu'ensuite, le NAS soit configuré sur automatique ?!

Pour se faire, nous nous rendons sur :

Centre réseau > Réseau local > Clients DHCP

Nous pouvons y voir nos appareils connectés. Il nous suffit de sélectionner le NAS puis de cliquer sur "Ajouter à la réservation d'adresse".

 

Résultat visible ici :

Centre réseau > Réseau local > Réservation DHCP

 

On peut bien entendu ajouter manuellement un appareil si on le souhaite. Ca sera toujours sur :

Centre réseau > Réseau local > Réservation DHCP

On clique sur le bouton "Ajouter" puis on rempli manuellement les informations. Il faudra redémarrer l'appareil ajouté pour qu'il prenne en compte les éventuels changements.

Attention : SRM est un peu capricieux avec le nom d'hôte. Il n'accepte pas certains caractères comme les espaces.

 

Partie WIFI :

Pareil que pour la partie ethernet à la différence qu'on peut activer le wifi invité pour ..... les invités 🤣

Ma configuration WIFI :

NOTE : pour le canal 2.4GHz, on vous recommande de mettre 20MHz. Le 40MHz est instable !

Options avancées (reprit du site Synology) :

• Rotation des clés : Saisissez le nombre de secondes entre chaque rotation des clés.
• Largeur de canal : Sélectionnez une largeur de canal.
  Remarque : Cette option devient individuelle pour les différentes bandes sans fil lorsque la fonctionnalité Connexion intelligente est utilisée.
• Prise en charge de PMF : Choisissez parmi Désactivé, Désactivé - optionnel et Activé - requis pour permettre à votre périphérique de modifier les paramètres internes afin de répondre aux conditions de configuration.
• Puissance de transmission : Entrez une longueur de signal pour le réseau sans fil.
  Remarque : Cette option est toujours configurée sur Élevée lorsque le produit Synology rejoint un réseau mesh.
• DTIM : Spécifiez l'intervalle de synchronisation entre Synology Router et les clients Wi-Fi.
• Extended NSS : Permet d'améliorer le traitement des paquets (à activer uniquement sur RT2600AC du faite de son processeur quad core).
• AMPDU : Activez cette option pour que plusieurs données envoyées vers la même destination soient empaquetées ensemble. Cela contribue à améliorer les performances lorsqu'il existe de nombreux petits paquets.
• 802.11r : Activez cette option pour une itinérance rapide entre différents points Wi-Fi (Failles connues sur les serveurs et les clients. Résolu côté Synology mais ne le sera certainement jamais sur les clients.)
• Autoriser la commutation automatique sur les canaux DFS (disponible uniquement pour les bandes 5 GHz) : Activer Dynamic Frequency Selection (DFS) pour réduire le risque d'interférence des signaux.
• Isolement du PA : sélectionnez cette option pour activer ou désactiver cette fonctionnalité afin d'empêcher les clients connectés au réseau Wi-FI d'interagir avec d'autres périphériques connectés.
• MU-MIMO (disponible uniquement pour les bandes à 5 GHz) : Autoriser les périphériques clients à se connecter au réseau sans fil avec la prise en charge de MU-MIMO.
• Translation de multidiffusion : Activez cette option pour traduire plusieurs paquets de multidiffusion en paquets de monodiffusion pour de meilleures performances en ce qui concerne les services de diffusion.
  Remarque : Cette option est toujours configurée sur Activée lorsque le produit Synology rejoint un réseau mesh.

Partie WIFI invité :

Je vous recommande aussi de vérifier que le réseau local n'est pas accessible pour les appareils se connectant sur le réseau invité.

 

Transmission de port et Sécurité (Pare-feu) :

SRM a un ordre de priorité sur les paquets entrants qui sont :

1. Règles de déclenchement des ports
2. Règles de transmission des ports
3. Règles UPnP
4. Règles DMZ

C'est ici que l'on va autoriser le transfert d'une demande d'accès sur un autre appareil du réseau local. Je m'explique...

Centre réseau > Transmission de port > Transmission de port

Imaginons que l'on veuille de l'extérieur de chez nous atteindre notre NAS sur le port 443, alors c'est ici qu'on donnera au routeur la règle l'autorisant.

Exemple :



Un autre exemple :

Il est fréquent de voir un éditeur de jeux vidéo demander que certains ports soient ouverts pour une meilleure communication entre leurs serveurs et l'appareil utilisé. Pour cette raison, je vais donc ouvrir les ports demandés pour éviter un NAT (strict) qui pourrait me porter préjudice dans mes parties de jeu comme dans la recherche de serveurs disponibles par exemple.

Je pense que là, tout le monde a compris l'intérêt et surtout comment on autorise le routeur à accepter les entrées sur tel port pour tel appareil.

Mais ce n'est pas tout. Sur nos routeurs Synology, on peut aussi restreindre un peu plus l'ouverture de ces ports en y ajoutant des conditions.

Et là, ça se passera dans l'onglet Sécurité > Pare-feu 🙂

 

Pare-Feu :

NOTE : en dehors de l'ouverture de ports pour le routeur uniquement, il faudra toujours ajouter les ports à la transmission de port !

On retrouve les règles de transmission de port que l'on a vu ci-dessus et on peut y trouver d'autres règles.

On peut comme je l'ai dit juste avant restreindre un peu plus l'autorisation d'une règle de transmission.

Exemple :

Reprenons notre règle sur les ports 80 et 443 qui autorise l'accès à distance à un serveur nommé Zeus sur ces deux ports.

Je voudrais par contre limiter cet accès uniquement à la FRANCE et que l'accès ne soit pas autorisé pour les autres pays.

Et bien on va créer une règle pour faire ça :





Ordre de priorité :

Le routeur Synology et son Pare-feu prennent en compte la priorité donnée par un administrateur.

Si SRM reçoit un ordre et trouve une règle correspondante alors il arrête sa recherche et exécute l'ordre.

On peut donc organiser les priorités que l'on veut voir appliquer par le système en faisant un glisser-déposer d'une règle à une autre :

Protection générale du réseau :

Dans les Paramètres, voici ce qu'on doit avoir :

On va en profiter pour tout cocher dans le Pare-feu dans les conditions ou aucune règle n'existerait. N'oubliez pas de sauvegarder vos changements !

 

Surveillance du trafic en temps réel :

Si on veut savoir les communications dont celles que l'on ne voit pas directement sur un appareil, il suffit d'aller sur :

Centre réseau > Contrôle du trafic > Surveiller

Il faut activer sur "Paramètres" les options comme ci-dessous. Pour la durée de conservation, je vous laisse juger en fonction de vos besoins et votre mémoire.

Là, on peut sélectionner en haut à droite "Domaine" puis un appareil :

En cliquant sur le petit +, on peut ajouter ce domaine dans les blocages de Safe Access 🙂

ATTENTION : faites bien attention à ce que vous bloquez. Autant on peut bloquer des services de publicité comme de télémétrie, autant on peut aussi bloquer un site complet ou un service de mise à jour.

 

Divers :

Blocage auto

On peut comme sur nos NAS bloquer automatiquement une IP qui serait un peu trop curieuse. Perso, je fonctionne avec 2 tentatives sous 1 minute ce qui peut faire peu si vous n'êtes pas doués pour taper vos mots de passe.

Vous pouvez toujours changer cette valeur mais ne la mettez pas trop haute.

Centre réseau > Sécurité > Blocage auto

 

Nous pouvons aussi enregistrer des adresses IP privées ou publiques (local ou internet) afin d'éviter qu'une personne se bannisse d'elle même.

Ex : on peut mettre son smartphone ou son ordinateur.

 

Pour des raisons de maintenance en cas de problème, nous pouvons activer le protocole de communication SSH.

Pour des raisons de sécurité, je ne vous recommande pas d'ouvrir le port dans votre Pare-feu !

Panneau de configuration > Services > System Services

Petite astuce en cas de faille ou si on est un peu trop parano, on peut rediriger le port SSH sur une adresse IP privée non attribuée.

Ajout d'un compte administrateur :

• Prérequis : avoir déjà créé un compte utilisateur à qui l'on souhaite octroyer les droits "admin".

Par défaut, Synology n'autorise que deux administrateurs sur le routeur à savoir le compte par défaut "admin" qui est désactivé et le compte créé lors de l'installation du routeur.

Grâce à l'astuce proposée par @maxou56, nous allons pouvoir ajouter autant de compte administrateur que l'on souhaite. Perso, j'aime avoir en permanence un compte administrateur système de secours.

Pour se faire, on doit se connecter en SSH :

ssh root@192.168.x.x

Le mot de passe demandé sera celui du compte utilisateur "admin".

Si vous avez changé le port par défaut qui est 22 alors tapez la commande ci-dessous en modifiant le port par le votre (port 1234 dans cet exemple) :

ssh root@192.168.x.x -p 1234

On passe ensuite en compte "root" avec la commande :

su root

su root

AVERTISSEMENT : à partir de maintenant, vous avez tous les droits en SSH. Une commande mal tapée pourrait vous coûter cher !

Pour obtenir la liste des administrateurs, on tape la commande :

synogroup --get administrators

Résultat :

~ # synogroup --get administrators
Group Name: [administrators]
Group Type: [AUTH_LOCAL]
Group ID:   [101]
Group Members:
0:[admin]
1:[xxxxxxxxxxx] 

Pour ajouter un utilisateur au groupe "administrateur", il vous faut l'ajouter via une commande sans omettre les comptes administrateurs déjà en place.

synogroup --member administrators admin xxxxxxxxxxx nouvel_utilisateur (en rouge, ce sont les comptes admin qui étaient déjà en place).

synogroup --member administrators admin xxxxxxxxxxx nouvel_utilisateur

Pour retirer un utilisateur du groupe "administrateur", il faut taper la même commande mais sans l'utilisateur qu'on désire retiré. N'étant pas dans la commande tapée, il sera enlevé du groupe.

synogroup --member administrators admin xxxxxxxxxxx (en rouge, ce sont toujours les comptes administrateurs qui étaient déjà en place et que je veux garder).

synogroup --member administrators admin xxxxxxxxxxx

 

Je ne suis pas un expert en réseau mais juste un passionné d'informatique. C'est pourquoi si vous constatez des erreurs ou que vous voudriez apporter votre pierre à ce petit édifice, vous serez les bienvenus 🙂

Merci à Einsteinium pour l'aide apportée dans l'édition de ce tuto 😉

 

 

Modifié le 11 septembre 2019 par Zeus

[unPixel]

Safe Access

Bientôt en ligne.

 

Modifié le 4 avril 2019 par Zeus

[unPixel]

Intrusion prévention

Bientôt en ligne.

[Thierry94]

Bravo et merci Zeus pour ce boulot !

[unPixel]

De rien 😉

 

[pikeupe]

slt

 

merci a toi pour ce tuto il confirme la ou j'avais des doutes

vivement la suite

[unPixel]

Elle arrivera bientôt la suite 😉

Il faut juste que je prenne un peu de temps pour le faire même si il sera moins compliqué que ce dernier par exemple.

[septeven]

Wahou, j'ai juste révisé rapidement ton tuto, ça a l'air très complet, top ! Je pense que je sais ce que je vais faire pendant mon week-end 🙂 Merci encore pour ton travail Zeus !!

[unPixel]

De rien 😉

 

[Skylnex]

Hello,

 

Tout d'abord, merci pour ce tuto @Zeus.

Petite question : Comment on affecte des groupes à un utilisateur ? J'ai créé un nouvel utilisateur, mais je ne trouve pas comment lui affecté les droits admin.

Merci :)

[unPixel]

Bonjour,

C'est un routeur et pas un NAS même si ils font croire qu'il peut en être un.

Et malheureusement, je n'ai moi non plus jamais trouvé comment ajouter un admin de secours sur mon routeur.

[Skylnex]

Il y a 23 heures, Zeus a dit :

Bonjour,

C'est un routeur et pas un NAS même si ils font croire qu'il peut en être un.

Et malheureusement, je n'ai moi non plus jamais trouvé comment ajouter un admin de secours sur mon routeur.

Sur ton screen tu as pourtant un nouvel admin avec le petit écusson ? Et de même, j'ai pas l'option pour désactiver le compte admin classique.

Je loupe surement quelque chose.

Merci :)

[unPixel]

Alors ce n'est pas normal. Le compte utilisateur "admin" est désactivé pendant l'installation du routeur et tu dois indiquer  ton propre identifiant qui sera par défaut un compte administrateur !

J'ai même essayé la commande "gpasswd" en SSH pour ajouter mon second utilisateur en admin mais la commande n'est pas reconnue.

Modifié le 8 avril 2019 par Zeus

[Einsteinium]

Il y a 12 heures, Zeus a dit :

Alors ce n'est pas normal. Le compte utilisateur "admin" est désactivé pendant l'installation du routeur et tu dois indiquer  ton propre identifiant qui sera par défaut un compte administrateur !

J'ai même essayé la commande "gpasswd" en SSH pour ajouter mon second utilisateur en admin mais la commande n'est pas reconnue.

Sauf si on décide d’utiliser le compte admin par défaut ? Perso a ma première installation j’avais choisis cette option pour testé.

Après si tu veux affecté d’autre admin, suffit juste de les affectés au groupe admin en ssh

[unPixel]

Citation

Sauf si on décide d’utiliser le compte admin par défaut ? Perso a ma première installation j’avais choisis cette option pour testé.

Je me souviens plus si pendant l'installation on peut garder le compte admin par défaut mais si tu le dis. Moi je suis sûr que si il y a eu cette possibilité, alors je l'ai pas prise.

Citation

Après si tu veux affecté d’autre admin, suffit juste de les affectés au groupe admin en ssh

Tu fais comment ?

La commande "gpasswd" ne passe pas 😞

 

[Einsteinium]

Bah ils l’ont peut-être retiré depuis cette option, mais je sais qu’à la toute base j’avais laissé pour mes premiers test 🙂

Bah j’ai dis les groupes, comme avec le synology, suffit de voir celui de ton compte et de mettre celui créé dedans 😉

[unPixel]

Sauf qu'encore une fois, ça ne passe pas.

J'ai testé ceci :

gpasswd identifiant administrators

Et ça me retourne que gpasswd n'a pas été trouvé.

[Einsteinium]

il y a une heure, Zeus a dit :

Sauf qu'encore une fois, ça ne passe pas.

J'ai testé ceci :

gpasswd identifiant administrators

Et ça me retourne que gpasswd n'a pas été trouvé.

🤔

synogroup 😉

[unPixel]

Ok, je testerai ça quand j'aurai trouvé sudo sur le routeur.

• su
• sudo su
• sudo -i
• sudo

Bref, rien ne passe...

[Einsteinium]

su - ?

[unPixel]

Non plus, j'ai ça comme retour :

Citation

must be suid to work properly

 

[Einsteinium]

Le problème c’est que... comment dire j’ai pas envie de partir en test avec mon routeur, donc là je pourrais pas t’aide 🤣

[unPixel]

En faite, après recherche sur la toile, il s'avère qu'on ne peut pas ajouter un second admin en dehors de l'identifiant "admin" et de l'autre personnalisé.

Bref, c'est stupide de la part de Synology et apparemment, ça sera volontaire mais je suis plus à ça prêt venant d'eux...

[Einsteinium]

Bon je te répond ici 🙂

Et si tu vas chercher le firmware pour voir le script d’installation ? Cela donnerais la solution à coup sûr.

[unPixel]

Comment ça ? De quelle solution tu parles ?

Ça ne changera rien au soucis que je rencontre. Je resterai quand même avec un compte admin désactivé (obligatoire chez moi), mon admin perso et pas de possibilités d'ajouter un autre administrateur qui ne s'appelle pas "admin".