Bonjour

Comme beaucoup d'autres je me suis (ré)intéressé à la sécurisation de mon NAS Synology voyant les mutiplies tentatives de connexion récentes (mais heureusement sans succès).

J'avais ouvert les ports vers les différentes applications (notamment DSM) mais avec authentification 2FA, tentative de mettre la connexion en HTTPS (imparfaite, problème non résolu avec le certificat Let's Encrypt pour les sous domaines), blocage d'IP après quelques tentatives infructueuses etc mais ce n'était pas terrible.

Premier constat: je n'étais plus à jour de la version DSM (NAS DS 916+, les mises à jour disponibles n'apparaissent plus dans DSM ce qui est bien fâcheux et j'avais oublié ce dernier point). La correction est faite, me voici en v7.4 (mais ayant sans doute perdu au passage quelques applications comme video je crains).

Après quelques longues heures mais grâce aux tutos ici (merci mille fois aux contributeurs) j'ai donc pu mettre en règle un accès (sans VPN) avec un HTTPS et un certificat qui est bien reconnu (au passage j'ai du changé de nom de domaine pour y arriver)

• Pare feu activé avec tout autorisé sur les IP internes et port 80, 443 ouverts sur des IP géographiques (meme si loin d'être parfait)

• Reverse proxy pour les applications que je voulais pouvoir accéder (port https 443 à l'entrée, redirection vers le port https des applications comme drive, file station, photo et meme DSM, activation conversion HTTPS obligatoire)

• Routeur aussi avec le NAT/PAT des ports 80 et 443 mais plus les ports des services applications (utilisant le reverse proxy maintenant)

Cela fonctionne bien et je suis bien proprement en HTTPS (plus de message d'alerte m'indiquant que le site n'est pas sécurisé).

J'ai ensuite voulu m'essayer à la mise en place ces VPN. J'ai finalement mis un peu de temps à comprendre que le VPN n'allait pas "sécuriser" les accès aux sous domaines définis dans le reverse proxy mais allaient simplement créer un tunnel vers le réseau local et un accès au NAS comme si j'étais sur le réseau local).

Deux solutions "trouvées et testées"

• VPN mis en place via la Freebox : solution Wireguard, simple à mettre en oeuvre, accès donné à des appareils identifiés (ex son laptop, son téléphone) donc a priori très restreint tant qu'on n'a pas le fichier de configuration en question. installation du client Wireguard sur ordinateur portable, tablette ou téléphone et on est ensuite "comme à la maison". Inconvénient en revanche cela donne accès à tout ce qui est sur le réseau local, même si on ne voulait pas y donner accès.

• VPN mis en place via le NAS Synology avec OpenVPN (je n'ai pas essayé la seconde solution). lancement du serveur VPN, création d'un user "VPN" qui n'a accès à aucun disque mais uniquement à la ressource VPN, customisation rapide (nom de domaine) du fichier de config et installation ensuite sur les clients Avantage par rapport au VPN de la Freebox est qu'on peut limiter l'accès au serveur VPN et ne pas donner accès à tout le réseau local.

Au final j'arrive donc avec ces trois solutions avec quelques différences entre elles et m'interrogeait sur le meilleur choix à retenir

• Accès sans VPN mais avec juste le port HTTPS ouvert et des reverses proxy (nom personnalisé mais simple à retenir)

• Accès avec le VPN de la Freebox, dédié à quelques appareils, simple à configurer mais ouvrant sur tout le réseau local

• Accès avec le VPN du NAS, un peu plus complexe à mettre en oeuvre mais davantage personnalisable, accès limité au NAS si c'est le but recherché.

je suis preneur de vos conseils sur ces stratégies (voire combinaison de stratégies en mixant VPN pour l'accès au DSM et les reverses proxy pour les applications/services classiques comme Drive, File Station etc ?

Modifié il y a 1 heure1 h par EmmanuelB

Bonjour,

Pour moi la combinaison que tu évoques à la fin est la bonne : DSM uniquement via VPN, et le reverse proxy seulement pour les applis que tu dois ouvrir à des personnes ou des appareils sans VPN (Photos pour la famille, liens de partage Drive ou File Station...). DSM, c'est l'interface d'administration, et c'est elle qui est visée par les tentatives actuelles, donc je retirerais son entrée du reverse proxy. Si tu as de toute façon le VPN sur ton téléphone et ton portable, tu peux même tout passer par le VPN et ne garder le 443 que pour les partages.

Entre les deux VPN, je prendrais WireGuard sur la Freebox : plus rapide et plus léger qu'OpenVPN sur un DS916+, et il reste joignable même si le NAS est planté. L'accès à tout le réseau local n'est un vrai risque que si un appareil configuré est perdu ou volé, et dans ce cas tu supprimes simplement sa config sur la Freebox. Le VPN du NAS a l'avantage de limiter l'accès au NAS seul (l'option qui autorise les clients à accéder au LAN du serveur, à décocher), c'est surtout utile si tu donnes un accès à quelqu'un d'autre que toi.

Deux détails pratiques :

• Avec le VPN Freebox, les clients arrivent avec une IP du sous-réseau WireGuard (visible dans la config du serveur VPN de la Freebox), pas en 192.168.1.x. Ajoute ce sous-réseau dans les règles autorisées du pare-feu DSM, sinon tu risques de te bloquer toi-même.

• Le port 80 sert au renouvellement du certificat Let's Encrypt par DSM, tu peux le laisser ouvert tant qu'aucun service n'est exposé derrière.