[Resolu] Erreur Reseau Apr

[kenji]

bonjour

depuis la mise à jour en dsm 4^.0 je rencontre pas mal d'erreur réseau :

- impossible de résoudre l'adresse externe

- failed to resolve host (test envoi email)

- cloud impossible

- Erreur réseau,vérifiez votre DSN et votre paramètres réseau

etc...

par contre cela marche en ftp et afp

j'ai bien accès au dossier partagés depuis l'explorateur.

l'accès au dsm depuis chrome fonctionne bien mais les services interne sont la plupart hs

et ceci sur ds1010 et ds1511

j'ai redémarrer les syno mais rien n'y fait

en dsm 4.0 beta aucun problème de ce type, pas de changement dans le routeur de fait depuis la mise à jour

merci

KEnji

Modifié le 19 mars 2012 par kenji

[Aikanaro]

Bonjour,

J'ai eu pas mal de problème aussi suite à l'installation mais c'était à case du firewall.

As tu essayé de le désactiver pour faire un test.

Avant je refusais tout par défaut et n'acceptais que ce que je cochais. J'ai du faire l'inverse, tout accepter et cocher ce que je voulais bloquer.

Même si j'ai autoriser les même chose, le serveur VPN fonctionne maintenant et ne fonctionnait plus avant.

Par contre le "centre de paquets" n'arrive toujour pas à se connecter, peut être surcharger avec la mise à jour.

[Bim]

Je confirme j'ai eu le même problème sur mon DS1511+ et en désactivant le firewall, le problème ne s'est plus posé. C'est un bug pensez-vous ?

[kenji]

c'est bien le firewall qui bloque en effet les services

en le désactivant tout fonctionne normalement

dans la beta je n'avais pas ce problème,je pense à un bug

[Aikanaro]

Ca fonctionne avec le firewall mais en acceptant tout de base puis en bloquant.

C'est comme si l'ouverture de port ne fonctionnait pas pour tous.

Bon j'aime pas trop ça mais c'est mieux que rien en attendant une autre solution. Sinon pour le serveur VPN, j'ai du désinstaller completement le package et recommencer la config sinon même sans firewall ça ne passait plus.

[dbzzzde]

Bonjour,

Pour ma part j'ai aussi plusieurs bug depuis le passage de la beta a la final.

Comme vous le bug avec le pare-feu mais j'ai aussi mailstation qui veut plus recevoir les mail d'un adresse externe.

[dbzzzde]

Bon après avoir réinstaller mailstation et relancer le service, je reçois de nouveau les mail.

Il me reste plus que le bug de pare-feu.

[Aikanaro]

Pourvu qu'ils soient réactifs pour nous sortir un correctif, c'est quand même assez embetant point de vue sécurité ce bug.

[kt1]

même problème ça m'embete de revoir mes règle de fw

[CoolRaoul]

m

[Einsteinium]

Cool Raoul en gros ta solution reviens à avoir la liste d'origine de règle + refuser accès par défaut.

J'ai le même soucis pour ma part...

Donc en attendant j'ai fais une nouvelle règle à la fin, j'ai coché tous les ports de la liste des application en refuser et j'ai mis en Autoriser l'accès en attendant. (une pseudo rustine temporaire...)

J'ai l'impression que le problème est tout bête... le blocage ce fait dans les 2 sens au lieu de l'être quand entrant.......

Modifié le 6 mars 2012 par Einsteinium

[kt1]

@CoolRaoul : Oui mais je préfère appliquer les politiques de sécurité (rien par défaut et on ouvre ce que l'on désire)

@Einsteinium : C'est une solution mais elle doit être temporaire, synology doit réagir vite!!

[Mittel]

même souci pour moi aussi

[Mittel]

d'ailleurs ça a l'air aussi d'affecté le package center. Si je ne désactive pas le firewall je ne peux rien télécharger.

[DjMomo]

rien par défaut et on ouvre ce que l'on désire

Ça ne marchera pas car pour un meme port, quand une règle ACCEPT existe avec une règle DENY, c'est le DENY qui est retenu.

Dans ton cas, tu refuses tout puis accepte uniquement ce que tu veux. Vu que le DENY est prioritaire sur l'ACCEPT et que tu mets un DENY sur tous les ports par défaut, aucun port ne sera ouvert, même si tu mets une règle ACCEPT par la suite...

Il faut ouvrir ce que tu veux, puis refuser tout le reste.

[kt1]

Ce que je voulais dire c'est que j'ai fait des règles autoriser, et par défaut la case refuser est cocher en bas pour tout le reste

[CoolRaoul]

Ça ne marchera pas car pour un meme port, quand une règle ACCEPT existe avec une règle DENY, c'est le DENY qui est retenu.

Je pensais plutôt qu'il faut surtout tenir compte de l'ordre des règles (de haut en bas).

La première qui "matche" est appliquée. Si c'est un "accept" le flux est autorisé même si il y a un "deny" un peu plus bas.

D'ailleurs c'est confirmé par l'aide en ligne:

Les règles sont hiérarchisées selon leur position dans la liste.

Modifié le 7 mars 2012 par CoolRaoul

[loli71]

d'ailleurs ça a l'air aussi d'affecté le package center. Si je ne désactive pas le firewall je ne peux rien télécharger.

salut, j'ai exactement le même problème que tout le monde, il semblerait effectivement que le Firewall bloque entre autre les flux sortant (comme les requêts DNS) lorsqu'il est en mode "Si aucune règle n'est remplie: refuser l'accès", ce qui n'est pas normal pour les flux sortants ....

contenu du ficheir /var/log/messages :

Mar  6 22:40:14 PkgSynoMan.cgi: pkgtool.cpp:2842 http://update.synology.com/packageupdate/getpackages.php, Failed to curl perform, code=6, err=Couldn't resolve host name

Modifié le 7 mars 2012 par loli71

[kt1]

oui un bug limite inadmissible... à moins que le système ai changé et que l'on doivent inversé les règles...

[CoolRaoul]

oui un bug limite inadmissible... à moins que le système ai changé et que l'on doivent inversé les règles...

Et que dit l'aide en ligne de la V4.0 sur ce point?

[CoolRaoul]

Une solution de contournement à ce problème a été proposée dans le forum synology :

(ref: http://forum.synolog...tart=15#p183555)

Mettre ceci dans /etc/rc.local:

iptables -D INPUT -i eth0 -j DROP

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -i eth0 -j DROP

[Vosch]

Je me sens moins seul aussi

Un élément bizarre peut-être lié, c'est que quand vous allez vérifier la version de la mise à jour installée, il est bien noté que c'est la 2197, mais elle datée du 03/03 !? Auraient-ils uploadé une mauvaise version du DSM sur leurs serveurs au moment de notre mise à jour ? Parce que j'ai quand meme du mal à croire à un bug aussi grossier :s

A vérifier avec ceux qui ne souffrent pas de ce bug...

[kt1]

J'ai trouvé une alternative sans modifié les iptables, en effet on peut laisser à Refuser par défaut mais dans ce cas il faut ajouter deux règles minimum pour les port et 2842, mais en port source pour autoriser le NAS à se connecter à internet et aux services synology (cloud, packages, etc...). Ca fonctionne parfaitement et au pire je peux le laisser comme ça même si Synology corrige le DSM je serai corrigé pour toutes les futures versions

Deux dernières lignes dans ma configuration :

Modifié le 7 mars 2012 par kt1

[CoolRaoul]

Autre solution plus simple, avec une seule règle à ajouter.

(Déjà vue ici me semble-t-il est et confirmée dans le forum syno)

Ajouter en fin de liste une règle de type "refuser" mais au lieu de cocher "tous" dans la rubrique "ports", aller dans "sélectionner" et tout cocher seulement à cet endroit.

et mettre "autoriser acces" dans "si aucune règle ..."

[loli71]

J'ai trouvé une alternative sans modifié les iptables, en effet on peut laisser à Refuser par défaut mais dans ce cas il faut ajouter deux règles minimum pour les port et 2842, mais en port source pour autoriser le NAS à se connecter à internet et aux services synology (cloud, packages, etc...). Ca fonctionne parfaitement et au pire je peux le laisser comme ça même si Synology corrige le DSM je serai corrigé pour toutes les futures versions

Deux dernières lignes dans ma configuration :

Ta solution n'arrange pas tous les problème, par exemple le problème des requêts DNS que to synology fait à ton routeur pour la résolution des hostname (port 53 UDP/TCP), la réponse du routeur n'est pas acceptée par le firewall du syno avec le bug de la 4.0.

Et ca ne doit pas être la seule chose qui soit bloquée ...

iptables -I INPUT 1 -m state --state ESTABLISHED,RELATED -j ACCEPT

Car la ligne qu'il manque dans l'Iptable signifie simplement que le synology doit accepter toutes les réponses aux requêtes que le syno a initialisé lui même

Modifié le 7 mars 2012 par loli71