[RESOLU] Certificat Let's Encrypt + métadonnées en anglais

[geoff42000]

Bonjour à tous,

J'avance dans les essais avec mon DS220+, et je me rend compte que la lecture de vidéos est impossible avec DS Video à distance... Chez moi (en réseau local) j'utilise DS Video sur Nvidia Shield avec VLC, et aucun soucis.

Par contre sur mon smartphone Android, en accès à distance, je peux me connecter, j'ai accès à toutes les vidéos comme chez moi, mais lorsque j'essaye d'en lancer une, VLC s'ouvre, ça charge, mais rien ne se passe... J'ai essayé la même opération avec DS file, je peux regarder mes vidéos en direct sans soucis... Savez-vous d’où ça peut venir svp ?

 

Autre problème (plutôt mineur), même en étant en français, Video Station me trouve les métadonnées de certains films en anglais uniquement, c'est assez bizarre (même pour certains films français !). Suis-je le seul à avoir ce soucis ?

 

Merci !

Modifié le 4 janvier 2021 par geoff42000
Résolu

[geoff42000]

Bonjour à tous. Je m'auto réponds, après recherche, il semblerait qu'il puisse y avoir besoin d'importer mon certificat Let's Encrypt sur mon smartphone... J'ai réussi à l'exporter, mais j'ai 3 fichiers en ".pem" (d'ailleurs pourquoi pas un seul ?). Je ne sais pas du tout comment installer ça sur mon téléphone, à priori Android ne prend pas en charge les fichiers de ce type. J'ai essayé via des applications, mais sans succès.

Modifié le 1 janvier 2021 par geoff42000

[oracle7]

@geoff42000

Bonjour,

Pour intégrer un certificat sur Android, il faut qu'il soit au format .pfx ou .p12.

Pour convertir tes fichiers .pem ou .crt :

•       Installer sur le PC "OpenSSL".
•      Touche Win + X : et ouvrir une fenêtre de CMD en mode Admin.
•      Faire un "cd" sur le répertoire contenant les fichiers .pem.
•      Taper la commande : "openssl pkcs12 -export -out certificat.p12 -inkey privkey.pem -in cert.pem -certfile chain.pem"

Ensuite tu importes ton certificat ".p12" sur le smartphone et là il devrait être reconnu par par exemple OpenVPN client.

En version .pfx :

openssl pkcs12 -in certificat-ssl.cer -certfile cert-intermediaire.cer -certfile cert-racine.cer -inkey cle-privee.key -export -out certificat-ssl.pfx 

Cordialement

oracle7😉

[.Shad.]

Un smartphone embarque un magasin de certificats, tu n'as normalement pas besoin d'installer un certificat.
Pour DS Video, tu as testé avec et sans HTTPS ? Video Station est connu pour avoir des problèmes avec ces réglages.

[geoff42000]

Il y a 23 heures, oracle7 a dit :

@geoff42000

Bonjour,

Pour intégrer un certificat sur Android, il faut qu'il soit au format .pfx ou .p12.

Pour convertir tes fichiers .pem ou .crt :

•       Installer sur le PC "OpenSSL".
•      Touche Win + X : et ouvrir une fenêtre de CMD en mode Admin.
•      Faire un "cd" sur le répertoire contenant les fichiers .pem.
•      Taper la commande : "openssl pkcs12 -export -out certificat.p12 -inkey privkey.pem -in cert.pem -certfile chain.pem"

   

Ensuite tu importes ton certificat ".p12" sur le smartphone et là il devrait être reconnu par par exemple OpenVPN client.

 

En version .pfx :

openssl pkcs12 -in certificat-ssl.cer -certfile cert-intermediaire.cer -certfile cert-racine.cer -inkey cle-privee.key -export -out certificat-ssl.pfx 

Cordialement

oracle7😉

Merci pour ton aide. 

 

Je viens de faire ces opérations pour installer le certificat. C'est fait, maintenant les tests :

1 : connexion hors réseau local en HTTPS : VLC se lance mais la vidéo ne veut pas démarrer

2 : connexion hors réseau local en HTTPS mais en activant l'option "lire des vidéos sur HTTP" dans les réglages (en laissant port HTTP 5000) : VLC ne se lance pas, échec du chargement

 

3 : connexion hors réseau local en HTTP impossible (en même temps j'ai une adresse "ndd.ovh:443", et j'ai fermé la redirection du port 80 de ma box

4 : connexion en réseau local en HTTPS : message d'erreur "certificat SSL pas fiable…"

5 : connexion en réseau local en HTTP : la vidéo fonctionne

Je ne sais pas trop quoi interpréter… Je ne sais pas ce qui est normal et ce qui ne l'est pas.

 

Il y a 23 heures, .Shad. a dit :

Un smartphone embarque un magasin de certificats, tu n'as normalement pas besoin d'installer un certificat.
Pour DS Video, tu as testé avec et sans HTTPS ? Video Station est connu pour avoir des problèmes avec ces réglages.

C'est peut-être un autre soucis oui. Mes tests sont juste en dessus.

[oracle7]

@geoff42000

Bonjour,

Sauf erreur de ma part, à la vue de tes tests, je soupçonne que ta connexion externe vers le NAS n'est pas claire et qu'elle ne semble pas fonctionner correctement. Mais je peux me tromper ...

Donc avant de te proposer de te lancer dans un éventuel paramétrage de ta box et de ton NAS pour les remettre d'aplomb, si tu pouvais répondre à ces questions, merci :

1. Quel est le type de ta Box ?
2. As-tu une @IP externe (celle de ta box) fixe ou dynamique ?
3. Si ton @IP externe est dynamique, as-tu défini un DynDNS chez OVH (du type "ddns.ndd.tld") et vers quoi il pointe ?
4. Utilises-tu un routeur derrière ta box ?
5. Depuis l'extérieur, dans un navigateur Web avec cache vidé : taper l'URL http://<@IP Externe>:5000 --> tu dois atteindre le NAS, est-ce le cas ?
6. As-tu lus et appliqués les TUTO suivants :

• TUTO : Débuter avec un NAS Synology
• TUTO : Sécuriser les accès à son NAS
  Dans le cas contraire, avant toutes choses, je t'invites à les suivre. On verra après le problème de ta connexion externe.

Cordialement

oracle7😉

 

 

Modifié le 2 janvier 2021 par oracle7

[geoff42000]

@oracle7

Déjà, merci de prendre du temps pour m'aider, c'est très sympa !

 

Pour répondre à tes questions :

1. J'utilise une freebox Pop (depuis peu de temps)

2. J'ai de base une ip dynamique, mais j'ai fait la demande à free de la passer en fixe et c'est le cas

3. Avant j'avais une ip dynamique (j'ai changé d'opérateur), et j'ai donc pris un ndd chez ovh que j'utilise encore pour me connecter (je détaille plus bas)

4. Pas de routeur

5. Je viens d'essayer avec l'adresse IPv4 de ma box (en 82.etc...) et ça ne fonctionne pas. Par contre en mettant https://ndd.ovh je tombe bien sur mon NAS, mais avec le message "web station has been enabled, etc", mais de mémoire je n'avais pas ouvert le port 5000 en accès externe (ni mis de reverse proxy), c'est peut-être lié ? Car pour les ports redirigés, pas de soucis (par exemple : https:file.ndd.ovh, je tombe bien sur DS file).

6. Je n'ai pas appliqué le premier tuto que tu envoie, mais j'ai bien appliqué celui pour bien sécuriser mon NAS, c'est un peu a bible. ^^

 

J'ai aussi appliqué celui concernant les Reverse Proxy avec mon ancien NAS et mon ancienne box. Je n'ai peut-être pas changé ce que j'avais à changer chez OVH en changeant de box et de NAS...

Je viens de regarder sur ma box, le dynDNS est désactivé. Je vois aussi un onglet ovh de désactivé au même endroit (free facilite les liens avec OVH ?).

 

Désolé, je maîtrise très peu le réseau, du coup j'ai bien suivi les tutos en essayant de comprendre, mais dès que je suis "hors des lignes" c'est difficile pour moi ! 😅

Modifié le 2 janvier 2021 par geoff42000

[oracle7]

@geoff42000

Bonjour,

On va donc si tu le veux bien faire quelques manipulations ensemble (assures-toi bien de chaque action). On va considérer que tu as une @IP externe dynamique dans un premier temps. Quand tu auras une @IP externe fixe, il sera temps d'adapter la configuration.

Si une action ne passe pas ou n'est pas correcte, surtout ne poursuit pas plus avant. Réfléchis et vérifies tes actions précédentes.

Sur la box :

• Commence par vérifier que les ports 80, 443 et 5000 sont bien transférés (NAT) de ta box vers respectivement les mêmes ports sur le NAS.

Sur le PC :

• Dans une fenêtre de CMD en mode admin taper "ipconfig /flushdns" pour vider le cache.
• Dans l'adaptateur réseau (propriétés protocole IPv4) : en DNS préféré --> forcer le DNS Serveur sur l'@IP du NAS, dans DNS auxiliaire --> mettre 80.67.169.12 ou 1.1.1.1, créer un 3ème DNS avec l'@IP locale de ta box (192.168.1.1 normalement) pour le cas où aucun des deux serveurs DNS précédents ne répondraient pas.
  NOTA : cette configuration est à faire sur tous tes périphériques de ton réseau local (càd forcer le serveur DNS - le 1er - à utiliser sur l'@IP du NAS).

NAS partie DSM :

• Désactiver le serveur DHCP du NAS.
• Désactiver provisoirement le pare-feu du NAS.
• Depuis l'extérieur, dans un navigateur Web avec cache vidé : taper l'URL http://<@IP Externe>:5000 --> tu dois atteindre le NAS.
• Accès externe :
  • On est bien d'accord que ton DDNS est défini sur ce domaine : "ddns.ndd.tld" et qu'il pointe bien vers ton @IP Externe (i.e. @IP Livebox). Je pars sur cette hypothèse pour la suite.
  • On vérifie donc que ton DDNS pointe bien chez toi, en passant la commande "ping ddns.ndd.tld" depuis ton PC . La réponse doit être ton @IP Externe.
  • Depuis l'extérieur, dans un navigateur Web : taper l'URL http://ddns.ndd.tld:5000 --> tu dois atteindre le NAS.
• Si tout est OK alors tu peux réactiver le pare-feu du NAS et au passage ouvrir/autoriser les ports 80, 443, 5000 et 5001 dans le pare-feu du NAS. Pour les ports 5000 et 5001 je suppose qu'ils n'ont pas été modifiés dans Accès externe/Avancé et ton nom d'hôte est bien "ddns.ndd.tld".
  Tu peux aussi supprimer la redirection du port 5000 dans le transfert de ports NAT/PAT de la Box (ce n'est plus utile !).
• Réseau/général :
  • Vérifier que la passerelle par défaut est bien la Box 192.168.1.1 (LAN1)
  • Cocher configurer manuellement le serveur DNS préféré et saisir l'@IP du NAS, pour le serveur DNS de remplacement tu peux mettre 80.67.169.12 ou 1.1.1.1. Dans "Paramètres avancés" tu coches les 3 cases.
• Réseau/Interface réseau : pour LAN1 configurer avec DHCP automatique. Mais si tu mets en configuration manuelle, alors : @IPlocaleNAS, passerelle=@IPLocaleBox, Serveur DNS= @IPlocaleNAS, cocher Définir comme valeur par défaut.
• Réseau/Paramètres de DSM : Décocher "Rediriger automatiquement les connexions HTTP vers HTTPS sur le bureau DSM" sinon cela casse le processus de reverse proxy.
• Portails des applications/Applications : Pour les applications, je te conseille de renseigner les ports HTTP standards.
• Portails des applications/Reverse proxy : Définir les redirections à l'image de celle-ci : https://aliasApplication.ddns.ndd.tld:443 --> localhost:portStandardHttpApplication (ne pas oublier de cocher HTTP/2).

NAS Partie DNS Serveur :

Définir les ressources telles que :

• ns.ddns.ndd.tld A 86400 @IPduNAS
• ddns.ndd.tld NS 86400 ns.ddns.ndd.tld
• nas.ddns.ndd.tld A 86400 @IPduNAS ---> pour accéder directement au NAS (DSM)
• *.ddns.ndd.tld CNAME 86400 nas.ddns.ndd.tld ---> pour accéder directement aux applications du NAS
   
• Définir les Redirecteurs 1 et 2 sur 80.67.169.12 et 1.1.1.1
• Pour la zone master et la vue associée limiter les IP sources tel que :
  
  Ajouter éventuellement le sous-réseau 10.0.0.0/255.0.0.0 si tu comptes faire du VPN.

• Enfin Zone DNS chez OVH : tu devrais avoir une ligne du type : *.ddns.ndd.tld CNAME 86400 ddns.ndd.tld.

• Avec une @IP externe dynamique, tu ne dois pas avoir d'enregistrement de type ndd.tld 0 A @IPexterneBox chez OVH

Cordialement

oracle7😉

Modifié le 2 janvier 2021 par oracle7

[geoff42000]

il y a 16 minutes, oracle7 a dit :

@geoff42000

Bonjour,

On va donc si tu le veux bien faire quelques manipulations ensemble (assures-toi bien de chaque action). On va considérer que tu as une @IP externe dynamique dans un premier temps. Quand tu auras une @IP externe fixe, il sera temps d'adapter la configuration.

J'ai bien une ip fixe, c'est tout bon. Je vais suivre pas à pas tes indications. Que dois-je modifier en ayant une ip fixe ?

[geoff42000]

il y a 45 minutes, oracle7 a dit :

• Dans l'adaptateur réseau (propriétés protocole IPv4) : en DNS préféré --> forcer le DNS Serveur sur l'@IP du NAS, dans DNS auxiliaire --> mettre 80.67.169.12 ou 1.1.1.1, créer un 3ème DNS avec l'@IP locale de ta box (192.168.1.1 normalement) pour le cas où aucun des deux serveurs DNS précédents ne répondraient pas.
  NOTA : cette configuration est à faire sur tous tes périphériques de ton réseau local (càd forcer le serveur DNS - le 1er - à utiliser sur l'@IP du NAS).

J'en suis à cette étape. Je suis dans "paramètres TCP/IP avancés", et j'ajoute donc les 3 adresses DNS.

A quoi correspond le 1.1.1.1 ?

Pour info, ma box c'est 192.168.1.254, mais je pense que a ne change rien.

Config à faire sur tous les périphériques en local, c'est à dire juste sur les PC ? D'autre j'ai juste la TV, un boitier android et les téléphones en gros.

A quoi sert cette étape d'ailleurs ? Autant que j'essaye d'apprendre au passage pour moins vous embêter ici !

 

Citation

• Depuis l'extérieur, dans un navigateur Web avec cache vidé : taper l'URL http://<@IP Externe>:5000 --> tu dois atteindre le NAS.

Ok pour cette étape.

 

Citation

Accès externe :

• On est bien d'accord que ton DDNS est défini sur ce domaine : "ddns.ndd.tld" et qu'il pointe bien vers ton @IP Externe (i.e. @IP Livebox). Je pars sur cette hypothèse pour la suite.
• On vérifie donc que ton DDNS pointe bien chez toi, en passant la commande "ping ddns.ndd.tld" depuis ton PC . La réponse doit être ton @IP Externe.
• Depuis l'extérieur, dans un navigateur Web : taper l'URL http://ddns.ndd.tld:5000 --> tu dois atteindre le NAS.

Mon DDNS a pour nom d'hôte ndd.ovh, et pointe bien vers l'IPv4 externe de ma freebox.

La commande envoie bien vers l'ip externe de ma box.

De l'extérieur http://ddns.ndd.tld:5000 envoie bien vers mon NAS (de même que http://ndd.tld:5000 d'ailleurs). Quel est l'intérêt d'ajouter ddns devant ?

Modifié le 2 janvier 2021 par geoff42000

[oracle7]

@geoff42000

Bonjour,

1.1.1.1 est l'@IP des serveur Cloudfare, tout comme ceux de FND, il respecte la vie privée et ne "ment" pas comme le font ceux des FAI en général.

On répète l'étape en question pour les autres périphériques afin que ceux-ci utilisent aussi le bon serveur DNS à savoir ton NAS. Si tu ne fait pas cela, comme ils sont très certainement en DHCP automatique alors ils utiliseront le serveur DNS qui leur aura été indiqué par le DHCP de la BOX (càd les serveurs DNS de la BOX) et ce n'est ps ce que l'on veux. Par ailleurs, de façon très simpliste, si ton NAS ne sait pas répondre à la requête DNS du périphérique (i.e. transformer le ndd.tld de la requête en @IP) car le ndd.tld n'appartient pas à la zone DNS locale, alors il transmet la requête aux redirecteurs du DNS Serveur sur le NAS, qui eux sauront.

Cordialement

oracle7😉

[geoff42000]

@oracle7

Citation

• Portails des applications/Reverse proxy : Définir les redirections à l'image de celle-ci : https://aliasApplication.ddns.ndd.tld:443 --> localhost:portStandardHttpApplication (ne pas oublier de cocher HTTP/2).

Comme plus haut, pour le moment je n'ai pas le "ddns" avant mon ndd. Est-ce qu'il faut écrire ddns réellement ?

 

Sinon, je cherche là, mais je ne trouve pas ce que tu appelle la partie "DNS serveur" de mon nas pour les derniers points.

Edit : trouvé, j'installe le paquet ! haha

Par contre je ne comprend vraiment pas ce que je dois y faire...

Modifié le 2 janvier 2021 par geoff42000

[oracle7]

@geoff42000

Bonjour,

Généralement, les utilisateurs définissent leur DDNS sur un domaine du type ddns.ndd.tld car ils renseignent mal (en fait ils ne connaissent pas l'astuce) les écrans de définition du DDNS chez OVH. Ils saisissent notamment un "subdomain" (tel que "ddns") dans le second écran alors que ce champ n'est pas obligatoire et qu'il faut le laisser vide. Du coup ils obtiennent un DDNS de la forme ddns.ndd.tld alors qu'ils auraient pu avoir un DDNS sur leur domaine seul à savoir ndd.tld. Ce qui au final est plus simple et évite d'avoir des domaines à rallonge du type video.ddns.ndd.tld. C'est quand même plus simple et bien plus court d'avoir par exemple video.ndd.tld lors d'une saisie d'URL, non ?

Nota : Je précise pour éviter toute confusion que la notation "ddns" est une notation GENERIQUE, on pourrait très bien nommer son DDNS tel que "toto.ndd.tld".

Donc si je te comprend bien alors tu aurais bien fait chez OVH et ton DDNS serait réduit à ton domaine ndd.tld, j'ai bon ?

Si oui et donc pour répondre à ta question : alors tes redirection seront du type https://aliasApplication.ndd.tld:443 --> localhost:portStandardHttpApplication

Au passage, assures-toi que la définition du DDNS sur le NAS (Accès Externe / DDNS) est cohérente avec ce que tu as chez OVH (i.e. même domaine).

Cordialement

oracle7😉

 

[geoff42000]

Il y a 2 heures, oracle7 a dit :

• Avec une @IP externe dynamique, tu ne dois pas avoir d'enregistrement de type ndd.tld 0 A @IPexterneBox chez OVH

Concernant cette ligne j'ai cette ligne car j'avais une ip dynamique au moment de paramétrer mon reverse proxy. Je l'ai modifiée en passage chez free en mettant ma nouvelle IP externe. Maintenant que mon IP est fixe, je supprime cette ligne ? 

 

Pour le DNS server, j'ai réussi (je pense) grâce au tuto de Fenrir. Par contre je ne saisis pas exactement l'utilité malgré tout.

 

Concernant mon pare-feu, j'ai cru comprendre que c'était risqué d'ouvrir le port 80... Donc je l'ouvrais (sur ma box et mon nas) le temps de faire mon certificat let's encrypt, puis je le refermais. Pareil, n'ayant pas besoin d'accéder au port 5000 (et 5001 aussi je suppose) de mon NAS en externe, je préfère le fermer aussi, c'est problématique ? Je suppose que je ne foit pas non plus décocher les ports DNS Server ? Car ils sont ouverts pour tous les protocoles et toutes les IP sources...

 

J'ai terminé de suivre tes indications sinon et a fonctionne ! 😃

 

Et pour ton message juste en dessus, je suis bien en ndd.tld, j'ai donc fait mon reverse proxy avec cette configuration.

Modifié le 2 janvier 2021 par geoff42000

[geoff42000]

Désolé, @oracle7 je me permet de relancer ma demande. Suis-je obligé de laisser le port 80 ouvert ? Et le port DNS ? (j'ai fermé les ports 5000/5001)

Visiblement oui pour le port 80, mais quels sont alors les risques ? 

[oracle7]

@geoff42000

Bonjour,

Content pour toi que cela fonctionne maintenant. 😀

Le 02/01/2021 à 21:42, geoff42000 a dit :

Maintenant que mon IP est fixe, je supprime cette ligne ?

OUI

Le 02/01/2021 à 21:42, geoff42000 a dit :

Par contre je ne saisis pas exactement l'utilité malgré tout.

C'est surtout que maintenant tu utilises les serveurs DNS de ton choix (FND, Cloudfare, ....) respectueux de ta vie privée et plus ceux de ton FAI qui sont "menteurs" et qui filtrent tes actions.

Le 02/01/2021 à 21:42, geoff42000 a dit :

Donc je l'ouvrais (sur ma box et mon nas) le temps de faire mon certificat let's encrypt, puis je le refermais.

Oui, effectivement c'est une bonne chose, mais tu verras que certaines applications (photo station, ...) ou sites web ne pourront fonctionner correctement si ce port 80 n'est pas ouvert. Donc à toi de voir ... Perso, je prends le risque et n'ai pas eut à m'en plaindre jusqu'à présent.

Le 02/01/2021 à 21:42, geoff42000 a dit :

Pareil, n'ayant pas besoin d'accéder au port 5000 (et 5001 aussi je suppose) de mon NAS en externe

Sur la box ces ports ne doivent pas être transférés. Par contre dans le pare-feu du NAS ils doivent être autorisés/ouverts sinon là aussi tu risque de perdre des fonctionnalités (partage de fichiers via FileStation par ex où les liens de partage ne seront pas efficients).

il y a 12 minutes, geoff42000 a dit :

Et le port DNS ?

Qu'est-ce que tu entends par là , je ne comprend pas ???? Si tu parles du port 53,alors avec l'installation de DNS Server, il doit être normalement ouvert.

Cordialement

oracle7😉

[geoff42000]

@oracle7

Merci pour ton retour, je vais bientôt pouvoir passer le sujet en résolu.

 

Tout fonctionne enfin oui, je t'en remercie. Juste le chromecast chez ma sœur ne fonctionne pas (problème de certificat non reconnu par le chromecast). Mais c'est une première génération de chromecast, c'est peut-être lié. Si tu as une idée de comment résoudre ce problème je veux bien, mais sinon ce n'est pas grave. J'ai cherché, et vu que je n'étais pas le seul à avoir ce soucis avec ces chromecasts.

 

Concrètement, quels sont les risques de laisser le port 80 ouvert sur mon pare-feu (et transféré par ma box) ?

Pour les diminuer, mon pare-feu n'ouvre ces ports que pour la France, c'est toujours ça de pris. Je suppose qu'on ne peut pas plus restreindre (département par exemple).

 

Pour les ports 5000 et 5001 ils étaient fermés jusqu'à maintenant, et pas de soucis de partage de fichiers via File Station... Si je les ouvre sur mon NAS, mais ne les transfère pas sur la box, en pratique ça signifie quoi ? Et niveau risques ?

 

Je n'ai pas les numéros de ports en tête, mais oui, le DNS server a ouvert 2 ports pour fonctionner. Je suppose que le risque de les laisser ouverts sur le pare-feu est faible ?

[oracle7]

@geoff42000

Bonjour,

Je ne saurais te répondre, car mon chromecast est une dernière génération et cela a marché du premier coup à son installation, du coup je l'ai presque oublié ...

Pour l'ouverture des ports, je comprend ton soucis de sécurisation mais il faut bien voir que l'on ne peux pas tout bloquer complétement au risque de perdre des fonctionnalités. De plus certaines applications ont besoins de certains ports pour fonctionner correctement et c'est impératif de les laisser ouverts. Dans ce cas, les communications internes qu'elles utilisent sur ces ports sont sécurisées (souvent par TLS) donc pas de craintes à avoir. Mais ce n'est que mon avis ...

Cordialement

oracle7😉

[geoff42000]

Parfait, j'ai les réponses à toutes mes questions. Merci beaucoup, je vais marquer le sujet comme résolu.

Bonne journée