Synology Drive client et port custom

[dagonslair]

Bonjour à tous,

J'ai un NAS Synology avec Synology Drive installé, que j'utilise depuis quelques années.

Souhaitant éviter d'utiliser les ports traditionnels du synology depuis l'extérieur, j'ai configuré mon routeur pour que les ports 5000 / 5001 / 6690 /443 qu'utilise les services synology et tout particulièrement Synology Drive soit accessibles depuis l'extérieur via un "port forward" de ports exotiques.

Bref, j'accède à mon synology drive depuis des ports exotiques genre 15000, 15001, 15443 et ces ports sont transférés sur mon réseau interne vers les ports standards du syno (les 5000, 5001, 443, 6690, ....

Je peux accéder depuis l'extérieur sans souci depuis mon iPhone / ipad, etc... en mettant dans synology drive client l'adresse du serveur et le port comme dans tout navigateur pour y accéder (genre 82.12.66.45:15000).

Par contre, pas moyen de faire la même manipulation depuis le Synology Drive Client sur PC, ça ne se connecte simplement pas. 

Est-ce qu'il y a moyen de vérifier si le port de Synology drive est bien mon port custom ? 

La syntaxe marche-t-elle ? Les ports exotiques fonctionnent sur l'appli Synology drive sur téléphone, alors pourquoi pas sur PC ?
Peut on changer le port sur l'appli PC ?

Merci !

[pluton212+]

Bonjour,

pour que drive fonctionne il faut ouvrir le port 6690 dans le routeur et le diriger vers le nas.

Vous devriez vous pencher sur le tuto du reverse proxy pour éviter d'ouvrir trop de ports et finalement utiliser les ports 80-443 (6690).

 

 

[dagonslair]

merci pour la réponse, mais sur téléphone on peut déterminer un autre port d'accès custom sur le synology drive client.

Est-ce impossible sur l'application windows ?

[.Shad.]

Il y a deux choses différentes : l'interface Drive accessible depuis DSM, via port personnalisé ou proxy inversé. Ça on peut le modifier.

Puis tu as le transit des données, qui se fait via le port TCP 6690 comme l'a dit @pluton212+.

Pour synchroniser à distance ce port doit être redirigé vers ton NAS depuis ta box. Et ouvert dans le pare-feu du NAS.

Pour une utilisation locale, il suffit qu'il soit ouvert dans le pare-feu.

L'adresse à entrer dans Synology Drive Client est juste l'IP publique ou le DDNS ou nom de domaine qui pointe vers cette IP, sans préciser de port.

EDIT : A noter que pour une utilisation combinée locale et externe, tu peux utiliser un serveur DNS local pour ne pas avoir à changer l'adresse du NAS.

Modifié le 15 janvier 2021 par .Shad.

[dagonslair]

Je m'explique :

- le NAS chez moi a son port configuré en standard 6690

- j'ai mis une translation de port : 26690 vers 6690 sur le routeur chez moi, donc pour accéder depuis l'extérieur, faut accéder au port 26690

- j'accède depuis mon "drive client" du téléphone et de ma tablette vers le drive de mon NAS en tapant l'adresse IP + le port dans les informations de connexion de l'appli comme suit : "xx.xx.xx.xx:26690" et ça fonctionne très bien

- j'essaye de mettre en place le drive client au boulot sur Windows, mais ça ne semble pas marcher. Je me demande si le Synology Drive Client sous Windows accepte ou non les ports customisés comme le port 26690. Ca marche sur iPhone, mais est-ce le cas sous Windows ?

Le problème est que je ne peux pas faire d'essai et tâtonner au boulot. Je dois demander l'ouverture de ports sortant au coup par coup, et ça prend un mois pour que la demande soit prise en compte... En ayant demandé l'ouverture du 26690, je pensais que ça fonctionnerait puisque j'y accède depuis mon smartphone mais apparemment non... à moins que le service n'ait pas ouvert le port demandé.

Donc 2 questions :

- y a-t-il moyen de vérifier que le port 26690 a été ouvert ou non ?

- Est-ce que quelqu'un peut m'indiquer si on peut changer le port par défaut de Synology Drive client sous Windows ou faut-il que je passe impérativement par le port standard 6690 ? Mais dans ce cas, je ne vois pas à quoi peut servir la possibilité de mettre un port customisé sur le nas si le client ne peut pas le prendre en compte...

 

MERCI !

[.Shad.]

Je veux bien voir un screen de l'endroit où tu modifies le port de transfert de données de Drive. 🙂 
Si c'est dans Portail des Applications tu n'as pas compris ce que je t'ai dit alors.

Ton plan marcherait si tu pouvais définir un port personnalisé de manière bilatérale.
Vu qu'on parle de synchronisation avec Drive, comment le serveur en retour sait-il qu'il doit contacter ton périphérique sur le port 26690 ? Lui il cherche le port 6690 de ton périphérique, quand il tombe sur le pare-feu du service informatique, il est bloqué actuellement.

De plus, un intérêt particulier à changer le port ? Imposé par le service informatique ? Il n'y a aucun gain de sécurité à faire cela.

Pour vérifier l'ouverture d'un port, tu peux utiliser nmap ou telnet.

Modifié le 15 janvier 2021 par .Shad.

[dagonslair]

Voici les photos d'écran du téléphone et du port forward de la freebox

en fait je me rends compte que je n'ai pas configuré le 36690 contrairement à ce que je pensais et que je ne comprends pas comment il trouve le port...(upnp?)

[.Shad.]

Je ne vois pas le rapport entre tes impressions d'écran et mes questions, j'ai bien compris que tu faisais du NAT x6690 -> 6690.

De plus tu ne réponds pas à ma question : 

il y a 31 minutes, .Shad. a dit :

De plus, un intérêt particulier à changer le port ? Imposé par le service informatique ? Il n'y a aucun gain de sécurité à faire cela.

 

[dagonslair]

"je veux bien voir un screen de l'endroit où tu modifies le port de transfert de données de Drive"

Ben c'est l'une des photos d'écran : celle de la freebox.

Pour le gain de sécurité, ça me paraissait opportun : tout le monde sait que le 6690 est le port utilisé par synology pour ses applis...

maintenant je viens de lire l'inverse sur le forum, alors...

[.Shad.]

Le changer dans la box n'a pas le moindre petit effet, Drive continue d'utiliser le port 6690 pour le transfert de données.
C'est hardcodé dans l'application sur ton NAS, et dans les clients.

Ce que tu peux changer via le portail des applications c'est le port sur lequel est exposé l'interface d'administration utilisateur de Drive.
Le transfert de données est basé sur une connexion TLS entre le client et le serveur, c'est chiffré et sécurisé, tu peux très bien après limiter l'ouverture des ports en fonction des IP ou de la géolocalisation par exemple.

Un NAS bien configuré (voir tutoriel sur la sécurisation) sera bien plus vulnérable à ce qu'il se passe dans ton réseau local qu'à ce qui vient de l'extérieur : montage SMB/NFS, disque externe, etc...

Donc je te conseille simplement d'utiliser le port 6690 pour le transfert de données, pour te connecter à ton interface Drive sur le NAS tu peux choisir le port que tu veux, ou passer par un proxy inversé.

[dagonslair]

"Drive continue d'utiliser le port 6690 pour le transfert de données.
C'est hardcodé dans l'application sur ton NAS, et dans les clients".

Tu as répondu à ma question : donc ouverture du 6690. Pas le choix.

merci 🙂

[vaneck]

bonjour,

je réagit à ce fil. Sur mon lieu de travail, la moitié des ports sont bloqué, comment puis je faire fonctionner le drive client si pas de 6690? J'ai bien essayer en proxy inversé, et passer par le port 443 pour relier le 6690, mais comme il est dit plus haut, le drive client ne le permet pas.

Il y a un moyens hors vpn?

[.Shad.]

Première option : demander au service informatique s'ils peuvent débloquer ce port en trafic sortant. Ca ne te coûte pas grand chose d'essayer, tu leur donnes la doc pour les aider à prendre leur décision.

Deuxième option : installer VPN Server sur ton NAS, t'y connecter et transférer les données. ATTENTION : il faut que le tunnel VPN passe par un port autorisé en trafic sortant, donc passer par exemple sur 443/UDP (peu de chances que ton employeur bloque ce port). Ensuite tu auras juste à entrer l'IP VPN (ou le nom d'hôte) du NAS pour synchroniser tes données.

Troisième option : utiliser une clé 4G, ça t'affranchit de passer par la connexion de ton employeur, mais ce n'est pas la solution la moins onéreuse.

Modifié le 2 décembre 2022 par .Shad.

[PiwiLAbruti]

Quatrième option : Identifier d'autres ports autorisés en sortie et utiliser l'un d'entre eux (sous réserve que le pare-feu ne fasse de filtrage de protocole).

[.Shad.]

il y a 5 minutes, PiwiLAbruti a dit :

Quatrième option : Identifier d'autres ports autorisés en sortie et utiliser l'un d'entre eux (sous réserve que le pare-feu ne fasse de filtrage de protocole).

Alors à moins que je ne me trompe, il doit aussi utiliser un logiciel de redirection de port au niveau de son client également non ? genre Multi Port Forwarder | Verigio

[PiwiLAbruti]

Pas besoin, il suffit de modifier le port de Synology Drive dans Panneau de configuration > Portail de connexion > Applications.

Le plus simple est de modifier le port externe de la passerelle NAT derrière lequel se situe le NAS, mais ca implique d'utiliser un port externe différent du port interne sur le client.

N'ayant jamais utilisé Synology Drive, je vais faire quelques tests pour voir s'il y a moyen de modifier le port d'origine.

Modifié le 2 décembre 2022 par PiwiLAbruti

[.Shad.]

Il faut effectivement voir dans les fichiers de config si effectivement ce port 6690 serait appelé par une variable, en ce cas ce serait facile. Si c'est hardcodé, ça semble compromis. En tout cas rien dans DSM ne permet de modifier ce port.

De la redirection de port en sortant je m'en sers pour mes équipements IoT, pour que je sois sûr que ceux auxquels j'autorise un accès vers le net utilisent les DNS de mon choix. Mais ça necessite a minima un routeur semi-pro voir pro, ou un périphérique intermédiaire (Un Rpi pourrait servir d'intermédiaire entre le PC et le routeur de l'entreprise, au cas où on ne pourrait pas rediriger le port d'origine sur le client).

[vaneck]

bon je croit que le plus simple est le vpn, je vais prendre celui de mozilla, histoire de leur filer des sous.

[PiwiLAbruti]

Il y a 2 heures, .Shad. a dit :

Il faut effectivement voir dans les fichiers de config si effectivement ce port 6690 serait appelé par une variable

Je l'ai trouvé dans 3 fichiers de configuration, aucun d'entre eux n'a permis de faire écouter le processus syncd sur un autre port.

[Kramlech]

Il y a 3 heures, vaneck a dit :

bon je croit que le plus simple est le vpn, je vais prendre celui de mozilla, histoire de leur filer des sous.

Euh, non. Il ne s'agit pas d'un vpn commercial qui permet de "surfer incognito" ...

Il y a 12 heures, .Shad. a dit :

Deuxième option : installer VPN Server sur ton NAS, t'y connecter et transférer les données.

Voir ce tuto : [TUTO] VPN Server

[vaneck]

@Kramlech pourtant quand je test avec le vpn de nordvpn, je peux outrepasser les ports bloquées

D’ailleurs je pense à un truc pénible, si je passe par un vpn je risque de ne plus voir les serveurs de fichier du batiment sur le réseau local

[Kramlech]

Il y a 12 heures, vaneck a dit :

pourtant quand je test avec le vpn de nordvpn, je peux outrepasser les ports bloquées

Je ne sais pas si tu as bien compris ce qu'est un VPN. Pour simplifier, un vpn crée un tunnel sécurisé entre un poste client et un serveur. C'est comme si tu avais une connexion ethernet directe entre le client et le serveur.

Donc si tu mets en place un serveur vpn sur ton Nas (comme indiqué dans le tuto), le client vpn sur ton poste de travail pourra se connecter directement à ton Nas, et ton poste de travail verra ton Nas exactement comme s'il était connecté à ton réseau local.

Si tu te connectes sur le vpn de Nordvpn, tu établis une liaison entre ton poste de travail et le serveur de Nordvpn. Et ton Nas n'y est pour rien...

Le fait que tu puisse te connecter sur le vpn de Nordvpn, cela signifie simplement que le(s) port(s) utilisé(s) par Nordvpn ne sont pas bloqués sur ton lieu de travail.

Maintenant, si sur un lieu de travail certains ports sont bloqués, cela signifie que ton patron souhaite avoir un minimum de sécurité pour ses données. Le fait de sauvegarder en direct les données de ton poste de travail professionnel vers ton Nas personnel, en outrepassant les sécurités mises en place, cela peut être considéré comme du vol de données ...

[vaneck]

merci , je sais ce qu'est un VPN.

ce que je ne comprend pas c'est pourquoi j un vpn "commercial" ne pourrait pas fonctionner.Je suis relié sur le réseau de nordVPN, via je ne sais quel port, qui est lui meme relié au service dont j'ai besoin , avec les bon ports , sur mon nas chez moi => tout fonctionne, dont drive, ou le smtp. Je ne comprend pas pourquoi cela ne pourrait pas marcher avez mozilla, d'autant plus que j'ai l'avantage de pouvoir choisir la localisation de l'ip.

[Kramlech]

C’était simplement pour que quand on te parle de vpn pour accéder directement à ton Nas de manière sécurisée, tu nous parles de Nordvpn qui est un vpn pour accéder à internet. Ce sont deux choses totalement différentes. 
Maintenant c’est ton choix …

[.Shad.]

Si deux périphériques connectés au même fournisseur VPN arrivent à se parler entre eux, tant mieux, mais ce n'est pas évident que ce soit autorisé avec un VPN commercial.

Et c'est passer par New York pour faire Nice-Cannes.