Proxy inversé avec contrôle d'accès

[CyberFr]

il y a 1 minute, .Shad. a dit :

Hormis la petite coquille dans le sous-réseau du contrôle d'accès tout était bon. 🙂 

C'était une grosse erreur de ma part. J'ai honte 🙂

[oracle7]

@Jeff777 @CyberFr

Bonjour,

Vous aller rire 😆, mais maintenant c'est moi qui ne rie plus 😭 et qui m'aperçois que je n'y arrive plus avec OpenVPN et le contrôle d'accès de mon reverse proxy.

Le plus fort dans l'affaire, est que ce contrôle d'accès du RP marche parfaitement bien lorsque j'utilise "SSL VPN" avec VPN Plus Server d'installé sur mon routeur RT2600ac (Pour mémoire, la connexion OpenVPN n'est qu'une version de "secours" au cas où ...).

Par contre avec OpenVPN toujours sur le VPN Plus Server du RT, pas moyen.

En connexion locale via Wifi, cela ne pose pas de problèmes, j'accède bien via le RP à toutes mes applications.

La connexion VPN depuis l'extérieur (tél 4G) VPN au routeur se fait elle aussi très bien, j'ai bien un "Connected from [92.184.XXX.XXX] as [10.8.0.6]" dans le journal de connexion du VPN plus.

Maintenant (toujours depuis l'extérieur) dans un navigateur Web sur mon Tél 4G, j'accède aussi très bien :

• aux sites externes tels que ip.lafibre.info (d'ailleurs qui m'affiche bien l'@IP externe de ma Livebox),
• à mes applications du NAS pour les quelles le contrôle d'accès du RP est désactivé,

MAIS par contre, pour celles où ce contrôle d'accès est activé, là je récolte la page " Synology, Désolé la page que vous recherchez est introuvable ". Au pire, j'aurais même préféré un message du genre " Ce site est inaccessible, l'adresse DNS de xxx.ndd.tld est introuvable " qui aurait été plus sécure car il ne donne pas lui, l'information qu'il y a un NAS Synology derrière. Mais bon ...

Je retourne le problème dans tous les sens et j'ai vérifié et re vérifié tout mon paramétrage routeur RT, NAS avec RP, VPN Plus Server, DNS Server, je dois passer à coté d'un truc tout c... mais quoi ?

Vous aurez peut-être une bonne idée pour moi ... D'avance Merci.

Cordialement

oracle7😉

 

[Jeff777]

il y a 16 minutes, oracle7 a dit :

Vous aurez peut-être une bonne idée pour moi ... D'avance Merci.

Tu ajoutes "redirect-gateway ipv6" dans la config du VPN............non je rigole.

Une chose est sûr c'est que la page:  Synology, Désolé la page que vous recherchez est introuvable,  tu l'obtiens toujours quand c'est le contrôle d'accès qui t'interdit l'accès par exemple en 4G sans le VPN pour les proxy inverses avec contrôle d'accès.

Regarde quelle IP se connecte si tu retires le contrôle d'accès et peut-être aussi dans le log du client VPN.

 

Modifié le 11 octobre 2021 par Jeff777

[CyberFr]

En présence du message "Désolé, la page est introuvable" il  m'est arrivé de devoir retirer le contrôle d'accès, me reconnecter via le reverse proxy puis réactiver le contrôle d'accès. Et là bizarrement ça passe ! DSM a parfois des vapeurs.

[Jeff777]

oui, moi aussi, mais simplement en réactivant la connexion sur le navigateur. Je mettais cela sur un Time out de mon DS212+ ou la faible connexion 4G.

[Jeff777]

@oracle7

Bonjour,

Sur DSM6 vient de sortir une mise à jour qui corrige un bug. Peut-être que cela va corriger ton problème 😉

[oracle7]

@Jeff777

Bonjour,

Merci pour l'info, mais j'ai déjà la dernière version du package VPN Plus Server sur mon routeur RT2600ac.

Cela dit, je bloque toujours sur cette page "introuvable" envoyée par le serveur Web.

Je tourne en rond, et ne voit pas ce qui coince ...

Cordialement

oracle7😉

[CyberFr]

Le 05/10/2021 à 17:10, oracle7 a dit :

Si c'est sur Android alors j'ai ceci en magasin : il suffit d'installer le fichier « .ovpn » normalement, ensuite quand il demande le fameux certificat SSL, là il faut exporter le certificat depuis DSM (onglet sécurité/certificat), qui nous sort des fichiers « .pem » et il faut les convertir en « .pfx » ou en « .p12 » !

J'ai fait la manip et j'ai pu créer un certificat.p12 sur le Mac. Comme quoi quand viens le temps je n'hésite pas à relire ce qui a été posté et qui à l'époque n'était pas ma priorité.

Mais OpenVPN Connect me demande un mot de passe et refuse celui de mon compte sur le NAS ou le mdp de session sur le Mac. Mais alors que faire ?

[Jeff777]

Tu n'as pas utilisé un mot de passe ou une clé pour convertir ton certificat ?

[CyberFr]

On ne me l'a pas demandé lors de la conversion du certificat, je n'ai donc indiqué aucun mot de passe.

[oracle7]

@CyberFr

Bonjour,

Pour convertir des fichiers .pem en .pfx ou .p12, il faut utiliser le logiciel OpenSSL en ligne de commandes dans une fenêtre CMD sous Windows :

Installer sur le PC "OpenSSL".

• Touche Win + X : et ouvrir une fenêtre de CMD en mode Admin

• Faire un "cd" sur le répertoire contenant les fichiers .pem

• Taper la commande : "openssl pkcs12 -export -out certificat.p12 -inkey privkey.pem -in cert.pem -certfile chain.pem"

Ensuite tu importes ton certificat ".p12" sur le smartphone et là il devrait être reconnu par OpenVPN client.

OpenSSL existe aussi sous iOS, donc j'imagine que c'est la même démarche dans une fenêtre de Terminal.

____________________________________________

Sinon pour mon problème de contrôle d'accès du Reverse Proxy avec OpenVPN, j'ai finalement trouvé.

Sur le Tél 4G Android j'avais défini dans "Connexions / Plus de paramètres de connexion" le "DNS Privé" sur mon compte "NextDNS", grave erreur !

Il a suffit de remettre le "DNS Privé" sur "Automatique" et là tout est rentré dans l'ordre.

Juste plus d'une journée perdue à vérifier/retourner les paramètres NAS et OpenVPN dans tous les sens pour juste ce truc à la c...

En espérant que cela servir à d'autres.😀

Cordialement

oracle7😉

[CyberFr]

Bonjour @oracle7,

Content de savoir que tu as résolu ton problème de reverse proxy. Comme quoi, même les ténors de ce forum peuvent avoir des problèmes à l'occasion 🙂

il y a 10 minutes, oracle7 a dit :

OpenSSL existe aussi sous iOS, donc j'imagine que c'est la même démarche dans une fenêtre de Terminal.

C'est exactement ce que j'ai fait sous macOS et je me demande bien pourquoi OpenVPN me demande un mot de passe lorsque j'installe le certificat. D'autant plus que ce n'est pas le MDP de mon compte sur le NAS ou mon MDP de session sur le Mac.

[CyberFr]

Tunnelblick sur Mac permet d'insérer un certificat dans le profil d'OpenVPN mais dans ce cas il faut forcer le serveur à exiger le certificat, etc, etc.

J'ai une connexion VPN qui fonctionne sur un proxy inversé, j'ai réalisé ce que je voulais faire alors, en dehors d'une certaine curiosité, il est inutile de pousser le bouchon trop loin sinon ce serait une histoire sans fin. Il vaut mieux que je me concentre sur la prochaine étape même si je ne la connais pas encore.