Accès impossible au NAS via VPN server après migration IPV4 vers IPV6

[Babou57]

Bonjour à tous,

J'ai eu la mauvaise surprise de voir que mon opérateur de fibre (SFR) avait procédé a la migration de ma ligne d'IPV4 à IPV6.
J'ai pu heureusement reconfigurer le transfert de ports pour autoriser toutes les applications du reverse proxy accessibles depuis l'extérieur.
ça fonctionne.

Par contre je n'arrive toujours pas à configurer OpenVPN dans VPN server pour accéder au NAS depuis l'extérieur. C'est très embettant.
J'ai donné au NAS une IP fixe IPV6 dans la box.
J'ai exporté le fichier de configuration en remplaçant la nouvelle adresse IP externe mais rien à faire.

Quelqu'un a-t-il une idée?

Merci beaucoup!

[.Shad.]

Il y a 6 heures, Babou57 a dit :

J'ai donné au NAS une IP fixe IPV6 dans la box.

C'est assez rare que la box utilise un serveur DHCPv6, il est beaucoup plus courant que l'adressage soit stateless (SLAAC), càd que les périphériques construisent eux-mêmes leur IPv6 en se basant sur leur adresse MAC et le préfixe délégué par le FAI.

Tu sais mettre des impressions d'écran du panneau où tu dis configurer cela dans la box ?
Vérifier aussi dans DSM à Panneau de configuration -> Réseau -> Inteface réseau -> Modifier -> IPv6 que l'adressage IPv6 est en auto et que l'IP reçue est bien une IP publique (ne commençant pas par fe80) :

Modifié le 14 juin 2022 par .Shad.

[Babou57]

Voici la capture d'écran de la partie DHCP de la box en IPV6
L'adresse statique ajoutée est celle du NAS.

J'ai configuré l'interface réseau IPV6 en manuel en gardant la même ip fixe de la box.
Elle ne commence pas par fe80

Quelque chose est mal configuré?

Merci de ton aide

 

[.Shad.]

Ok donc c'est bien un serveur DHCPv6, ce n'est pas si courant. 🙂

Par contre, si tu as défini une réservation statique dans la box, tu dois passer en auto sur ton NAS, parce qu'en manuel du coup tu ne fais pas appel au serveur DHCP.

Est-ce que ta box permet de configurer le pare-feu IPv6 ? c'est encore plus rare, mais on n'est plus à ça près. 😉
Si pas possible d'ajouter d'exception au pare-feu, alors il faut faire du NAT (on évite généralement en IPv6 car chaque périphérique a une IP routable, donc aucune raison de s'embêter avec du NAT, mais ça présuppose d'avoir la main mise sur le pare-feu du modem ou du routeur).

Et dans ce cas-là l'IP à mettre dans OpenVPN est l'IPv6 de ta box, et pas celle du NAS.

Est-ce que ton IPv6 est dynamique ? et l'IPv4 ?

 

[Jeff777]

Il y a 13 heures, Babou57 a dit :

J'ai eu la mauvaise surprise de voir que mon opérateur de fibre (SFR) avait procédé a la migration de ma ligne d'IPV4 à IPV6.

Bonjour,

Comment c'est possible ça de ne plus avoir d'IPV4 ? Il n'y aurait pas une mauvaise config quelque part ?

 

 

[PiwiLAbruti]

Il y a 3 heures, .Shad. a dit :

[...] , tu dois passer en auto sur ton NAS, [...]

Il faut plutôt sélectionner DHCPv6-PD et non Auto (SLAAC).

Ceci dit, les appareils Android ne supportent pas DHCPv6. Si tu en es équipé, il est fortement recommandé de ne pas activer le serveur DHCPv6 de ta box.

[Babou57]

Il y a 3 heures, .Shad. a dit :

Ok donc c'est bien un serveur DHCPv6, ce n'est pas si courant. 🙂

Par contre, si tu as défini une réservation statique dans la box, tu dois passer en auto sur ton NAS, parce qu'en manuel du coup tu ne fais pas appel au serveur DHCP.

Est-ce que ta box permet de configurer le pare-feu IPv6 ? c'est encore plus rare, mais on n'est plus à ça près. 😉
Si pas possible d'ajouter d'exception au pare-feu, alors il faut faire du NAT (on évite généralement en IPv6 car chaque périphérique a une IP routable, donc aucune raison de s'embêter avec du NAT, mais ça présuppose d'avoir la main mise sur le pare-feu du modem ou du routeur).

Et dans ce cas-là l'IP à mettre dans OpenVPN est l'IPv6 de ta box, et pas celle du NAS.

Est-ce que ton IPv6 est dynamique ? et l'IPv4 ?

 

Oui apparemment je peux configurer le pare-feu IPV6:

J'avais ouvert le port pour openVPN
Ok donc je repasse en auto au niveau du NAS.

Je me demande effectivement pourquoi je ne peux pas faire de NAT en IPV6 avec la box. Qu'entends tu par "chaque périphérique a une IP routable"?
Je vais essayer en mettant l'adresse IPV6 de la box dans le fichier de configuration Open VPN.

Comment savoir si mon IP est dynamique ou non?

Je te tiens au courant 🙂

Merci!

Il y a 3 heures, Jeff777 a dit :

Bonjour,

Comment c'est possible ça de ne plus avoir d'IPV4 ? Il n'y aurait pas une mauvaise config quelque part ?

 

 

Salut Jeff,

Ce n'est pas qu'il n'y a plus d'IPV4 mais lors de la migration, certains services essentiels IPV4 sont supprimés: le NAT, l'UpnP, DynDNS

https://communaute.red-by-sfr.fr/t5/Box-décodeur-TV/Désactiver-Carrier-grade-NAT-Annuler-passage-IPv4-vers-IPv6/td-p/469490

Ce qui est très handicapant pour accéder au NAS à l'extérieur

il y a 39 minutes, PiwiLAbruti a dit :

Il faut plutôt sélectionner DHCPv6-PD et non Auto (SLAAC).

Ceci dit, les appareils Android ne supportent pas DHCPv6. Si tu en es équipé, il est fortement recommandé de ne pas activer le serveur DHCPv6 de ta box.

Effectivement j'ai un smartphone et une tablette android avec lesquels je souhaite accéder au NAS par VPN.

Que me conseillerais-tu?

Merci à toi.

[PiwiLAbruti]

@Babou57 Je conseillerais de ne pas activer le serveur DHCPv6 de la box et de laisser l'adressage automatique faire son œuvre (via SLAAC et les annonce RA du routeur).

[.Shad.]

@PiwiLAbruti Merci pour la correction en effet !

@Babou57 Si effectivement tu as des périphériques Android, il est préférable de désactiver le serveur DHCPv6 et d'utiliser SLAAC (et donc laisser le NAS en auto). Du moins si c'est possible sur ta box.
Je trouve ça très étrange que SFR ne propose pas de double stack v4/v6, il y a encore une majorité du web qui n'est pas prête pour l'IPv6, tu n'obtiens pas d'IPv4 à cette adresse : https://ip.lafibre.info/ ?

Chaque périphérique d'un réseau en IPv6 possède sa propre ip routable (entendre publique, car routable publiquement), c'eût été le cas pour l'IPv4 si on n'était pas aussi nombreux sur Terre. 😛 En IPv6 le nombre d'adresses est virtuellement illimité, un FAI te délègue un préfixe (ou PD = prefix delegation en anglais), c'est-à-dire un sous-réseau entier à ta disposition.

Si on utilise le NAT en IPv4 c'est justement parce que tu n'as qu'une adresse IP publique, et le NAT permet d'accéder via la translation de port à des périphériques derrière ton seul périphérique exposé publiquement, ton modem.

Donc pour moi jusque-là ton intuition a été bonne, c'est l'IPv6 de ton NAS que tu dois mettre dans le fichier de configuration d'OpenVPN, autoriser le trafic sur le port que tu as choisi dans la box ET dans le pare-feu du NAS. Pour faciliter le debuggage, tu peux passer sur le protocole TCP plutôt qu'UDP, en UDP lorsqu'on envoie un paquet on n'a pas de retour d'information, en TCP si.

Ton IP est dynamique si elle change de temps à autre (fréquence variable) et statique si elle ne change jamais quoique tu fasses (reboot du modem, le laisser débrancher quelques heures, etc...).

Si elle est dynamique, mettre une IPv6 dans le fichier de configuration n'aurait pas beaucoup de sens car elle serait susceptible de changer.
Dans ce cas-là tu peux utiliser le DDNS Synology qui pointera toujours vers l'IP de ton NAS, même en cas d'évolution du préfixe.

[Jeff777]

Il y a 21 heures, Babou57 a dit :

J'ai exporté le fichier de configuration en remplaçant la nouvelle adresse IP externe mais rien à faire.

Pour la config d'Openvpn voici la mienne qui fonctionne en IPV4/IPV6 si l'IPV6 ne répond pas ça bascule en IPV4 au bout d'environ une minute. :

 

dev tun
tls-client

auth-nocache
remote 2a01:xxxx:xxxx:xxxx:xxxx:xxff:fexx:xxxx 1194   
#c'est l'IPV6 du nas pas de la box.
remote 78.xxx.xxx.xxx 1194

##Les trois lignes suivantes sont optionnelles.2a01:xxxx:xxxx:xxxx  est le préfixe IPV6 du réseau

push tun-ipv6
ifconfig-ipv6 2a01:xxxx:xxxx:xxxx::3 2a01:xxxx:xxxx:xxxx::4  
push "route-ipv6 1::/0"

 

redirect-gateway def1

pull

proto udp6
proto udp
script-security 2

comp-lzo

reneg-sec 0

cipher AES-256-CBC

auth SHA256

auth-user-pass

<ca>
-----BEGIN CERTIFICATE-----
MIIxxxxxxxxxxxHwg==
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
MIIxxxxxxxxxxxGCc=
-----END CERTIFICATE-----

</ca>

remote-cert-tls server
verify-x509-name 'ndd' name

[Babou57]

Merci à tous,

J'obtiens bien une IPV4 publique et une IPV6 publique en cliquant sur ton lien.

Je pense qu'il y a un peu des 2 mais comme le service NAT a disparu en IPV4, je suis obligé de passer par l'IPV6.

Je vous ai écouté et j'ai désactivé le DHCPv6 de la box et j'ai vérifié que le service SLAAC soit bien activé. J'ai laissé l'IPV6 statique pour le NAS.
J'ai passé le NAS en auto.

Merci pour tes explications @.Shad. sur les ip routables. J'ai compris maintenant 🙂
 

J'ai repris mon fichier de configuration en me basant sur celui de @Jeff777.
J'ai ajouté:

auth-nocache
remote 2a01:xxxx:xxxx:xxxx:xxxx:xxff:fexx:xxxx 1194   (IPV6 du NAS, que j'ai repris de l'écran ci dessous)



remote 81.220.xxx.xxx 1194 (IPV4 publique du NAS que j'ai repris de la première capture d'écran)

J'ai supprimé le commentaire devant "redirect-gateway def1" (comme avant)

Et ajouté la ligne suivante
proto udp6

Malheureusement ça ne fonctionne toujours pas.
Pourtant les ports openVPN sont ouverts dans le pare-feu de la box et du NAS.

Dois-je utiliser plutôt l'IPV6 publique de la première capture d'écran?

Merci à vous

[Jeff777]

il y a 22 minutes, Babou57 a dit :

Dois-je utiliser plutôt l'IPV6 publique de la première capture d'écran?

Celle-ci (sans le /64 bien sûr)

 

Edit : c'est la même chose que ta dernière capture ci-dessus

Modifié le 15 juin 2022 par Jeff777

[Babou57]

C'est bien ce que j'avais fait. Dans ce cas je ne vois pas ce qui bloque.
Mais je me suis rendu compte d'une autre chose: mes applications DSget - DS file - DS audio etc... ne fonctionnent plus quand je me connecte à l'extérieur. C'était pourtant le cas hier.
A votre avis, désactiver le DHCPv6 de la box désactiverait le pare-feu de la box aussi?

[Jeff777]

Le problème est peut-être là :

https://lafibre.info/ipv6/connectivite-ipv6/

J'avoue que je n'ai pas tout compris 🙄 .

[Babou57]

Bon finalement la fait d'avoir perdu le reverse proxy m'a mis la puce à l'oreille: l'adresse IPV6 du NAS avait changé!
J'ai donc remis une adresse statique dans la box pour le NAS, désactivé le DHCP v6, configuré le pare feu avec la nouvelle adresse IPV6 du NAS, laissé le DHCP du NAS en auto et réédité un fichier config openVPN.

Maintenant tout refonctionne! Ouf!

Merci à vous pour votre aide précieuse!

[Babou57]

Le 15/06/2022 à 11:51, Jeff777 a dit :

Le problème est peut-être là :

https://lafibre.info/ipv6/connectivite-ipv6/

J'avoue que je n'ai pas tout compris 🙄 .

Bonjour,

J'ai constaté que tout fonctionnait chez moi quand je me connectais à l'extérieur (avec la 4G de mon téléphone par exemple)
Mais chez ma copine, plus rien ne fonctionne. sur les ordinateurs, impossible de se connecter aux applications via reverse proxy, ni au VPN.

Par contre, en étant chez elle, je peux toujours le faire avec la 4G de mon téléphone.
Est-ce dû au fait que, ma box SFR ne me donnant plus la possibilité de faire du NAT en IPV4, mon téléphone se connecte en IPV6 et donc ça fonctionne mais mes ordinateurs chez elle se connectent en IPV4 et donc ça ne fonctionne plus? J'ai lu ça sur un forum.

https://la-communaute.sfr.fr/t5/installation-et-paramétrage/nas-box-nb6vac-pas-d-accès-externe/td-p/2355870

"Ce que j'ai voulu évoquer c'est que durant toutes les années que prendra la transition de IPv4 vers IPv6, il y aura 2 types de connexions vers ta box :

1. celles qui proviennent d'IPv4 (l'écrasante majorité encore aujourd'hui)
2. celles qui proviennent d'IPv6 (quelques-unes, et souvent celle provenant d'un smartphone sur réseau mobile par exemple qui sont souvent organisé en réseau IPv6)

• Pour le cas 2 (comme évoqué sur mon premier lien plus haut) c'est purement en IPv6, et donc tu n'as plus besoin de redirection de ports : en effet, le client externe pourrait désigner ton NAS via son adresse personnelle que tu mettrais dans ton outil de DNS.
• Mais pour le cas 1 (l'essentiel des connexions externes à ce jour sans doute) ça reste en IPv4, donc masqué par l'intermédiaire de l'IPv4 publique de ta box, et cette dernière doit donc rediriger vers ton NAS "caché derrière car il n'a pas d'adresse IPv4 publique" : et la redirection de port en IPv4 est IMPOSSIBLE avec la box SFR une fois que l'abonné est en CGNAT"

Si c'est cela, comment résoudre le problème?

Modifié le 1 juillet 2022 par Babou57

[Babou57]

Une idée?

[Babou57]

Bonjour à tous,

1 an après j'ai un peu avancé mais pas tant que ça.
Mes services reverse proxy refonctionnent sur des appareils android uniquement. J'ai constaté que certains PC sous windows n'avaient pas le protocole IPV6 activé. ça a résolu une partie du problème.

Par contre je ne peux accéder au VPN que lorsque je suis connecté au même réseau que le NAS.
Depuis l'extérieur (avec une connexion 4G d'un téléphone par exemple et en partage de connexion), ça ne fonctionne pas.

Je désespère. Le DHCPv6 de la box est désactivé. J'ai donné une adresse IPV6 statique au NAS dans la box.
Dans le pare-feu de la box, le port OpenVPN est ouvert ainsi que ceux des autres services qui m'intéressent.
Dans le NAS, la connexion IPV6 est configurée sur DHCPv6-PD.
Dans le fichier de configuration OpenVPN j'ai renseigné l'adresse IPV6 du NAS après "remote"

A votre avis:

Pourquoi je ne peux pas accéder au reverse proxy sur les PC (en local ou en extérieur)?
Pourquoi je ne peux pas accéder au VPN à l'extérieur (android ou PC)?

Je pense au pare-feu du NAS: j'ai bien ouvert les ports correspondants mais pour une plage d'adresse IPV4. Faut-il configurer le pare-feu aussi pour des adresses IPV6?
Si oui, comment faire?

Merci pour votre aide

Modifié le 19 juin 2023 par Babou57

[StéphanH]

A voir si la solution que m'a proposé Synology ici peut t'aider ... même si cette solution vise finalement à revenir à IPv4 lorsque les deux cohabitent...