VPN + DNS + SafeAccess + Certificat

[artere]

Bonjour à tous,

A nouveau besoin de votre aide. Oui le titre évoque beaucoup de paramètres mais tous sont liés.

Voilà la situation, l'ensemble se situe sur un routeur RT2600ac.

J'ai configuré le certificat pour être auto-signé et attribué à un domaine, disons domain.fr. En créant le certificat, j'ai associé à un wildward *.domain.fr. [1er point : après lecture de plusieurs tutos, j'aurais peut-être du ajouter l'adresse ip du routeur (192.168.1.1)... on verra pourquoi par la suite.

Pourquoi un certificat auto-signé et non un certificat Let'sEncrypt (LE) ? Parce que j'ai rencontré des soucis d'OpenSSL avec Openvpn dans le cas d'un certificat LE. Par contre, aucun souci avec un certificat auto-signé et durée de vie plus longue.

Ensuite, concernant le DNS : j'ai fait une simple configuration en Master avec le domain.fr pointant vers le routeur. Du côté de mon hébergeur, domain.fr pointe vers l'adresse ip fixe, mais je pense que cela n'interfère pas dans mon soucis.

Côté Safeaccess, pas grand chose de configuré. J'ai juste choisi un filtre de base pour voir.

Côté PC, j'ai ajouté le certificat généré par le routeur dans le gestionnaire de certificat de Windows au niveau de l'onglet : Autorités de certification racines de confiance.

Voici les problèmes (ils sont multiples) :

• lorsque je me connecte au routeur (192.168.1.1) : j'ai un message d'erreur de certificat (pourtant dans le navigateur, le certificat est considéré comme valide). C'est là que le fait que l'adresse ip du routeur n'ait pas été ajoutée au certificat peut causer cette erreur... pas grave, mais pas terrible
• 
• lorsque je me connect à un site qui est filtré par Safeaccess, là ça se complique... le certificat n'étant pas reconnu et le routeur étant sensé émettre une page en lieu et place du site visité (page qui permet à l'utilisateur de demander à l'administrateur de débloquer la page), j'obtiens également une erreur de certificat, sauf que là pas moyen de contourner, normal vu que le site est filtré. Mais du coup, d'un point de vue ergonomie c'est très moyen, l'utilisateur ne pouvant pas me signaler que son site favori est inaccessible
• 

Je vous épargne les problèmes avec VPN Plus et l'accès au bureau à distance qui semble aussi souffrir de ce certificat pas bien reconnu.

Quels sont vos avis, vos conseils, vos solutions ? Un grand merci d'avance.

 

[.Shad.]

il y a 12 minutes, artere a dit :

J'ai configuré le certificat pour être auto-signé et attribué à un domaine, disons domain.fr. En créant le certificat, j'ai associé à un wildward *.domain.fr. [1er point : après lecture de plusieurs tutos, j'aurais peut-être du ajouter l'adresse ip du routeur (192.168.1.1)... on verra pourquoi par la suite.

Pourquoi un certificat auto-signé et non un certificat Let'sEncrypt (LE) ? Parce que j'ai rencontré des soucis d'OpenSSL avec Openvpn dans le cas d'un certificat LE. Par contre, aucun souci avec un certificat auto-signé et durée de vie plus longue.

Je comprends et partage ton constat sur l'intérêt d'un certificat auto-signé pour OpenVPN.
En revanche pour un accès SSL/TLS classique à tes périphériques je te conseillerais d'avoir un certificat LE.
Je ne connais pas bien les RT, mais il n'y a pas moyen d'avoir les deux ? attribuer l'auto-signé au serveur VPN et le LE au reste ? Comme on peut le faire sur DSM.

il y a 12 minutes, artere a dit :

lorsque je me connecte au routeur (192.168.1.1) : j'ai un message d'erreur de certificat (pourtant dans le navigateur, le certificat est considéré comme valide). C'est là que le fait que l'adresse ip du routeur n'ait pas été ajoutée au certificat peut causer cette erreur... pas grave, mais pas terrible

Un certificat, auto-signé ou pas, est valable uniquement pour un nom de domaine, pas pour une IP.
Il faut t'y connecter via un domaine que tu auras défini dans ton serveur DNS.

Pour Safe Access, comme dit plus haut pas de RT donc je ne te serai pas d'une grande aide.

Modifié le 15 juillet 2021 par .Shad.

[artere]

Citation

Je ne connais pas bien les RT, mais il n'y a pas moyen d'avoir les deux ? attribuer l'auto-signé au serveur VPN et le LE au reste ? Comme on peut le faire sur DSM.

Visiblement non. Lorsque tu génères un certificat dans la partie "services" du RT (SRM), c'est le certificat qui sera utilisé par OpenVPN mais aussi par VPN Plus, etc... l'interface est différente de DSM dans laquelle tu peux avoir plusieurs certificats. Là, tu ne peux pas attribuer le certificat à telle ou telle application vu qu'il y en a qu'un.

Citation

Un certificat, auto-signé ou pas, est valable uniquement pour un nom de domaine, pas pour une IP.

Via ce tuto (https://jeangalea.com/setup-ssl-synology-nas/), le certificat est bien assigné à la fois au domaine mais également à l'IP (bon, là il s'agit d'un NAS, mais je pense que c'est la même avec un RT). Par contre, c'est une chose que je n'ai pas fait pour le certificat actuel ce qui est potentiellement à l'origine d'une partie du problème. Le problème de changer le certificat, c'est qu'à chaque fois, il me faut recréer le fichier de config d'openvpn et demander aux utilisateurs de mettre à jour leur client. Vu que je fais pas mal de test en ce moment, faudrait pas que je leur demande tous les 2 jours de faire la manip.

Citation

Il faut t'y connecter via un domaine que tu auras défini dans ton serveur DNS.

Il me semble que c'est ce que j'ai fait mais je ne suis pas sûr de la config de mon DNS sur le routeur. J'ai comme config :

Autre point, ayant à la fois un DNS sur mon NAS qui gère l'Active Directory et un DNS sur le RT, j'ai été obligé dans les paramètres DHCP du réseau local de mettre en DNS primaire celui du NAS (AD) puis en secondaire, celui du RT... je ne sais pas si cela peut jouer. J'ai fait dans cet ordre car sinon, lorsqu'un utilisateur se logue à Windows, le domaine n'est pas trouvé... c'est le sujet d'un autre poste où je demande de l'aide et auquel tu as participé d'ailleurs 😉

J'aurais aimé idéalement que le RT soit capable de rediriger vers le NAS lorsque la demande d'un PC est d'atteindre l'Active Directory, mais je n'ai pas trouvé comment faire.

[MilesTEG1]

Il y a trop de choses à paramétrer en même temps là 😅

 

J’ai un RT2600ac et j’utilise le paquet VPN Plus Server.

J’ai un nom de domaine (Synology, mais ça fonctionnait aussi avec mon ndd ovh) et un certificat LE sur le ndd utilisé pour l’adresse du VPN.

Je n’ai aucun soucis avec OpenVPn , SSL VPN, et L2TP sur le ndd et son certificat LE.

Sur mon routeur j’utilise aussi Threats Prévention.

Mais je n’ai pas les autres services dont tu parles, comme le serveur dns.

 

 Mon nas fait office de reverse proxy, et de srêveur AdGuardHome en docker (comme un pihole ).

tout ça pour dire que tu devrais arriver à utiliser le serveur VPN OpenVPN avec ton nom de domaine et un certificat LE.

C’est un certificat auto signé ca générer une alerte de sécurité sur les naviguateurs car non reconnu par une autorité certifiante, à moins que tu importes ce certificat sur tous les ordinateurs, et encore… les applications vont gueuler.

Dernière chose, un certificat ne peut fonctionne que pour un nom de domaine, jamais pour un adresse ip.

[oracle7]

@artere

Bonjour,

A mon humble avis et si j'étais toi, je commencerai par lire et appliquer correctement ces TUTOs :

• TUTO : Sécuriser les accès à son NAS

• TUTO : Sécuriser et paramétrer son routeur Snology

• TUTO : Pourquoi et comment utiliser un nom de domaine

• Créer un certificat LE pour ton domaine : sous DSM ou avec ce TUTO  ou encore celui-ci TUTO sous docker

• TUTO : Reverse Proxy

• TUTO : DNS Server
• TUTO : VPN Server

Maintenant ce que j'en dit, c'est toi qui voit ...

Cordialement

oracle7😉

[artere]

Merci pour le recap des tutos. Je vais regarder ça un peu plus en profondeur, voir si effectivement, je ne devrais pas centraliser le DNS sur le NAS quitte à supprimer celui du routeur.

Je vous tiens au courant.

[oracle7]

@artere

Bonjour,

Il me parait plus logique que le Serveur DNS soit sur la porte d'entrée du réseau donc le routeur mais il n'y a pas inconvénient qu'il soit sur un NAS. Fais comme tu le sent ...

Astuce : Pour avertir un membre de ta réponse, tu tapes dans ton message "@" + les premiers caractères de son pseudo. Dans le popup qui apparaît tu cliques alors sur le pseudo recherché et il s'affiche sur fond bleu dans ton texte. Ainsi ton interlocuteur est informé/notifié de ta réponse sinon il ne voit rien sauf à rebalayer en arrière tous les messages (ce que peu de monde fait).

Cordialement

oracle7😉

[artere]

@oracle7 Oui, il me semblait plus logique que le DNS soit sur le routeur également... le problème étant le "conflit" entre le DNS du routeur qui va gérer quasi tout le réseau et le DNS du NAS qui lui ne gère que le domaine ActiveDirectory.

Je n'ai pas encore trouvé la solution pour informer le DNS du routeur de l'existence du domaine et lui dire de rediriger proprement toutes les requêtes qui concerne le domaine vers le DNS du NAS.

Modifié le 25 juillet 2021 par artere

[oracle7]

@artere

Bonjour,

Il y a 2 heures, artere a dit :

le problème étant le "conflit" entre le DNS du routeur qui va gérer quasi tout le réseau et le DNS du NAS qui lui ne gère que le domaine ActiveDirectory.

Mais pourquoi tu ne simplifie pas les choses avec un seul serveur DNS sur le routeur pour tout gérer ? Je vois pas l'intérêt d'avoir un serveur DNS spécifique pour le domaine ActveDirectory. Tu peux STP m'expliquer ?

Cordialement

oracle7😉

[artere]

@oracle7Sur le routeur, tu ne peux pas avoir d'Active Directory (ou plutôt Synology Directory Server). Lorsque ce package est installé sur le NAS, il installe également le package DNS qui est automatiquement configuré pour accueillir le domaine.

Une fois que tout est installé, j'ai effectivement tenté de reproduire les deux lignes correspondant au domaine et présentes dans le DNS, pour les mettre dans le DNS du routeur, mais cela ne fonctionne pas... du moins, le domaine devient alors injoignable et les postes informatiques n'arrivent plus à se connecter.

Je pense que Synology Directory Server ne peut pas fonctionner avec un DNS situé sur un autre matériel ou alors je n'ai pas encore trouvé comment faire, ou je n'ai pas bien cherché 🙂

Quand je regarde les enregistrements de ressources pour les deux lignes présentes dans le DNS du NAS il y a un paquet de ligne qui me semble-t-il sont mises à jour automatiquement, notamment des Ressource A avec le nom des PC du domaine. Je pense qu'à chaque fois qu'un nouveau PC rejoint le domaine une ligne de ce type est créé et je ne suis pas sûr que ce soit quelque chose de faisable avec le paquet DNS directement. Il doit y avoir des scripts dans le package Synology Directory Server qui s'occupent de ces mises à jour du DNS.

Je viens de trouver ça https://kb.synology.com/en-nz/DSM/help/DirectoryServerForWindowsDomain/synologydirectoryserver_dns_auto_registering?version=6 qui semble confirmer mes dires.

Modifié le 25 juillet 2021 par artere
Ajout lien Synology ADS

[oracle7]

@artere

Bonjour,

Merci d'avoir pris le temps de m'expliquer, je comprend mieux maintenant le problème.

• As-tu bien défini comme redirecteur sur serveur DNS du NAS, l'@IP du serveur DNS du routeur (donc l'@IP du Routeur) ?
• Et définit sur le routeur comme Serveur DNS primaire le Serveur DNS du NAS (pour que ce dernier soit distribué par le DHCP aux périphériques) ?

Par ailleurs, il faut savoir que si tu as activé la DOH sur le routeur, cela a pour conséquences de contourner la résolution locale du serveur DNS du routeur. Donc cela pourrait expliquer que ton serveur DNS du NAS ne soit pas trouvé (du moins lorsque l'on utilise des URL avec des domaines) à partir du serveur DNS du routeur.

Sinon je vais peut-être dire une co...ie mais as-tu aussi essayé d'ajouté tout simplement dans ta zone DNS du serveur DNS du routeur, un enregistrement de type A pour ton domaine qui pointerait vers l'@IP du serveur DNS du NAS (donc l'@IP du NAS) ? Ainsi cela assurerait de rediriger proprement toutes les requêtes qui concerne le domaine vers le serveur DNS du NAS, non ?

Voilà mes compétences étant limitées, difficile de t'en dire plus pur t'aider.

Maintenant si @PiwiLAbruti passe par là, je pense qu'il pourra te donner un avis d'expert et t'en dire plus sur ce problème.

Cordialement

oracle7😉

[PiwiLAbruti]

Le NAS sur lequel Synology Directory Server est installé doit nécessairement avoir également le rôle de serveur DNS.

Si tu veux que la zone DNS correspondante soit également résolvable sur le serveur DNS du routeur, il suffit de créer une zone DNS secondaire (esclave) sur ce dernier en indiquant l'adresse IP du NAS comme source.

Attention à bien paramétrer la zone du NAS pour que le transfert de la zone vers le routeur fonctionne. Je recommande d'ailleurs d'utiliser une clé dans les règles de transfert.

[artere]

@oracle7

Il y a 16 heures, oracle7 a dit :

• As-tu bien défini comme redirecteur sur serveur DNS du NAS, l'@IP du serveur DNS du routeur (donc l'@IP du Routeur) ?

Côté NAS, le DNS est bien configuré avec comme Redirecteur 1 (IP du Routeur), redirecteur 2 (IP du NAS)

Il y a 16 heures, oracle7 a dit :

Et définit sur le routeur comme Serveur DNS primaire le Serveur DNS du NAS (pour que ce dernier soit distribué par le DHCP aux périphériques) ?

A quel niveau ? Au niveau du DHCP ou au niveau du DNS.

Niveau DHCP: j'ai bien en DNS primaire l'ip du NAS et en secondaire l'IP du routeur

Au niveau du DNS, j'ai comme redirecteur 80.67.169.12 et 80.67.169.40 (basé sur le tuto de @Fenrir). Est-ce qu'il faudrait que je remplace le premier redirecteur par l'IP du NAS. Est-ce que ça ne fait pas doublon avec le DNS primaire du DHCP ?

@PiwiLAbruti

Il y a 16 heures, PiwiLAbruti a dit :

il suffit de créer une zone DNS secondaire (esclave) sur ce dernier en indiquant l'adresse IP du NAS comme source

Je vois. Je mets quoi comme nom de domaine, celui de l'ActiveDirectory (domain.local) ?

Si je comprends bien ou bien je me trompe, j'ai deux possibilités : configurer le DNS primaire côté DHCP et faire pointer le premier DNS vers l'IP du NAS ou configurer les redirecteurs côté DNS et donc dire au DNS du routeur de résoudre les requêtes vers le domaine local en redirigant vers le DNS du NAS.

Est-ce que l'un ne va pas sans l'autre ou bien, si je choisis la solution 2 (redirecteurs du DNS), dans ce cas, je peux remettre en place le DOH sur le DHCP ?

Merci en tout cas pour votre aide bien précieuse.

[oracle7]

@artere

Bonjour,

Il y a 2 heures, artere a dit :

Au niveau du DNS, j'ai comme redirecteur 80.67.169.12 et 80.67.169.40 (basé sur le tuto de @Fenrir).

On est bien d'accord, si tu parles du DNS du routeur alors pour moi c'est OUI puisque précédemment tu as dit ceci :

Il y a 2 heures, artere a dit :

Côté NAS, le DNS est bien configuré avec comme Redirecteur 1 (IP du Routeur), redirecteur 2 (IP du NAS)

Sinon pour bien te comprendre, STP quand tu parles d'un DNS précises bien à chaque fois du quel : NAS ou Routeur, j'avoue par moment avoir un peu de mal à te suivre du coup. Mais pas grave.

Cordialement

oracle7😉

[artere]

@oracle7

Je vais résumer :

NAS:

• DNS -> Résolutions -> Redirecteur 1 (192.168.1.1 Routeur) / Redirecteur 2 (192.168.1.5 NAS)
• DHCP -> non

Routeur:

• DNS -> Résolutions -> Redirecteur 1 (80.67.169.12) / Redirecteur 2 (80.67.169.40)
• DHCP -> Oui -> DNS Primaire (192.168.1.5 NAS) / DNS Secondaire (192.168.1.1 Routeur)

Est-ce que c'est correct ?

[oracle7]

@artere

Bonjour,

il y a 34 minutes, artere a dit :

NAS:

• DNS -> Résolutions -> Redirecteur 1 (192.168.1.1 Routeur) / Redirecteur 2 (192.168.1.5 NAS)

Pourquoi avec le Redirecteur 2, le NAS "se renverrait-il la balle" à lui même ? A mon sens, il n'y a pas besoin de Redirecteur 2 pour le DNS du NAS.

Pour mémoire, si j'ai bien compris, le DNS du NAS ne sait résoudre que ActiveDirectory, et pour les @IP locales et externes il transfert le boulot au DNS du Routeur.

il y a 40 minutes, artere a dit :

Routeur:

• DNS -> Résolutions -> Redirecteur 1 (80.67.169.12) / Redirecteur 2 (80.67.169.40)

Là pour ne pas "mettre tous les œufs dans le même panier" si je puis dire, pour le Redirecteur 2 du DNS du Routeur, j'aurais mis par ex le serveur CloudFare (1.1.1.1). Mais ce n'est que mon avis ...

Tu me suis ?

Cordialement

oracle7😉

[artere]

@oracle7

Alors, j'ai pas fait grand chose comme manip:

• j'ai juste retirer l'IP du NAS (192.168.1.5) dans le redirecteur 2 du NAS... puisque que comme toi, je pensais qu'il n'y avait pas d'intérêt...
• j'ai modifié le redirecteur 2 du DNS (Routeur) pour le remplacer par celui de CloudFlare (1.1.1.1)

Bizarrement, après ces modifs, je n'ai pas eu de souci... mais, 24 heures après, aucun poste ne pouvait accéder à internet "en sortie". C'est à dire que je pouvais me connecter au VPN par exemple, donc internet fonctionne, mais une requête internet ne pouvait être résolue.

NSlookup me renvoyait par ailleurs un "Request timed out".

Il m'a fallu redémarrer le routeur et le NAS pour que tout rentre dans l'ordre.

Sur le NAS, au niveau du journal au niveau du DNS, j'ai ces deux types d'erreur (à partir du moment où l'accès à internet ne fonctionnait plus) :

• samba_dlz: spnego update failed
• client 192.168.1.102#61768: update '*****.local/IN' denied

Je ne sais pas si ces erreurs ont un rapport, le fait que j'en ai une plâtrée à partir du moment où la connexion internet a commencé à buggé.

Par contre, j'ai toujours client 192.168.1.102#61768: update '*****.local/IN' denied même la connexion internet restaurée.

Bref, rien n'est clair.

[oracle7]

@artere

Bonjour,

il y a 40 minutes, artere a dit :

Il m'a fallu redémarrer le routeur et le NAS pour que tout rentre dans l'ordre.

Sur le NAS, au niveau du journal au niveau du DNS, j'ai ces deux types d'erreur (à partir du moment où l'accès à internet ne fonctionnait plus) :

Pourquoi te soucier du contenu du log quand cela ne fonctionnait pas alors que tout est rentré dans l'ordre après redémarrage NAS et RT. C'est le contenu du nouveau log (après redémarrage) qui importe, non ?

Sinon, pour " client 192.168.1.102#61768: update '*****.local/IN' ", je t'avouerai ne pas savoir, désolé.

Finalement, cela marche ou non par rapport à ta question initiale ?

Cordialement

oracle7😉

 

[artere]

J'ai regardé le log pour comprendre d'où pouvait venir le problème d'accès internet après avoir fait les deux modifications citées... j'ai pas compris.

Entre temps, l'ip fixe de mon FAI a changé, c'est peut-être la cause du problème.

Qui dit IP fixe qui change, dit VPN a reconfiguré.

Je me penche actuellement sur les tutos cités plus notamment pour le certificat, mais ces tutos sont fait pour un NAS (DSM) et non un routeur (SRM) donc je ne sais pas si ils sont applicables.

Donc, pour répondre à ta question, non la question du haut n'est pas résolu puisqu'initialement, j'ai surtout un problème de certificat (mais on a un peu dévié depuis :))

[oracle7]

@artere

Bonjour,

Normalement le changement d'@IP externe n'influe pas, pour preuve j'ai une @IP externe dynamique et aucun soucis. Dans ton cas particulier, il te faut tout même vérifier que ta nouvelle @IP externe est bien la cible de ton nom de domaine chez ton fournisseur de domaine avec un enregistrement de type A tondomaine.tld pointant vers la nouvelle @IP externe.

Sinon pour le VPN, le principe donné dans le TUTO est le même, de toutes façons sur VPN Plus Server sur le RT il n'y a pas grand chose à configurer :

Cela dit, si j'étais toi je passerai plutôt par VPN SSL que OpenVPN, c'est bien plus souple, pas de fichier de config à exporter et une application client VPN Plus disponible pour Android.

Sinon c'est clair pour ton certificat ?, j'ai un peu perdu le fil ... Tu l'as finalement transféré(recopié) du NAS sur le RT ?

Cordialement

oracle7😉

Modifié le 28 juillet 2021 par oracle7

[artere]

J'ai laissé tomber le tuto avec Acme.sh, accès root en ssh et tout le toutim... pas adapté à un routeur de toutes façons (le tuto est fait pour un NAS)

Non, je n'ai toujours pas réglé mon problème de certificat.

Pour l'instant, je génère le certificat via le routeur (et ça bloque, un certificat let's encrypt n'est disponible qu'avec un domaine en synology.me) et un certficat auto-signé provoque des problèmes au niveau navigateur).

Mais de ce que tu me dis, c'est que je pourrais potentiellement générer le certificat sur le NAS puis l'exporter sur le routeur ?

[oracle7]

@artere

Bonjour,

Il y a 3 heures, artere a dit :

Mais de ce que tu me dis, c'est que je pourrais potentiellement générer le certificat sur le NAS puis l'exporter sur le routeur ?

Absolument, je procède personnellement comme cela puisque j'utilise le même domaine sur NAS et RT, donc un même et unique certificat. Suis mon TUTO, il n'y a rien de bien compliqué, il suffit juste d'être attentif et de suivre les indications  pas à pas. D'autres l'ont fait alors pourquoi pas toi ?

Cordialement

oracle7😉

[MilesTEG1]

il y a 14 minutes, oracle7 a dit :

Absolument, je procède personnellement comme cela puisque j'utilise le même domaine sur NAS et RT, donc un même et unique certificat. Suis mon TUTO, il n'y a rien de bien compliqué, il suffit juste d'être attentif et de suivre les indications  pas à pas. D'autres l'ont fait alors pourquoi pas toi ?

Sinon, il y a aussi moyen de passer par le reverse proxy du NAS pour accéder à SRM, avec un "sous" domaine 😄 : srm.ton-ndd.tld
Dans le reverse proxy du NAS :

Et normalement pas besoin de certificat sur le routeur, non ?
 

[artere]

Il y a 10 heures, oracle7 a dit :

Absolument, je procède personnellement comme cela puisque j'utilise le même domaine sur NAS et RT, donc un même et unique certificat. Suis mon TUTO, il n'y a rien de bien compliqué, il suffit juste d'être attentif et de suivre les indications  pas à pas. D'autres l'ont fait alors pourquoi pas toi ?

Ok Oracle, je vais suivre ton tuto mais du coup sur le NAS et non sur le RT.

Il y a 10 heures, MilesTEG1 a dit :

Sinon, il y a aussi moyen de passer par le reverse proxy du NAS pour accéder à SRM, avec un "sous" domaine 😄 : srm.ton-ndd.tld

Ok pour l'idée.

Dans vos configs respectives, vous avez un DNS sur chaque appareil (RT et NAS) ou un seul DNS sur le NAS ?

[cadkey]

 

il y a 56 minutes, artere a dit :

Dans vos configs respectives, vous avez un DNS sur chaque appareil (RT et NAS) ou un seul DNS sur le NAS ?

Je suppose qu'il est preferable que le DNS soit sur le routeur.
(Avec NextDNS en DOH sur le RT)

Modifié le 29 juillet 2021 par cadkey