Synology [Tuto] Ouvrir l'accès des applications du NAS Synology à Internet (accès externe)

[Invité]

les port sonts ouvert vers le nas sur le routeur ?

dans mon cas, c'est le 8675 à mettre vers le nas

 

[marjomax]

Je viens d'ajouter çà pour tester. C'est çà ?
Du coup ca marche mais qu'en http sans le s

 

[Invité]

chaque port ouvert en http ou https sur le portail des applications doivent être ouvert suèr le routeur

par exemple, a gauche sur l'image, le portail des application du nas et à droite, la config des ports sur la livebox

 

[marjomax]

Ok, je comprends le principe.
Mais y'a pas moyen de faire la même chose mais globalement et pas par application ??

 

[Invité]

oui, en ouvrant le port 5001 en https, mais là tu ouvre l’Accès total au nas, et perso, donner l'acces aux comptes utilisateurs et l'acces écriture, lecture avec seulement pseudo et mot de passe alors que l'on fini top ,ou tard par utiliser les même pseudo et les mot de passe pour tout, je ne suis pas d'avis à conseiller ce genre de config

https://www.forum-nas.fr/viewtopic.php?f=56&t=11448

 

[marjomax]

Oui bien sur, d'accord avec toi.
Oui ce topic m'a aidé.
Mais justement s'il y a un VPN, cela ne permet pas justement çà ??
(je cherche juste à comprendre...)

 

[Invité]

oui, le vpn donne accès à tout, mais imaginons que ton enfant passe la journée chez un copain pour faire un exposé, il n'a pas pris son portable puisque l'exposé se fait sur le sien, il n'a pas de VPN puisqu'il utilise le pc du copain, et bien avec les appli, il a accès aux ressource du nas.

Imaginons que ton enfant veule faire une soiré cinema chez un copain, avec video station, il pourra le faire de chez son copain sans contrainte.

Perso, les docs genre factures, impots, ect..., je ne donne pas acces depuis internet sans passer par le vpn, donc pas d'acces à dsfile, j'ai un compte pour les acces normaux et un compte admin que je n'utilise que en vpn et à la maison ou dans l'entreprise, au cas par exemple si je veux donner acces au nas à un individu et l'acces vpn doit passer automatiquement par mon téléphone portable et je pourrait partager la connxion si besoin par le portable en wifi ou usb.

donc pour avoir acces aux données sensibles ou aux parametres utilisateurs, j'utilise le vpn avec un compte admin et le reste par les applications avec un compte utilisateur lambda qui ne pourra pas avoir acces aux utilisateurs, ni aux dossiers sensible.

sinon, petite lectures sur sniffer le réseau

Les parades
Il existe plusieurs façons de se prémunir des désagréments que pourrait
provoquer l'utilisation d'un sniffer sur votre réseau :

Utiliser des protocoles chiffrés pour toutes les communications dont le contenu possède
un niveau de confidentialité élevé.
Segmenter le réseau afin de limiter la diffusion des informations. Il est notamment recommandé

de préférer l'utilisation de switchs (commutateurs) à celle des hubs (concentrateurs) car ils commutent les communications, c'est-à-dire que les informations sont délivrées uniquement aux machines destinataires.
Utiliser un détecteur de sniffer. Il s'agit d'un outil sondant le réseau à la recherche dematériels utilisant le mode promiscuous.
Pour les réseaux sans fils il est conseillé de réduire la puissance des matériels

de telle façon à ne couvrir que la surface nécessaire. Cela n'empêche pas les éventuels pirates d'écouter le réseau mais réduit le périmètre géographique dans lequel ils ont la possibilité de le faire.

Mais après, pour un utilisateur lambda, le vpn est recommadé mais pas toujours possible, car imaginons qu'il y est besoin de faire un Streaming d'un film de 100 Go comme j'ai lu sur ce forum, j'ai du mal à croire qu'un personne utilise tout son forfait pour un film (à condition qu'il en ait assez.

Bref, il faut utiliser les deux, vpn et application, mais avec des utilisateur différents et ce n'est pas parce que le https crypte les données qu'ils sont inaccessible, voir le hacking du wifi crypté en wpa dont des programmes principalement linux traînent encore.

et j'éviterais de donner accès en vpn à mon enfant, car le réseau ethernet entier serait ouvert depuis l'extérieur.

 

[Invité]

sans compter qu'en connection vpn, configuré par défaut, si la personne veut aller sur internet, il passe par le nas :lol:

portable en vpn --> 4G --> routeur maison -> nas maison --> routeur maison --> site internet

et puis l'avatage de passer par l'appli audio station sans passer par l"aaces dsm par défault, c'est que lon atterie directement dessus

 

[marjomax]

D'accord, je comprends.
Pour ma part j'ai un compte admin qui n'a accès à aucun dossiers et aucunes applications, et le compte admin par défaut désactivé.
Et de l'autre des utilisateurs simples....
Donc déjà cela réduit les risques

 

[Invité]

perso, si j'ai un dossier facture, impots ect..., je ferais l'aaces à 2 comptes différents, un compte type admin qui gère tout le nas avec ces repertoires compris (impots, ect...) et utilisateur que je peut utiliser en vpn (mais avec mon vpn par exemple de mon télléphone portable) et un compte qui à acces aux applis et tous les dossiers sauf les dossiers senssinble (impots, ectt...)

 

[Invité]

Pour ma part j'ai un compte admin qui n'a accès à aucun dossiers et aucunes applications, et le compte admin par défaut désactivé.

d'une part, cela ne sert à rien du'uyiliser un compte admin qur pour manipuler que les utilisateur car si je suis un pirate, il me suffit de créer un compte admin avec ce compte admin pour me donner acces aux dossiers

et par définition, le compte admin est un group dont ton pseudo lors de la création du nas appartient.

on evite de configurer un utilisateur, mais on configure un group et on insert l'utilisateur dans ce group pour qu'il ait acces aux fonction de ce group

edit : voici un scan réseau pour ceux qui sont en vpn avec un téléphone, donc à ne pas laisser dans les mains de tout le monde

 

[marjomax]

Oui donc tu me conseilles de créer mes comptes utilisateurs dans le groupe utilisateur configuré. Et ils auront tous la même chose, plutot que de le faire un par un. Oui j'aime bien cette idée. J'avais plutot lu le contraire sur un autre forum.