VPN , machine virtuelle et lecteur réseau

[Macman]

Hello !

Ca fait un bail que je n'ai rien posté, vous m'avez manqué.

Je vous sollicite car je rencontre un petit soucis dans la configuration d'un serveur que j'héberge chez moi pour mon pote comptable.

 

J'ai un DS920+ en 192.168.1.100 que l'on va appeler COMPTA-NAS sur lequel j'héberge une machine virtuelle windows serveur 2019 appelée COMPTA-SRV en 192.168.1.101. 

Sur COMPTA-SRV est installé un logiciel de compta (partie serveur, avec une base de données qui utilise le port 4900), un répertoire "logicielcompta" doit y etre également partagé avec des droits étendus (everyone pour l'instant histoire de ne pas me bloquer ici) pour que le logiciel fonctionne.

J'ai bien créé des users pour COMPTA-NAS et COMPTA-SRV.

 

En local, pas de soucis, je prends un PC pour utiliser le logiciel de compta partie client.

J'ai juste besoin de connecter un lecteur réseau (X, Y, Z, peu importe)  \\192.168.1.101\logicielcompta, je renseigne un login/mdp créé sur mon COMPTA-SRV

et dans un fichier fichier .ini propre à l'outil de compta (dans c:/utilisateurs/...) j'indique :

reseau = \\192.168.1.101\logicielcompta ou reseau =X:\logicielcompta ou reseau = \\COMPTA-SRV\logicielcompta

Et cela fonctionne pas de soucis, c'est beau la technologie, et surtout ça marche du tonnerre cette petite VM. 

 

Pour y accéder de l'exterieur, (parceque c'est quand même un peu le but), j'ai configuré un openvpn en suivant le tuto du vénérable fenrir.

Côté box sfr je redirige 1194 vers 192.168.1.100, parefeu comme il faut (avec les lignes 10.0.0.0, 172.16.0.0, 192.168.0.0, udp 1194), smb, afp, bonjour, etc,  tout ça, ça roule.

Côté vpn, je coche bien la case pour autoriser aux clients l'accès aux serveur lan, j'autorise les users à utiliser openvpn.

J'installe openvpn GUI sur mon PC, je mets bien l'export du VPN manager dans le dossier config et zou !

Le client récupère une IP en 10.50.8.X et je vois bien mon user dans le vpn manager dans la liste des connections.

J'arrive à ping sans soucis 10.50.8.1, 192.168.1.100 et 192.168.1.101, super !

J'arrive à connecter mes lecteurs réseau \\192.168.1.100\dossier1 et \\192.168.1.101\logicielcompta, super !

Et le logiciel de compta fonctionne à distance, job is done. 

Mais...

Voici les questions ou soucis que je rencontre et que je vous adresse :

1) En exterieur (VPN connecté donc), j'arrive à connecter un lecteur réseau en \\192.168.1.101\logicielcompta mais pas en \\COMPTA-SRV\logicielcompta

Il ne fait pas la résolution Netbios ou quelque chose comme ça ? J'ai possibilité de le faire ?

Sinon je pensais rajouter dans le fichier host de windows un truc du genre 192.168.1.101 COMPTA-SRV et zou ?

 

2) Allez savoir pourquoi, alors que je suis bien connecté au vpn sur mon client windows, parfois les lecteurs réseaux se déconnectent (j'ai une belle croix rouge dessus), et je n'arrive  plus à me reconnecter (alors que cela fonctionnait il y a 30 secondes) et du coup impossible d'utiliser le logiciel de compta (qui ne retrouve plus son fameux répertoire).

J'ai beau les supprimer, déconnecter puis reconnecter ça ne veut pas, un coup je redémarre et ça fonctionne, un coup non. Il me dit que mon login n'est pas bon (what ?). Et je fais bien attention à utiliser un login/mdp autorisé soit sur mon nas soit sur ma machine virtuelle (selon le lecteur). Il me force bien évidemment la main à me mettre par défaut AzureAD\nomutilisateur, je fais "autre choix" et je tente \\COMPTA-SRV\nomutilisateur et non ça ne veut pas.

Et fun fact, je n'arrive pas à me connecter à un lecteur réseau mais j'arrive sans soucis à me faire une connexion bureau à distance en me connectant à 192.168.1.101 (avec les mêmes identifiants). C'est pour ça que j'ai envie d'écarter le VPN en tant qu'origine du soucis, je peux même accéder à ma box en allant sur 192.168.1.1.

Si vous avez une piste, je suis preneur.

Est-ce que ça vaudrait le coup de faire du NFS  ? Si oui, je vois bien comment le faire pour les dossiers de COMPTA-NAS mais pas pour les dossiers de COMPTA-SRV qui est une machine virtuelle... 

Merci à vous !

 

 

 

 

Modifié le 15 décembre 2021 par Macman
précision

[PiwiLAbruti]

Salut @Macman,

Tout d'abord, merci pour l'effort de rédaction et la la clarté de tes explications pour décrire l'environnement dans lequel tu travailles 👍🥇 

il y a 36 minutes, Macman a dit :

Il ne fait pas la résolution des noms ou quelque chose comme ça ?

SI, c'est bien ça.

il y a 36 minutes, Macman a dit :

J'ai possibilité de le faire ?

Pas avec NetBIOS (utilisé actuellement), mais avec un serveur DNS oui.

il y a 37 minutes, Macman a dit :

Sinon je pensais rajouter dans le fichier host de windows un truc du genre 192.168.1.101 COMPTA-SRV et zou ?

Ça fonctionnera et ça t'évitera de mettre en place un serveur DNS.

il y a 39 minutes, Macman a dit :

[...] je tente \\COMPTA-SRV\nomutilisateur et non ça ne veut pas.

Essaye \\192.168.1.101\nomutilisateur (comme COMPTA-SRV ne peut pas être résolu...).

il y a 40 minutes, Macman a dit :

Est-ce que ça vaudrait le coup de faire du NFS  ?

Non, ça n'apportera rien de mieux.

[Macman]

Merci @PiwiLAbruti pour ta réponse rapide, et pour le compliment sur ma rédaction !

Je vais aller fouiller dans le forum pour la mise en place d'un serveur DNS, car si je dois aller modifier les fichiers host de tout le monde ça peut me prendre du temps et c'est quand même plus carré mais j'ai peur que ça complique mon VPN avec cet histoire de certificat letsencrypt. 

il y a 26 minutes, PiwiLAbruti a dit :

Essaye \\192.168.1.101\nomutilisateur (comme COMPTA-SRV ne peut pas être résolu...).

Cela ne fonctionne pas non plus malheureusement 🙄

A partir du moment où mon lecteur est déconnecté, c'est fichu. Il n'y a que la connexion bureau à distance qui fonctionne. 

Tous mes mots de passe ont des caractères du type !%, j'ai vu aussi que ça pouvait gêner, je vais les changer.

--

En parcourant le forum j'ai vu que certains commentaient ou décommentaient #redirect-gateway def1 dans le fichier de conf du client VPN.
Pour l'instant, il est commenté, donc je suis en "VPN Split tunnel". Je vais le décommenter.

 

Modifié le 15 décembre 2021 par Macman

[PiwiLAbruti]

Attention à bien fournir l'adresse du serveur DNS (192.168.1.101) aux clients VPN pour que ces derniers lui envoient leurs requêtes DNS.

[Macman]

il y a 3 minutes, PiwiLAbruti a dit :

Attention à bien fournir l'adresse du serveur DNS (192.168.1.101) aux clients VPN pour que ces derniers lui envoient leurs requêtes DNS.

Yes bien vu ! 

Je vais déjà essayer de résoudre le problème de connexion au lecteurs sans mettre en place le serveur DNS.

Aujourd'hui ils se connectent à leur session windows avec AzureAD\nomutilisateur, je me dis que si je crée un domaine AD ils pourront se connecter directement avec leur compte et pas le compte que j'ai créé pour l'accès NAS. Et dans ce cas ils ne vont pas jouer avec plusieurs comptes différents (un pour la session, un pour se connecter aux lecteurs du NAS). Par contre comment inclure la VM là dedans ? Grand mystère pour le moment.

J'ai trouvé ça : Comment mettre en œuvre une solution SSO sur un Synology NAS avec Azure AD Domain Services ? - Synology Centre de connaissances

Je vais faire des tests !

[Macman]

Il y a 23 heures, Macman a dit :

2) Allez savoir pourquoi, alors que je suis bien connecté au vpn sur mon client windows, parfois les lecteurs réseaux se déconnectent (j'ai une belle croix rouge dessus), et je n'arrive  plus à me reconnecter (alors que cela fonctionnait il y a 30 secondes) et du coup impossible d'utiliser le logiciel de compta (qui ne retrouve plus son fameux répertoire).

J'ai beau les supprimer, déconnecter puis reconnecter ça ne veut pas, un coup je redémarre et ça fonctionne, un coup non. Il me dit que mon login n'est pas bon (what ?). Et je fais bien attention à utiliser un login/mdp autorisé soit sur mon nas soit sur ma machine virtuelle (selon le lecteur). Il me force bien évidemment la main à me mettre par défaut AzureAD\nomutilisateur, je fais "autre choix" et je tente \\COMPTA-SRV\nomutilisateur et non ça ne veut pas.

Et fun fact, je n'arrive pas à me connecter à un lecteur réseau mais j'arrive sans soucis à me faire une connexion bureau à distance en me connectant à 192.168.1.101 (avec les mêmes identifiants). C'est pour ça que j'ai envie d'écarter le VPN en tant qu'origine du soucis, je peux même accéder à ma box en allant sur 192.168.1.1.

Je m'auto-réponds car j'ai trouvé une solution, en lançant ça via cmd : 

net use lettre: \\UNC /USER:<utilisateur> <mot de passe>

net use X: \\192.168.1.101\logicielcompta /user:xxx yyy

Et là ça marche !

 

Edit : a priori il est même possible de le rendre persistant (je ne vais pas le faire car le lecteur ne peut fonctionner que si on est connecté au VPN).

net use X: \\192.168.1.101\logicielcompta /USER:xxx yyy /p:yes /savecred

Modifié le 16 décembre 2021 par Macman

[Macman]

Hello, j'ai une autre question.

J'ai un premier pc PC1 connecté au VPN, 10.60.8.6 ainsi qu'un autre pc PC2 connecté également au VPN, 10.60.8.10.
J'aimerais bien qu'ils puissent se voir et échanger des fichiers, vous avez une idée ?

Avec PC1 et PC2 je ping 10.60.8.1 : no pb, j'accède même aux répertoires.

Par contre si PC1 essaie de ping PC2 ou inversement ça met délai dépassé.

Les pc ne se voient pas entre eux une fois connectés au VPN du syno ?

[PiwiLAbruti]

La réponse est dans la table de routage des clients.

il faut y ajouter une route du type :

10.60.8.0/28 > 10.60.8.x (où x est l'adresse IP de l'interface VPN.

Fais déjà le test en statique. Ensuite tu auras probablement une question concernant l'automatisation de la création de la règle de routage 😇

[Macman]

@PiwiLAbrutitu as éveillé ma curiosité.

J'ai un peu fouillé à droite à gauche sur le forum, j'ai vu un sujet qui dit qu'il faut ajouter une route sur le NAS, un autre dans windows.
Est-ce que tu peux m'en dire un peu plus ?

Si c'est windows (sans passer par un script powershell) ça donnerait ça ?

route add 10.60.8.0/28 mask 255.255.255.0 10.60.8.1 

avec 10.60.8.1 l'IP du serveur VPN (si c'est bien cela que tu voulais dire par interface)

[PiwiLAbruti]

Oui, par contre tu as configuré le VPN client pour qu'il envoie tout le trafic sur la connexion VPN une fois connecté ? (je ne sais pas à quoi ressemble cette option dans OpenVPN)

Ca doit se voir au niveau de la table de routage Windows une fois connecté en VPN.

[Macman]

il y a 30 minutes, PiwiLAbruti a dit :

Oui, par contre tu as configuré le VPN client pour qu'il envoie tout le trafic sur la connexion VPN une fois connecté ? (je ne sais pas à quoi ressemble cette option dans OpenVPN)

Ca doit se voir au niveau de la table de routage Windows une fois connecté en VPN.

Hello, Yes j'ai bien décommenté redirect-gateway def1 si c'est ce dont tu parles.

La table de routage windows quand on découvre c'est assez imbuvable et il faut que je penche dessus.

L'add route côté client Windows suffit ou il faut aussi le faire côté serveur vpn ? 

[PiwiLAbruti]

Côté client uniquement.

[Macman]

Hello,

Je n'ai pas réussi à me dépatouiller avec la table de routage, j'ai été obligé de bidouiller une autre solution.

J'ai pu installer le nas au bureau de mon copain, j'ai redirigé le port udp 1194 vers 192.168.1.100 (COMPTA-NAS qui est mon ds920+ et serveur vpn) et j'arrive à me connecter au vpn sans soucis lorsque je suis en extérieur, en indiquant l'IP publique du routeur dans le fichier config du client openvpn.

 

Comme je n'ai pas réussi à comprendre le fonctionnement des tables de routage, je suis obligé de me connecter aussi au vpn quand je suis en local avec un pc pour pouvoir accéder au serveur de compta COMPTA-SRV (qui est maintenant en 10.60.8.6).

Et la connexion au vpn ne se fait pas, parcequ'il essaie de se connecter à l'IP publique alors que je suis déjà en local.

Donc j'ai triché mais c'est super moche.

Dans le fichier config du client openvpn j'indique "remote COMPTA-NAS 1194" et dans le fichier host j'indique :

Soit 

10.60.8.1 COMPTA-NAS

Ou

192.168.1.100 COMPTA-NAS

Et

Mon_ip_publique COMPTA-NAS

Lorsque je me connecte au vpn en local, ça fonctionne (cool !) et quand je le fais de l'extérieur il tente avec 192.168.1.100 (ou 10.60.8.1) et au bout de 5-6 tentatives échouées il tente avec l'IP publique et là ça fonctionne.

Bilan ça marche mais franchement je ne suis pas fier.

1) j'imagine qu'il y a probablement un paramètre à indiquer ou une ligne a ajouter dans le routeur mikrotik (que je ne maîtrise pas du tout) pour pouvoir me connecter au vpn en local tout en laissant l'IP publique du routeur dans le fichier de config du client openvpn? Car en faisant le test pré installation chez moi avec une box SFR j'avais aucun soucis.

2) est ce qu'il est possible sinon de mettre des conditions dans le fichier client d'openvpn ? Genre if ping 192.168.1.100 then remote 192.168.1.100 1194 else remote ip_publique 1194 ?

 

Joyeux Noël à tous

 

 

Modifié le 24 décembre 2021 par Macman
Precisions

[Macman]

@oracle7 je me permets de te solliciter ici aussi.

Monsieur Piwi m'avait recommandé de mettre en place un serveur DNS mais j'avais peur que ça casse tout.

J'imagine qu'il est possible de le faire sans casser le site internet hébergé chez OVH ?

 

[oracle7]

@Macman

Bonjour,

Il y a 12 heures, Macman a dit :

J'imagine qu'il est possible de le faire sans casser le site internet hébergé chez OVH ?

OUI bien sûr. Regardes ce TUTO : DNS Server et restes en à a zone locale. C'est suffisant pour te permettre d'utiliser tes sous-domaines en local comme depuis l'extérieur. En plus si d'aventure ta box ne gère pas le loopback cela y palliera.

Bonne lecture

Cordialement

oracle7😉