[RESOLU] NAS DS918+ + ROUTEUR + BOX --> rediriger ports

[guest-star]

Bonjour à toutes et à tous !

J'espère que la période de confinement se passe bien.
Pour ma part c'est pas trop mal car j'ai le temps de bidouiller avec les joujous que je me suis offert, notamment un beau NAS Synology Ds918+ que je convoitais depuis qq temps.

J'ai découvert un peu son environnement (DSM), fait quelques paramétrages comme le mapping de dossiers à partager en interne.

Je suis passé à une vitesse au dessus en configurant l’hébergement d'un site wordpress.

Dorénavant je coince pour aller plus avant car je voudrais pouvoir rendre mon site accessible depuis l’extérieur notamment en utilisant un DNS dynamique car je ne possède pas d'IP fixe (et ne souhaite pas en avoir)

Je sollicite donc votre aide car je me retrouve coincé. J'ai parcouru google, youtube et ce forum à la recherche d'une solution qui pourrais m'aider à configurer correctement ma box mon routeur et mon NAS en fonction de mon architecture réseau.
voici donc comment se compose mon réseau domestique:

Connexion Fibre free:

-Lv1 Freebox Révolution en mode routeur (IP 192.168.1.1)
     - Routeur TP-Link Archer C-60 (IP WAN 192.168.1.2 - serveur LAN 10.20.30.1)
          - PC1 (IP 10.20.30.170)
          - PC2 (IP 10.20.30.168)
          - NAS (IP 10.20.30.199)

Le fait de garder 2 routeurs en tant que tel sur 2 plages IP distinctes est volontaire et j'aimerais conserver cette architecture.
Maintenant s'il faut modifier les plages IP car ça joue un rôle dans la visibilité je peux le faire.

J'ai ouvert un DynDNS chez NOIP, mais je n'arrive pas à accéder à mon NAS depuis l’extérieur.

Si quelqu'un pouvait m'aider dans les étapes de configuration ce serait très appréciable.

Merci d'avance et portez-vous bien !

Modifié le 19 avril 2020 par guest-star

[maxou56]

Il y a 2 heures, guest-star a dit :

-Lv1 Freebox Révolution en mode routeur (IP 192.168.1.1)
     - Routeur TP-Link Archer C-60 (IP WAN 192.168.1.2 - serveur LAN 10.20.30.1)
          - PC1 (IP 10.20.30.170)
          - PC2 (IP 10.20.30.168)
          - NAS (IP 10.20.30.199)

Le fait de garder 2 routeurs en tant que tel sur 2 plages IP distinctes est volontaire et j'aimerais conserver cette architecture.
Maintenant s'il faut modifier les plages IP car ça joue un rôle dans la visibilité je peux le faire.

Bonjour,

Cela ne pose pas vraiment de soucis. (Mais il faut faire un double routage). 

Première solution: configurer un DMZ pour le routeur TP-Link dans la Freebox. (il faudra alors activer/configurer le pare feu sur le routeur TP-LInk), puis créer des régles NAT/PAT dans le TP-Link vers le NAS. (et autoriser les ports dans le pare feu du NAS)

Par ex: Internet (port443) > Freebox DMZ > TP-Link (port 443) > NAS (port443)

Seconde solution: créer des règles NAT/PAT dans la Freebox vers le le TP-Link, puis créer des règles NAT/PAT dans le TP-Link vers le NAS.

Par ex: Internet (port443) > Freebox (port443) > TP-Link (port 443) > NAS (port443)

 

Troisième solution si tu ne fais pas d'agrégation, c'est de brancher un des 2 port réseau du NAS directement sur la Freebox.

Par ex: Internet (port443) > Freebox (port443) > NAS second port RJ45 (port443)

 

Modifié le 13 avril 2020 par maxou56

[guest-star]

Slt Maxou56,

d'abord merci bcp pour ta réponse plus qu rapide ! je n'avais même pas eu de notif comme quoi une réponse avait été posté.

Je vais tenter le premier réglage que tu me suggères. Je ne soughaite pas relier mon routeur directement à la freebox pour plusieurs raisons:

- la freebox est déportée, ce qui ne ferai tirer un câble de plus ce sera très inesthétique dans notre appartement actuel.
- dans notre future installation maison j'aurai une configuration qui m'imposera en quelques sortes un routeur ou/et plusieurs switchs derrière la freebox. Et je voudrais pouvoir savoir comment on paramètre tout 4a déja maintenant.
- j'ai envie d'apprendre à le faire sans avoir a passer par la facilité.

Mon pb principal actuellement c'est que le mode routeur de la freebox semble assez limité malgré tout. Par exemble, dans sa console de gestion elle n'accepte pas qu'on paramètre quoi que ce soit sur une autre plage d'adresses IP que celles sur lesquelles elle est définie.
Donc à moins que j'ai inséré des réglages qui me bloquent en ce sens et donc je n'ai pas connaissance, je pense que la freebox ne permets pas d'administrer un réseau de manière aussi complete que peut le faire un routeur.

Malgré tout la freebox me fournis un panel de services qui ne serait plus dispo si je la passe en mode Bridge, du coup j'ai choisi de ne pas opter pour ce choix.

Je vais tenter d'insérer les réglages que tu m'as donné et je reviendrai poster ici juste après pour que tu me dises (si tu es d'accord) si ce que j'ai mis est correct ou non.

1

à tout de suite ! :)

[guest-star]

Donc voici les réglages effectués:

- sur ma freebox, impossible de rediriger un port en dessous en 49152, je ne sis pas pquoi. La console de gestion ne me laisse pas le valider (voir image freebox_01). Et comme j'ai déjà accès à internet depuis mon routeur et depuis mon NAS j'en déduis que ces ports sont déjà ouverts et non modifiables depuis la freebox. Du coup sur ma freebox j'ai ouvert un port personnalisé qui est le 49160 en acivant le DMZ (voir image freebox_02).
- depuis mon routeur TP-Link j'ai activé le pare-feu (voir image TPLINK_02) et laissé activé toutes les options d'application (ALG) dans le NAT Forwarding (voir image TPLINK_03), par contre je ne sais pas si bon ou safe de faire comme ça. S'il y a des choses qui devraient rester désactivé, dis le moi.
- puis j'ai ouvert l'accès sur un serveur virtuel (Virtual Server) dans le NAT Forwarding (voir image TPLINK_01). Là encore je ne sais pas si c'est correct, et si je ne devrais pas utiliser le menu "Port Triggering" de mon routeur pour intégrer ces réglages.
- enfin j'ai autorisé le port 443 dans mon serveur NAS (voir image NAS_01). Là je pense qu'il ne doit pas y avoir de pb de config ;).

Je rappelle que le but est de pouvoir accéder à mon NAS depuis l'extérieur dans le but de se connecter au site web wordpress que j’héberge.

Par contre Maxou56 si je peux me permettre, à aucun moment tu ne m'as dis sur quel périphérique je dois activer le dynDNS. Il est activé uniquement dans le NAS pour le moment, est-ce suffisant ? ou est-ce que ma freebox doit aussi en avoir "connaissance" pour laisser passer le traffic ?
 

freebox_01

freebox_02

 

TPLINK_02

TPLINK_03TPLINK_01NAS_01

Modifié le 18 avril 2020 par guest-star

[maxou56]

il y a 10 minutes, guest-star a dit :

sur ma freebox, impossible de rediriger un port en dessous en 49152, je ne sis pas pquoi.

Bonjour,

Tu as (sans doute) une ip partagé avec d'autre clients, il faut activer l'option "full stack" pour avoir ça propre IP.

 

il y a 13 minutes, guest-star a dit :

à aucun moment tu ne m'as dis sur quel périphérique je dois activer le dynDNS. Il est activé uniquement dans le NAS pour le moment, est-ce suffisant ? ou est-ce que ma freebox doit aussi en avoir "connaissance" pour laisser passer le traffic ?

Cela sert uniquement à faire le liens avec ton ip, donc uniquement sur le NAS (ou un autre appareil).

[guest-star]

MErci.

Par contre je ne suis pas sur d'avoir bien le mode "full stack". Je n'en trouve pas dans la console de gestion, et mon routeur possède une IP avec bail Statique sur adresse 192.168.1.2. aucun autre périphérique ne peut obtenir cette adresse de la part de la freebox.

J'essaie d'accéder à mon NAS depuis ma connexion 3G du smartphone, mais ça ne donne rien lorsque j'utilise mon adresse lien dynDNS. Saurais-tu si je dois préciser une info derrière le dynDNS pour pointer à un endroit précis ? Mon port est-il bien redirigé selon toi ?

[guest-star]

Bon alors,

j'ai du nouveau. En allant dans l'onglet "configuration du routeur" dans la partie "accès externe" du DSM, j'ai réglé les ports grâce à la configuration UPnP de mon routeur TPLINK. Ce dernier me donnait les informations des ports utilisés à partir du moment où la fonction UPnP est activée (port externe 63091 pour le port 443 en interne et 52253 en externe pour le port 80 en interne). J'ai donc maintenant accès à mon NAS depuis l'exterieur (testé en utilisant la connexion 3G de mon smartphone). Youpi !

Mais ! (oui car il y toujours un mais)
Je tombe sur une sorte d'écran d'accueil de mon DSM (voir image attachée).

Je cherche dorénavant comment pointer sur la page d'accueil de mon site web.

 

Modifié le 18 avril 2020 par guest-star

[.Shad.]

à l’instant, guest-star a dit :

Par contre je ne suis pas sur d'avoir bien le mode "full stack". Je n'en trouve pas dans la console de gestion, et mon routeur possède une IP avec bail Statique sur adresse 192.168.1.2. aucun autre périphérique ne peut obtenir cette adresse de la part de la freebox.

Salut, attention ne pas confondre l'IP statique de ton routeur délivrée par le serveur DHCP de la box (ou fixée dans le routeur) et l'IP sur la patte WAN de ta Freebox, ce sont deux choses qui n'ont rien à voir.
Je rejoins @maxou56 sur le fait que tu n'as sûrement pas d'IP full stack.
Sinon pour accéder à DSM via Internet, il te faudra soit router le port 443 comme suggéré conjointement avec un proxy inversé, ou router le port 5000 (http) ou 5001 (https) depuis la box jusqu'au NAS comme précisé ci-avant.

[guest-star]

Slt Shad,

Dsl mais de ce que je comprends, le mode full stack correspond à la demande d'une IP fixe externe. Ici ce n'est pas mon pb puisque pour palier à cela j'utilise un DynDNS. Je ne vois donc pas ce que ça vient changer dans la configuration interne de mon routeur.
Par ailleurs, même sans cela ma redirection semble fonctionner, cependant je n'arrive pour le moment pas à pointer à l'endroit que je souhaite, à savoir sur la page d'accueil du site wordpress herbergö sur mon NAS dans la rubrique web créé lors de l'installation.

[maxou56]

il y a 6 minutes, guest-star a dit :

Dsl mais de ce que je comprends, le mode full stack correspond à la demande d'une IP fixe externe. Ici ce n'est pas mon pb puisque pour palier à cela j'utilise un DynDNS. 

Chez free c'est toujours une IP fixe externe, mais par défaut elle est partagé avec plusieurs abonné (chacun ayant un plage de port, voir ton problème de redirection).

Une IP "Full Stack" permet d'avoir ta propre IP fixe (avec toute la plage de port). Option gratuite.

[guest-star]

Maxou56,

ce n'est pas tout à fait correct. Par défaut l'IP est certes partagée entre plusieurs abonnés mais elle n'est pas fixe, elle change régulièrement. (on s'entend bien, le bail est de plusieurs jours).
Et même si l'option IP fixe individuelle est gratuite, je n'en veux pas. L'exposition aux attaques permanentes depuis l'extérieur est plus grande.

Par ailleurs, la redirection semble fonctionner, comme je l'ai précisé plus haut. Et je reste persuadé que le partage d'IP externe (qui est le lot de quasiment tout le monde étant donné la pénurie d'adresses IPV4), n'a rien à voir avec le fait que je ne puisse pas rediriger manuellement les ports en dessous de 49152.

Mais pas moyen de trouver la page d'accueil de mon site web.
Une idée pour ça ?

Merci pour tes conseils !

[.Shad.]

Ben nos idées on te les a données.

D'ailleurs en voilà une autre, c'est une très mauvais idée que d'activer l'uPnP sur son routeur, et de s'en servir avec le NAS. Si un malware s'y loge, il peut ouvrir tous les ports qui lui chantent.

[Jeff777]

Bonsoir,

Il y a 2 heures, guest-star a dit :

Par contre je ne suis pas sur d'avoir bien le mode "full stack".

Désolé d'arriver à l'improviste dans la conversation  😉

Je pense que ce serait bien de savoir si oui ou non il s'agit d'une IP fullstack.

Pour en être certain c'est là dans Freebox OS/Etat de la freeebox/Etat internet :

 

 

[maxou56]

il y a 43 minutes, guest-star a dit :

Et je reste persuadé que le partage d'IP externe (qui est le lot de quasiment tout le monde étant donné la pénurie d'adresses IPV4), n'a rien à voir avec le fait que je ne puisse pas rediriger manuellement les ports en dessous de 49152.

Le partage d'IP n'est pratiqué (je crois) que par Free.

Comment crois tu que s'effectue le partage d'IP? (Le premier Client à par exemple (ce n'est qu'un exemple) les ports 0-10000, le second 10001-20000....)

il y a 43 minutes, guest-star a dit :

ce n'est pas tout à fait correct.

Voici l'extrait de l'aide Free:

"En zone dégroupée (offres Total Freebox et Freebox), la mise à disposition d'une adresse IP fixe est systématique.
En zone non dégroupée (offres Freebox IPADSL et Freebox Only), vous avez la possibilité d'en faire la demande."

 

Citation

Par ailleurs, la redirection semble fonctionner

Rien ne t'oblige à activer l'ip Full Stack. (par contre comme tu ne dispose pas des ports 80 et 443 cela peut poser des soucis, pour let's encrypt...)

Modifié le 18 avril 2020 par maxou56

[Jeff777]

Il y a 1 heure, guest-star a dit :

Je tombe sur une sorte d'écran d'accueil de mon DSM (voir image attachée).

ça c'est normal avec le port 80 ou 443 (ou ses équivalents dans ton routeur) tu tombes sur webstation (dossier web donc index.html).

Pour arriver sur wordpress il faut faire un virtual host dans webstation pour te diriger vers web/wordpress     

[guest-star]

Il y a 19 heures, Jeff777 a dit :

Bonsoir,

Désolé d'arriver à l'improviste dans la conversation  😉

Je pense que ce serait bien de savoir si oui ou non il s'agit d'une IP fullstack.

Pour en être certain c'est là dans Freebox OS/Etat de la freeebox/Etat internet :

 

 

Jeff777,

Sois le bienvenu dans la discussion. Je prends tous les conseils qu'on peu me donner pour me permettre de mieux comprendre le fonctionnement de mon installation.

J'ai ceci, je pense qu'effectivement je ne suis pas en full stack.
Mais comment connaitre l'équivalent des ports 80 et 443 (ainsi que tous les autres habituellement dédiés à des services fixes) si free ne m'attribue que les ports à partir de 49152 ?

Modifié le 19 avril 2020 par guest-star

[maxou56]

à l’instant, guest-star a dit :

Mais comment connaitre l'équivalent des ports 80 et 443 (ainsi que tous les autres habituellement dédiés à des services fixes) si free ne m'attribue que les ports à partir de 49152 ?

???? 🤪

Je l'ai déjà dit plus haut, ces ports sont attribués à un autre client.

Pour avoir tous les ports il faut activer le Full Stack.

[guest-star]

il y a 13 minutes, maxou56 a dit :

Le partage d'IP n'est pratiqué (je crois) que par Free.

Comment crois tu que s'effectue le partage d'IP? (Le premier Client à par exemple (ce n'est qu'un exemple) les ports 0-10000, le second 10001-20000....)

Maxou56,

Merci je comprends mieux désormais l'incidence "locale" que peut avoir ce partage d'IP en amont...
Ça n'arrange pas mes affaires moi qui souhaite en apprendre plus sur le fonctionnement général d'une telle installation si Free vient changer les règles. :/

[Jeff777]

il y a 5 minutes, guest-star a dit :

Mais comment connaitre l'équivalent des ports 80 et 443

Bonne question. Je pense que c'est toi qui décide dans la liste  49152 à 65535 et tu fais les redirections qui vont bien.

Ou alors tu demandes une IP fullStack mais dans ce cas vérifie bien avec le support Free qu'il ne te met pas une IP fixe.

Modifié le 18 avril 2020 par Jeff777

[guest-star]

il y a 1 minute, maxou56 a dit :

???? 🤪

Je l'ai déjà dit plus haut, ces ports sont attribués à un autre client.

Pour avoir tous les ports il faut activer le Full Stack.

Maxou56,

 

tu n'as pas compris ma question. J'ai bien compris que les plages originales sont partagées entre plusieurs abonnés.
Simplement si je ne bénéficie pas des ports 80 et 443, je bénéficie forcément de leurs équivalents qui portent donc d'autres numéros.

Comment les connaitre ?

il y a 2 minutes, Jeff777 a dit :

Bonne question. Je pense que c'est toi qui décide dans la liste  49152 à 65535 et tu fais les redirections qui vont bien.

Ou alors tu demandes une IP fullStack mais dans ce cas vérifie bien avec le support Free qu'il ne te met pas une IP fixe.

Jeff777,

 

ah parce que tu penses qu'on peut demander un full stack sans être en IP fixe ?
ok donc faudra que je demande au support Free pour ça.

Concernant le virtual host il me semble avoir installé apache et easyPHP pour la BDD en local. Mais de toutes façons sans ces 2 appli wordpress ne pourrait pas fonctionner en local.

est-ce que tu parle d'une autre virtual host ?

Car je trouve bien ma console d'administration sur le port dédié au DSM et je peux me logger en remote. Mais tjs pas de wordpress... :/

[maxou56]

il y a 16 minutes, guest-star a dit :

je bénéficie forcément de leurs équivalents qui portent donc d'autres numéros.

Il n'y a pas d'équivalent.

il y a 17 minutes, Jeff777 a dit :

Je pense que c'est toi qui décide dans la liste  49152 à 65535 et tu fais les redirections qui vont bien.

 

 

Pour un site web il faudra rentrer par ex le DDNS suivit du port.   (par ex: xxxx.synology.me:49152)

Par contre si tu souhaite un certificat Let's Encrypt, ce n'est pas possible sans les ports 80 et et 443.

 

 

Important:

il y a une heure, .Shad. a dit :

c'est une très mauvais idée que d'activer l'uPnP sur son routeur, et de s'en servir avec le NAS. Si un malware s'y loge, il peut ouvrir tous les ports qui lui chantent.

 

Modifié le 18 avril 2020 par maxou56

[Jeff777]

il y a 45 minutes, guest-star a dit :

ah parce que tu penses qu'on peut demander un full stack sans être en IP fixe ?

Aucune idée c'est pour cela que je dis qu'il faut poser la question.

En fait IPfixe et Full stack sont pénalisants pour Free au niveau de la tranche d'IP qui leur est attribuée. Celle-ci n'est plus extensible, donc si chaque client a une IP fixe full stack le nombre total de client ne pourra jamais dépassé le nombre d"adresses IP. Par contre avec les IP partagées ce nombre pourrait être multiplié par 4 si c'était généralisé. L'adresse non fixe ça va dans le même sens. Les abonnés qui arrêtent leur box libèrent l'IP qui retourne dans la réserve. Il y a donc toujours moins d'IP en circulation que d'abonnés.

Donc Free devrait accepter une demande d'IP non fixe fullstack mais peut-être que ça leur pose un problème technique.

il y a 45 minutes, guest-star a dit :

est-ce que tu parle d'une autre virtual host ?

Dans Webstation  comme ceci :

Il faut PHP et APACHE d'installés (je ne suis pas sûr pour les deux mais ça ne mange pas de pain.

Bien sûr, pour toi, il faudra remplacer 80/443 par 50080/80443 par exemple (quelle galère 🤪)

 

 

 

 

Modifié le 18 avril 2020 par Jeff777

[guest-star]

@feff777: Merci ! j'ai effectué l'ajout du virtual host vers le répertoire du site web. Du coup en précisant le numéro de port HTTPS (63091) utilisé par mon routeur je tombe bien sur une page du DSM désormais. Mais tjs pas de page d'accueil. je vais chercher plus loin pour voir je trouve comment y arriver.

@maxou56 : Merci ! j'ai bien compris que du coup je vais avoir un pb de certificat si je n'ai pas les ports 80/443 nativement. Puis-je en déduire que si mon routeur TPLINK m'attribue automatiquement le port EXTERNE 63091 pour pointer sur HTTPS lorsque j'ai UPnP activé, cela veut dire que l'équivalent de mon port "443" se trouve sur le port 63091 de ma freebox également ?

 

Je reviendrai sur le pb UPnP plus tard car ça m'intéresse d'en savoir un peu plus. Notamment si c'est risqué de le laisser activé, et comment s'en passer.

 

MErci à vous en tout cas, ça me fait grandir et c'est très appréciable. Je m’aperçois que j'avais des certitudes ou de fortes suppositions sur certains points qui se sont avérés faux, mieux vaut tard que jamais !

 

 

[.Shad.]

Il y a 9 heures, guest-star a dit :

cela veut dire que l'équivalent de mon port "443" se trouve sur le port 63091 de ma freebox également ?

Ce n'est pas un décalage des ports, tu n'as purement et simplement pas accès à ces ports parce que ton fournisseur d'accès t'en prive.
L'uPnP s'est contenté de choisir un port aléatoire dans la plage disponible, point barre, aucune logique derrière.
Le port 443 est pratique car c'est le port par défaut pour le protocole HTTPS, donc quand tu écris https://coucou.ceymoi.lol, en réalité tu écris https://coucou.ceymoi.lol:443, même principe pour le port 80 et une requête HTTP.

Maintenant, tu peux très bien avoir un accès extérieur sur un autre port, mais dans ce cas-là, il faudra préciser le port dans l'adresse, c'est moins élégant et pratique, surtout tes ports disponibles sont à 5 chiffres...
Disons que X est un port disponible pour toi, donc entre 49135 et 65535, que tu auras choisi au préalable, il faudra faire les redirections suivantes :

Internet | X ----> X | Box | X ---->  X | Routeur | X ----> 5000 ou 5001 | NAS

[[[ NOTE : en réalité, on pourrait également faire ainsi : Internet | X ----> X | Box | X ---->  Y | Routeur | Y ----> 5000 ou 5001 | NAS
Le port intermédiaire n'a pas d'importance, ce sont les ports sources et de destination qui comptent. ]]]

5000 sans certificat, 5001 avec.

Maintenant, il y a moyen de faire ça proprement, en demandant une plage de port complète, et en utilisant un proxy inversé.

Et je te conseille de relire le tutoriel concernant la sécurisation du NAS, tu as apparemment sauté l'avertissement concernant l'uPnP et la configuration du routeur :

 

Modifié le 19 avril 2020 par .Shad.

[Jeff777]

Il y a 9 heures, guest-star a dit :

Mais tjs pas de page d'accueil. je vais chercher plus loin pour voir je trouve comment y arriver.

Ton virtual host n'a pas fonctionné. Qu'est ce que tu as dans tes onglets webstation?