VPN : Suivre le bon tuto

[pepe49]

Bonjour à tous

pouvez-vous m'aider à suivre le bon tuto pour la mise en place d'un VPN pour accéder à mon NAS.

en effet, j'ai l'impression qu'au niveau VPN il y a 2 solutions :

• soit on souhaite que le NAS fasse office de VPN
• soit on souhaite accéder par internet à notre NAS en passant par un VPN pour sécuriser l'accès au NAS.

c'est bien cette seconde solution qui m'intéresse. en effet, j'ai acheté un nom de domaine pour accéder à mon NAS mais je lis un peu partout que ça ne suffit pas et qu'il vaut mieux mettre ce nom de domaine derrière un VPN.

c'est un peu flou pour moi (ma question l'est peut-être également du coup), mais comment puis-je protéger davantage mon NAS sachant que je m'en sers pour PLEX, fichiers et photos.

en vous remerciant de votre aide

[oracle7]

@pepe49

Bonjour,

il y a une heure, pepe49 a dit :

j'ai l'impression qu'au niveau VPN il y a 2 solutions :

• soit on souhaite que le NAS fasse office de VPN
• soit on souhaite accéder par internet à notre NAS en passant par un VPN pour sécuriser l'accès au NAS.

Je crains que tu ne te mélanges les pinceaux 🤪. En fait tes deux solutions que tu évoques, n'en sont qu'une (la 1 ci-après).

En matière de VPN voici les deux solutions qui existent  :

1. Accéder à ton réseau local depuis internet à partir de périphériques externes au réseau (Extérieur --> NAS).
2. Naviguer sur internet de façon "anonyme" (NAS --> Extérieur).

Dans le premier cas VPN serveur de Synology est la solution. Il te permet depuis l'extérieur de connecter un périphérique a ton réseau local de façon sécurisé comme s'il était physiquement branché sur le réseau.

Dans le second cas tu passes par un fournisseur externe (NordVPN, CyberGost, etc ...) qui te fournit un accès sécurisé (ou presque) à SON réseau et à une porte "anonyme" vers internet.

Au final je comprends que c'est la 1ère solution qui t'intéresse. Il te faut donc installer sur ton NAS le package VPN Server et te connecter avec un client VPN adapté au protocole que tu retiendras (OpenVPN, Ip2sec, etc ...). Pour cela tu as un excellent TUTO VPN Server sur le présent site.

En terme de protection/sécurisation du NAS je t'invite (si ce n'est déjà fait !) à suivre ce TUTO : Sécuriser les accès à son NAS avant d'installer VPN Server.

Cordialement

oracle7😉

Modifié le 6 octobre 2022 par oracle7

[pepe49]

super merci @oracle7

j'ai une question supplémentaire : dans le tuto, il est conseiller un paramétrage du pare-feu qui n'est actuellement pas le mien.

cela me fait peur de toucher à ces paramètres : en effet, imagine que je me bloque l'accès : je fais comment pour retourner sur mon NAS corriger le tir ?

Par exemple, il est demandé d'ouvrir les IP 10.0.0.0 à 255.0.0.0. Or je ne peux aller plus haut que 223.0.0.0 ....

[pepe49]

autre question : j'ai une freebox delta sur laquelle il y a la possibilité de configurer un client VPN "open vpn".

si je paramètre un VPN directement au niveau de ce routeur, plus besoin de configurer un VPN sur le synology et d'ouvrir les ports UDP sur la freebox ?

[oracle7]

@pepe49

Bonjour,

il y a 14 minutes, pepe49 a dit :

Par exemple, il est demandé d'ouvrir les IP 10.0.0.0 à 255.0.0.0. Or je ne peux aller plus haut que 223.0.0.0 ....

Désolé mais tu te mélanges encore les pinceaux 🤪. Pas grave 🤣, je t'explique.

Dans le TUTO on te demande d'ouvrir/autoriser dans le pare-feu les @IP du réseau 10.0.0.0 qui a pour masque de réseau 255.0.0.0 et non pas toutes les @IP de 10.0.0.0 à 255.0.0.0. Voir ici pour la définition d'un adressage IPv4 et au passage voici un peu de lecture qui t'éclairera en matière de réseau et notament sur la notion de masque de sous-réseau.

Donc si tu suis attentivement le TUTO, tu n'auras pas de problèmes pour configurer correctement ton serveur VPN. Le plus simple est d'utilser le protocole OpenVPN. Mais ce n'est que mon avis, c'est toi qui vois ...

Pour ta seconde question, je n'ai pas de freebox donc je suis bien en peine pour te répondre. Je tague ici @Jeff777 qui je pense saura mieux te répondre que moi sur ce point. Cela dit, une recherche sur le forum te donnera aussi des éléments de réponse car il me semble bien que le sujet a déjà été évoqué.

Cordialement

oracle7😉

 

[Jeff777]

il y a 54 minutes, pepe49 a dit :

j'ai une freebox delta sur laquelle il y a la possibilité de configurer un client VPN "open vpn".

Bonjour,

Si tu utilises le VPN de la Freebox tu ne peux pas utiliser celui du nas. C'est ou l'un ou l'autre.

En ce qui concerne le VPN de la Freebox, je ne l'ai jamais utilisé. D'ailleurs, ma Freebox étant en bridge je n'y ai plus accès. J'utilise celui du synology.

 

 

 

[pepe49]

Il y a 4 heures, oracle7 a dit :

qui a pour masque de réseau 255.0.0.0

Le con 🤦‍♂️ merci @oracle7pour cette précision 😂 et pour les liens explicatifs que je vais tenter de comprendre 😅

pourrais tu m'expliquer pourquoi nous autorisons le réseau privé de classe B 172.16.0.0. est-ce que cela bloque le 172.16.0.1 ou est-ce que cela autorise toute la plage de ce réseau ?

mon réseau est de type 192.168.1.xxx. du coup je me demande s'il ne faut pas que je mette le 192.168.1.0 à la place du 192.168.0.0 ... est-ce que je suis aussi à côté de la plaque avec cette remarque de newbie ?

Il y a 4 heures, oracle7 a dit :

Le plus simple est d'utilser le protocole OpenVPN

en tout cas je vais suivre ton conseil.

Il y a 5 heures, pepe49 a dit :

cela me fait peur de toucher à ces paramètres : en effet, imagine que je me bloque l'accès : je fais comment pour retourner sur mon NAS corriger le tir ?

et pour cette question, j'ai peur pour rien ? parce que là pour le moment, j'ai créé les règles mais je n'ose pas les activer, trop peur que le NAS me bloque ensuite l'accès à cause d'un pare-feu trop bloquant...

Il y a 4 heures, Jeff777 a dit :

J'utilise celui du synology.

Vu ton retour, je vais en faire de même. merci pour ta réponse @Jeff777

[oracle7]

@pepe49

Bonjour,

Il y a 15 heures, pepe49 a dit :

pourquoi nous autorisons le réseau privé de classe B 172.16.0.0. est-ce que cela bloque le 172.16.0.1 ou est-ce que cela autorise toute la plage de ce réseau ?

A ma connaissance, le réseau 172.16.0.0 est le réseau utilisé par défaut par Docker mais il est aussi utilisé pour le VPN L2TP/IPsec. Il y a peut-être d'autres utilisations mais je ne les connais pas. Cela, certains l'utilisent pour leur réseau local en lieu et place du 192.168.x.x.

L'@IP 172.16.0.1 est en générale l'@IP de la passerelle du réseau 172.16.0.0.

Quand tu autorises le réseau 172.16.0.0/12 (CIDR 12 <==> masque de sous-réseau 255.240.0.0) dans ton pare-feu tu autorises implicitement 1048574 @IP (donc toute la plage correspondant au CIDR/masque de sous-réseau.

Il y a 15 heures, pepe49 a dit :

est-ce que je suis aussi à côté de la plaque avec cette remarque de newbie ?

Non absolouement pas, 192.168.0.0 ou 192.168.1.0 sont deux réseau locaux distincts. Tu choisis ce lui que tu veux mais attention à bien rester cohérent ensuite pour toutes tes @IP que tu attribueras à tes périphériques dans ton réseau lccal. NE FAIT PAS de mélanges, sinon cetains périphériques ne seront pas accessibles. Tu me suis ?

Par contre, par rapport au TUTO tu peux modifier le masque de sous-réseau pour limiter le nombre d'@IP de la plage autorisée. Le masque 255.255.255.0 autorise 254 machines/@IP alors que le masque 255.255.0.0 en autorise 65534 ce qui m'étonnerait fort que tu en ais besoin d'autant sur ton réseau local, non ?

Il y a 15 heures, pepe49 a dit :

j'ai créé les règles mais je n'ose pas les activer

Pas de soucis, c'est en quelque sorte le minimum à faire dans le pare-feu du NAS pour le sécuriser. Ensuite on est plus dans le fait d'ouvrir certains ports pour permettre le fonctionnement de certaines applications. Par exemple ouvrir/autoriser le port 1194 limité à la France (sauf si tu te connecte depuis l'étranger) pour faire du VPN avec OpenVPN. Donc à minima :

Au final, je me permet de réitérer ce conseil : prends bien le temps de lire et assimiler les notions de réseau décrites dans le second lien que je t'ai fourni. Tout y est expliqué de façon simple et claire. Après cela tu seras plus à l'aise pour suivre le TUTP VPN Server ainsi que celui de sécurisation du NAS. Mais c'est toi qui vois ...

Cordialement

oracle7😉

oracle7