Plus d'accès au NAS depuis l'ext après changement port 5001

[paddaone]

Bonjour à tous,

J'ai constaté hier des tentatives de connexion toutes les 30 secondes sur le compte admin du mon 918+ depuis toutes sortes d'IP.

Les pare feu ont fait leur boulot et toutes les connexions ont été bloquées, sachant que le compte admin est désactivé et que la protection des comptes est activée.

Après quelques heures à ce régime j'ai décidé de changer le port attaqué (5001). J'ai donc changé le port 5001 en 5012 dans le portail de connexion, changé la règle NAT dans mon pare feu externe (pfsense), reboot histoire de et je crois que c'est tout.

J'accède en local via l'adresse privée du NAS et en externe j'ai un sous domaine type https://nas.domaine.com avec lequel j'accès au NAS (y a un VPN wireguard mais comme je ne suis pas seul c'est compliqué de mettre tout le monde sur le VPN). Dans le panneau de config, à accès externe/avancé le port https est bien 443.

Avant le changement de 5001 en 5012 tout allait bien. Maintenant j'ai une page synology qui indique que la page recherchée n'existe pas quand je vais sur nas.domaine.com.

Si je mets https://nas.domaine.com:5012 j'accès bien à l'interface DSM.

Comprends pas!

Merci pour votre aide...

[CMDC]

Peut-être un Proxy Inversé à revoir ? 

[Mic13710]

il y a 19 minutes, paddaone a dit :

comme je ne suis pas seul c'est compliqué de mettre tout le monde sur le VPN).

Moi non plus je ne comprends pas. Est-ce à dire que tout le monde a accès à DSM ?

Ouvrir DSM vers l'extérieur alors qu'il y a un VPN, il n'y a rien qui vous choque ?

Hormis pour l'administration du NAS à partir de comptes administrateurs, l'accès à DSM par les utilisateurs devrait être quasi inexistant.

Avez-vous aussi modifié la règle du reverse proxy pour que nas.ndd pointe vers le port 5012 ?

[paddaone]

il y a 28 minutes, CMDC83 a dit :

Peut-être un Proxy Inversé à revoir ? 

Ben oui j'ai zappé sur le port du reverse proxy. C'est réparé. Merci beaucoup!!!

il y a 20 minutes, Mic13710 a dit :

Moi non plus je ne comprends pas. Est-ce à dire que tout le monde a accès à DSM ?

Ouvrir DSM vers l'extérieur alors qu'il y a un VPN, il n'y a rien qui vous choque ?

Hormis pour l'administration du NAS à partir de comptes administrateurs, l'accès à DSM par les utilisateurs devrait être quasi inexistant.

Avez-vous aussi modifié la règle du reverse proxy pour que nas.ndd pointe vers le port 5012 ?

J'ai des utilisateurs qui utilisent DSM quand ils sont en extérieur pour accéder à des fichiers...

Oui pour le reverse proxy, j'avais oublié de le changer.

Merci pour l'aide!

[Kramlech]

il y a 48 minutes, paddaone a dit :

J'ai des utilisateurs qui utilisent DSM quand ils sont en extérieur pour accéder à des fichiers...

Alors plutôt que leur donner accès au DSM, pourquoi ne pas leur donner uniquement accès à File Station ?

[Mic13710]

Il y a 1 heure, paddaone a dit :

J'ai des utilisateurs qui utilisent DSM quand ils sont en extérieur pour accéder à des fichiers...

Là aussi, il y a plus simple. Soit accès uniquement à File Station comme le suggère @Kramlech, mais le plus simple à mon sens c'est de passer par VPN (wireguard ou autre) et de monter des dossiers réseau sur l'explorateur de fichiers.

[CMDC]

Il y a 4 heures, paddaone a dit :

Ben oui j'ai zappé sur le port du reverse proxy. C'est réparé. Merci beaucoup!!!

Avec plaisir !

Il y a 2 heures, Mic13710 a dit :

Là aussi, il y a plus simple. Soit accès uniquement à File Station comme le suggère @Kramlech, mais le plus simple à mon sens c'est de passer par VPN (wireguard ou autre) et de monter des dossiers réseau sur l'explorateur de fichiers.

Toutafé, personnellement j'ai choisi d'utiliser le port 22 (ssh, scp ou sftp) car je l'utilise déjà pour KeepAss mais effectivement l'utilisation du VPN semble être aussi un bonne solution pour accéder aux fichiers 

Modifié le 26 octobre 2023 par CMDC83

[Mic13710]

il y a 48 minutes, CMDC83 a dit :

effectivement l'utilisation du VPN semble être aussi un bonne solution pour accéder aux fichiers 

Je suis actuellement loin de mes NAS. J'ai une connexion Wireguard permanente entre mon PC et mon routeur et c'est complètement transparent : accès à tout mon réseau et mes lecteurs réseau fonctionnent comme si j'étais at home. La seule limitation c'est la connexion 4G qui bride le débit mais c'est acceptable.

Avec ça, pas besoin de port 22 qui entre parenthèse est assez dangereux d'ouvrir vers l'extérieur.

Pour Keepass, je passe par Synology Drive.