Synology [mini-Tuto] Création d'un nom de domaine Synology (gratuit) + Utilisation du reverse proxy pour les applications + Configuration du pare-feu du NAS

[MilesTEG]

Existerait il un tuto particulier à suivre ? De la qualité de celui-ci.

Il y a un de @EVOTk mais prévu pour un autre OS : https://www.forum-nas.fr/threads/tuto-installation-de-nextcloud-en-docker-sur-raspberry-pi.14445/

Essaye de voir si tu peux le suivre ^^
Après-tout, docker est docker peu importe où il se trouve.
Il faudra juste adapter les chemins d'accès.

 

[Vista1967]

Bonjour, @MilesTEG1
j'ai suivi votre tuto je pense que j'ai +- bien fait, le problème que j'ai est le suivant:
Quand je rentre https:\\file.mondomaine côté LAN ou WAN, j’accède à File Station via l’adresse http:\\localhost:7000
mais pas toujours, parfois sur le interface connexion routeur, parfois pas du tout ou avertissement securite, aussi le même problème avec l'application DS File iPhone.
Je ne sais pas où je me trompe

Merci

 

[MilesTEG]

@Vista1967 Bonjour,
Alors, ormis pour le routeur où je vais poser quelques questions ci-après, le reste me parait correctement paramétré...

Pour la configuration du routeur.
Déjà, c'est quelle version de SRM ? 1.2 je dirais, car ça ne ressemble pas à ce que j'ai en 1.3.
Dans les transferts de ports : essaye de mettre TCP/UDP à l'exemple de ma règle pour le reverse proxy SWAG :


Montre également le pare-feu du routeur.
Le miens étant comme ceci :


Montre également le parefeu du NAS.

As-tu mis des choses particulières dans les en-têtes de l'entrée du reverse proxy ?


Et je pense que tu devrais plutôt mettre l'adresse IP de la machine plutôt que localhost dans le reverse proxy.

 

[Vista1967]

Merci!

Version SRM 1.2 (RT1900ac) je viens de corriger IP et tcp/udp

 

[MilesTEG]

Et ça ne fonctionne toujours pas mieux ?
Parce que là moi je sèche...
Je n'ai jamais eu ce genre de comportement...
As-tu activé le HSTS ? Car sur DSM 6.2.x, ça cause des soucis...

Et dernière question : ton nas a rebooté quand pour la denière fois ? Même question pour le routeur.

 

[Vista1967]

Je ne l'ai pas activé HSTS je suis sur version dsm 7.1, je doute du DNS que j'ai installé ou toujours problème de loopback car je suis dans la DMZ et mon modem ne le fait pas, vous avez dû voir sur autre forum où j'ai suivi tuto DNS en Lan.
Selon vous, ces paramètres que j'ai fait sont bons pour Reverse Proxy? J'ai suivi votre tutoriel ici et ce n'était pas difficile, aussi pour le certificat
Après correction IP au lieu de localhost tout est pareil, je peux me connecter via ndd en Wan mais je ne peux pas en Lan, je suis dans la même situation qu'au début de l'aventure.
J'ai installé DNS sur conseils , c'était difficile mais j'ai réussi, je pensais que ça résoudrait le problème loopback, Je ne suis pas déçu parce que j'ai appris quelque chose de nouveau.
Avec votre aide, j'ai installé ADG Home (mais le problème était le même ça pas marcher) et maintenant Reverse Proxy

 

[MilesTEG]

Je ne l'ai pas activé HSTS je suis sur version dsm 7.1, je doute du DNS que j'ai installé ou toujours problème de loopback car je suis dans la DMZ et mon modem ne le fait pas, vous avez dû voir sur autre forum où j'ai suivi tuto DNS en Lan.
Selon vous, ces paramètres que j'ai fait sont bons pour Reverse Proxy? J'ai suivi votre tutoriel ici et ce n'était pas difficile, aussi pour le certificat
Après correction IP au lieu de localhost tout est pareil, je peux me connecter via ndd en Wan mais je ne peux pas en Lan, je suis dans la même situation qu'au début de l'aventure.
J'ai installé DNS sur conseils , c'était difficile mais j'ai réussi, je pensais que ça résoudrait le problème loopback, Je ne suis pas déçu parce que j'ai appris quelque chose de nouveau.
Avec votre aide, j'ai installé ADG Home (mais le problème était le même ça pas marcher) et maintenant Reverse Proxy

Oh ! Je n'avais pas fait le rapprochement avec l'autre forum

Les paramètres que j'ai pu voir me semblent nickel, et la preuve est que depuis l'extérieur, tout fonctionne très bien : Reverse proxy, redirection dans la routeur...

Je pense que le souci vient des serveurs DNS : soit DNS Server, soit Adguard Home.
Pour le premier, je ne me prononcerais pas, je ne maitrise pas du tout.
En revanche, pour AdGuard Home, on peut regarder.
Mais il faut qu'il n'y ait qu'un des deux : soit AdGH, soit DNS Server.

1. AdGH est-il installé avec Docker en bridge ?
2. AdGH fonctionne bien pour la résolution des noms de domaines d'internet ? QU'as-tu mis comme Serveurs DNS upstream ?
3. As-tu mis l'adresse IP du serveur AdGH dans le serveur DHCP du routeur ? (pour que ce soit diffusé automatiquement à tous les périphériques)
4. Et enfin, comment as-tu configuré la réécriture DNS ?

 

[Vista1967]

Je n'utilise pas AdGH, je l'ai testé pendant 2 jours mais ça n'a pas functione aussi réécriture DNS pu parce que mon ndd NO-IP ne me permet pas de mettre le numéro de porte. Je ne pense pas qu'il était en bridge, quelle est la différence avec Docker Host?
C'est pourquoi j'ai suivi vos conseils pour ndd Synology.me avec certificat wildcard R3 si j'ai bien tout compris.

 

[MilesTEG]

Si tu as pu installer en host, c'est mieux pour le serveur DNS Adguard Home.
Mais comme tu passes par le paquet DNS Server, faut voir sur l'autre forum dans le fil du paquet pour de l'aide, moi je ne sais pas m'en servir.

Tu aurais du essayer ton nom de domaine synology avec Adguard Home.

 

[PrenomNom]

Bonsoir bonsoir,
Merci beaucoup pour ce tuto !
J'ai en revanche du mal à finaliser les choses. J'ai essayé de configurer un reverse proxy avec un nom de domaine Syno pour accéder à quelques applications de l'extérieur. J'y accède bien en local mais je n'arrive pas à me connecter à partir d'ailleurs.

Ci-joint des captures d'écran de ma configuration, si quelqu'un veut bien voir ce qui pourrait clocher

Par ailleurs, si je choisi "HTTP" comme protocole de destination du reverse proxy, je tombe en local sur une erreur 400 Bad Request.

Un grand merci d'avance pour celui qui saura me tirer une fière chandelle du pied !

 

[Vista1967]

Bonsoir @prenomnom1211, je ne suis pas un expert mais j'ai résolu un problème similaire, sur conseil de membre sur un autre forum je désactive HSTSi
Voici son conseil:

HSTS est une option pas du tout recommandée car c'est le navigateur qui enregistre cette information pour le site visité et il ne laissera plus passer autrement qu'en HTTPS, même si ce dernier est coupé (HSTS coché puis décoché).
Donc pour un particulier, le HSTS est plus une source de problème qu'autre chose ...
Seule solution pour supprimer l’information HSTS du navigateur, il faut vider le cache HSTS du navigateur, pour réaliser cela :

1. Avec Firefox, fermez tous les onglets
2. Ouvrir le menu de Firefox et cliquer sur Historique / Afficher l’historique.
3. Rechercher la page dont vous voulez supprimer les préférences HSTS
4. Effectuer un clic droit sur une des entrées lui correspondant
5. Choisir Oublier ce site

Moi je fait effacer tout historique de Firefox pour être sur et maintenant ça fonction

 

[PrenomNom]

Bonsoir @Vista1967, merci pour ta réponse !

Cela ne change malheureusement rien, j'ai toujours une erreur "DNS_PROBE_FINISHED_NXDOMAIN" à partir d'un Chrome distant.

 

[MilesTEG]

J'y accède bien en local mais je n'arrive pas à me connecter à partir d'ailleurs.

Bonsoir,
Là tu parles bien d'un accès depuis l'extérieur du réseau local, comme par exemple en 4G ?

Ensuite, je pense qu'il faudrait plutôt configurer le reverse proxy pour les services avec une connexion HTTP pour la partie interne au réseau local. Surtout quand c'est sur le NAS lui-même.


Si ça n'aide pas, enlever le HSTS de la configuration de l'entrée du reverse proxy. Car si on tape le ndd avec http, comme il n'y a pas de redirection, on aboutira sur rien.

PS : je conseille toujours de changer les ports par défaut... donc ne pas utiliser les ports 5000 et 5001 etc


Dernière chose : je crois que l'IPv6 ne fait pas bien bon ménage...
Dans la configuration de la box pour le transfert de port, il faudrait essayer de mettre une IPv4.
Et enfin, as-tu une IPv4 Full Stack chez SFR ? Car si tu n'en as pas fait la demande, ton IPv4 est partagée avec d'autres personnes, et donc tu n'as qu'une toute petite partie des ports... Auquel cas, demande une IPv4 full Stack.

 

[PrenomNom]

Là tu parles bien d'un accès depuis l'extérieur du réseau local, comme par exemple en 4G ?

Tout à fait !

Ensuite, je pense qu'il faudrait plutôt configurer le reverse proxy pour les services avec une connexion HTTP pour la partie interne au réseau local. Surtout quand c'est sur le NAS lui-même.

Un VPN serait plus adapté ? Je me penche aussi sur la question, mais j'aimerais bien faire marcher le reverse proxy, pour ma gouverne personnelle.

PS : je conseille toujours de changer les ports par défaut... donc ne pas utiliser les ports 5000 et 5001 etc

Je l'ai fait, je les ai remis par défaut pour les captures d'écrans

Dernière chose : je crois que l'IPv6 ne fait pas bien bon ménage...

C'est bien ce qui me semble... Ce n'est pas possible en IPv6 ?

Et enfin, as-tu une IPv4 Full Stack chez SFR ? Car si tu n'en as pas fait la demande, ton IPv4 est partagée avec d'autres personnes, et donc tu n'as qu'une toute petite partie des ports... Auquel cas, demande une IPv4 full Stack.

Il faut que je vérifie. Je pensais que oui, mais maintenant j'ai un doute.
(Edit: Malheureusement je suis en IPv4 partagée...)

 

[MilesTEG]

Il faut que je vérifie. Je pensais que oui, mais maintenant j'ai un doute.
(Edit: Malheureusement je suis en IPv4 partagée...)

Le soucis que tu rencontres doit certainement venir de là.
Laisse les ipv6 mais cherche à avoir une ipv4 full stack et retente apres

 

[PrenomNom]

Petit retex après quelques jours :

- SFR m'a donné une IPv4 full stack
En prenant des conseils sur différents forums, je n'ai eu qu'à écrire dans le chat technique de SFR (avec en gras les mots clés à mettre pour déclencher une action de leur part dans leur arbre de décision) : "Bonjour, J'ai un modem en FFTH configuré en IPv4 CGNAT + IPv6. Pour accéder à mon réseau local depuis l'extérieur, je souhaiterais un IPv4 rollback pour avoir une IPv4 full stack. Un ami qui a eu le même problème me disait qu'en contactant la cellule expertise vous pourriez faire la reconfiguration à distance." J'ai été rappelé par un technicien qui a suivi le dossier jusqu'à ce que tout soit fonctionnel, sans poser de questions.

- Le reverse proxy marche très bien de n'importe quel PC distant, je suis heureux de savoir le faire et de voir que ça marche !

- Seulement les différents alias (ex : file.ndd.synology.fr) ne sont pas accessibles à partir de mon smartphone connecté en 4G, alors que tout fonctionne bien en Wifi... Quelqu'un aurait-il une idée du pourquoi ?

 

[Neo974]

- Seulement les différents alias (ex : file.ndd.synology.fr) ne sont pas accessibles à partir de mon smartphone connecté en 4G, alors que tout fonctionne bien en Wifi... Quelqu'un aurait-il une idée du pourquoi ?

Tu utilises les applications mobiles ?

Quand tu es en WiFi, tu es chez toi ou aussi à l'extérieur.?

 

[MilesTEG]

- Seulement les différents alias (ex : file.ndd.synology.fr) ne sont pas accessibles à partir de mon smartphone connecté en 4G, alors que tout fonctionne bien en Wifi... Quelqu'un aurait-il une idée du pourquoi ?

Précises-tu les ports de connexion :443 après le nom de domaine ?
Car pour les applications Synology, si tu n'utilises pas le port par défaut des applications sur DSM, il faut alors préciser le port. C'est assez con... mais c'est comme ça

 

[Vista1967]

Je confirme j'ai eu le même problème avec file.ndd.synology.me depuis iPhone aplication mobile.
Par contre DS Cam,Drive et Photo je peux me connecter via drive.xxx.ndd.synology.me sans mettre la porte 443, cependant pour File Station doit être indiqué,
file.xxx.ndd.synology.me:443.

 

[PrenomNom]

Merci pour vos réponses !

Tu utilises les applications mobiles ?

Quand tu es en WiFi, tu es chez toi ou aussi à l'extérieur.?

J'essaie pour l'instant de me connecter via le navigateur de mon téléphone (Chrome ou Opéra).
J'ai essayé en WiFi chez moi et à l'extérieur ; tout marche sans soucis. Mais pas en 4G.

Précises-tu les ports de connexion :443 après le nom de domaine ?
Car pour les applications Synology, si tu n'utilises pas le port par défaut des applications sur DSM, il faut alors préciser le port. C'est assez con... mais c'est comme ça

J'ai essayé de préciser le port :443 dans Chrome ou Opéra, sans résultats...