Applications smartphone, interfaces web, ports & LAN/VPN/WAN

[TuringFan]

Bonjour à tous,

J'ai visité la page Synology dédiée à la description des ports à utiliser pour les différents services mais tout n'est pas encore clair pour moi.

Application iOS

Tous mes services sont accessibles via reverse proxy en https (entrées https qui pointent ensuite vers les ports internes des applications en http) avec des adresses du type service.ndd.tld. Modulo quelques garde-fous sur les droits des utilisateurs (dossiers, applications) et les IPs utilisées (LAN/VPN vs. WAN) cette configuration est parfaitement fonctionnelle depuis un PC quelconque (vérifié sur différentes machines et différents réseaux).

En revanche j'ai remarqué (sur plusieurs appareils en LAN/VPN/WAN) à plusieurs reprises des comportements très erratiques de connexion depuis les applications iOS (l'accès depuis le même appareil via l'interface web étant parfaitement fonctionnel) qui m'obligent à systématiquement tâtonner pour trouver quoi indiquer dans l'interface de connexion de l'application iOS :

• https://service.ndd.tld:443
• https://service.ndd.tld
• service.ndd.tld:443
• service.ndd.tld
• service.ndd.tld:X (avec X un port spécifique à ce service)
• cocher ou non l'option https

Plus étonnant encore je remarque parfois qu'après une connexion réussie en WAN celle-ci n'est pas fonctionnelle en LAN !

A priori il ne peut pas s'agir de problèmes de droits et/ou mots de passe car (i) l'accès via l'interface web est toujours fonctionnelle et (ii) j'utilise un gestionnaire de mot de passe synchronisé sur mes appareils iOS et mes PC.

PS : j'utilise notamment les applications DS Router, DS Finder, VPN Plus, DS Cam, DS File, Drive, Moments, DS Video, DS Chat, Mail.

Interface web

J'ai aussi remarqué que mon accès via l'interface Drive était parfaitement fonctionnelle sauf en ce qui concerne le chargement d'un fichier (depuis mon PC vers le NAS) : j'obtiens systématiquement le message d'erreur "Erreur de l'opération". La même opération est par contre parfaitement réalisable (au même moment, avec le même fichier, vers le même emplacement, sur le même réseau, avec le même PC et le même utilisateur) mais depuis File Station !

Ma question

Tous ces éléments me font penser à des problèmes de ports mais je ne comprends pas suffisamment finement ce sujet pour savoir ce qui cloche.
Quelles sont normalement les formats des adresses à indiquer dans les interfaces de connexion des applications iOS ?

Ma configuration

• Livebox fibre
• Routeur Synology avec DNS local
• NAS (en DMZ) du Routeur avec pare-feu, reverse proxy et paquets des services

Transfert de port sur mon routeur



Pare-feu sur mon routeur

Très étonnamment j'ai parfois remarqué qu'il fallait, en plus de transférer un port, l'ouvrir également sur le routeur !



Pare-feu sur mon NAS



Merci d'avance pour votre aide !

 

Modifié le 26 mai 2022 par TuringFan

[Kramlech]

il y a 26 minutes, TuringFan a dit :

comportements très erratiques de connexion depuis les applications iOS

Il faut savoir qu'il y a des comportements différents selon que l’accès soit fait depuis un navigateur web ou depuis une application Synology.

Depuis un navigateur :

C'est le standard. Il faut que tu indiques à la fin de l'URL d'accès à ton NAS le port que tu souhaites interroger. Si tu ne précises aucun port, par défaut le navigateur ajoute le port 80 si tu fais une requête en http, et le port 443 si tu fais une requête en https. Si tu veux accéder à un port spécifique, tu dois le préciser.

Depuis une application iOS :

Par construction, une application iOS sait à quel service elle veut accéder, et donc le port par défaut auquel il faut qu'elle accède. Donc quand dans les paramétrages de l'application tu indiques l'URL à laquelle tu veux te connecter, si tu n'indiques pas de port, elle va utiliser le port standard du service. Mais si tu n'utilises pas le port standard (parce que tu passes par un Reverse Proxy par exemple), il faut lui indiquer quel port elle doit utiliser.

C'est pour cela que dans l'URL que tu vas indiquer, si tu veux utiliser le https (par exemple), il faut impérativement que tu précises le port à utiliser (:443). C'est le contraire que ce que tu fais depuis un navigateur !!!!!

[TuringFan]

Merci @Kramlech,

Ok, je dois donc toujours écrire https://service.ndd.tld:443.

En revanche pourquoi cela semble t il parfois fonctionner en WAN mais pas en LAN ? Est(ce car en LAN l'application n'est plus contrainte par mon pare-feu et peut donc appeler le port spécifique du service en évitant donc le port 443 de mon reverse proxy ? Comment corriger ce comportement ?

[Kramlech]

En WAN, l'accès à un service est conditionné par deux choses : la redirection d'un port vers le serveur (tache du routeur), et l'ouverture de ce port dans le pare-feu.

En LAN, l'accès à un service est conditionné par une seule chose : l'ouverture de ce port dans le pare-feu. En effet, en LAN tous les port du serveur sont accessibles nativement.

Donc en LAN, si toutes les IP locales sont acceptées sans restriction, si au niveau de l'application tu précise le port 443, tu passeras par le reverse proxy, et si tu ne précise pas le port, tu passeras par le port standard de l'application. Mais dans les deux cas ça marchera... (à condition bien sur que ton routeur fasse du loopback ou que tu aies un Serveur DNS configuré)

[TuringFan]

Merci @Kramlech.

J'ai bien un DNS local fonctionnel puisque j'acc_de depuis mon LAN à mes services via https://service.ndd.tld depuis le navigateur de mon PC. Les problèmes de connexion parfois observés sont eux uniquement sur des applications iPhone depuis le même LAN en pointant vers via https://service.ndd.tld:443. Étrange donc ...

Il y a 22 heures, TuringFan a dit :

J'ai aussi remarqué que mon accès via l'interface Drive était parfaitement fonctionnelle sauf en ce qui concerne le chargement d'un fichier (depuis mon PC vers le NAS) : j'obtiens systématiquement le message d'erreur "Erreur de l'opération". La même opération est par contre parfaitement réalisable (au même moment, avec le même fichier, vers le même emplacement, sur le même réseau, avec le même PC et le même utilisateur) mais depuis File Station !

Je pousse le bouchon mais aurais tu également une idée pour ça (observé sur le WAN et le LAN) ?