Asustor Petit coup de gueule sur l'ADM5

[marcus54]

Aujourd'hui j'ai essayé de faire un petit check de sécurité sur mon NAS.
Je me suis aperçu que dans l'UPNP de ma box j'avais beaucoup de ports ouvert.



Même en fermant ou désactivant les applications dans l'ADM, comme
Tailscale, MiniDLNA, et ez-connect les ports restaient ouvert.
Les ports VPN, c'est tous les ports que je n'utilise pas. OpenVPN PPTP, L2TP le seul que j'utilise WireGuard c'est moi qui l'ai ajouté à la main dans le NAT.
C'est assez incompréhensible.

Si on prend par exemple le SFTP,


je vais dans les paramètres, je le désactive, et pourtant il est toujours activé.... Pourquoi ?

Parce que dans SSH, il y a un deuxième interrupteur qui permet de l'activer. Ce qui veut dire que pour une même fonction, on a plusieurs interrupteurs dans le ADM5 qui permettent d'activer ou désactiver et ils ne sont pas coordonnés, c'est vraiment particulier !

Le dernier truc qui me fait pousser ce petit coup de gueule, c'est le firewall.
Si vous allez le firewall pour éditer les règles, vous avez une fenêtre minuscule qu'on ne peut pas redimensionner, c'est minable.

 

[morgyann]

Bonjour,

Je me suis aperçu que dans l'UPNP de ma box j'avais beaucoup de ports ouvert.

Pourquoi ne désactives-tu pas l'UPnP de ta Box et ouvrir uniquement les ports dont tu as besoin ?

 

[marcus54]

Pourquoi ?
Parce que je ne connais pas tous les ports de tous les équipements réseau qui peuvent ouvrir un port pour faire quelque chose.
Donc ça me paraît un petit peu risqué de le désactiver purement simplement.

Mais le vrai problème n'est pas là, c'est pourquoi des ports de l'UPNP restent ouverts sur des VPN par exemple qui ne sont pas utilisés... C'est ça la vraie question qu'on peut se poser.

 

[morgyann]

'est pourquoi des ports de l'UPNP

Le principe de l'UPnP c'est d'ouvrir automatiquement les ports à la demande des logiciels de tes matériels. Ce qui, en termes de sécurité réseau, est fortement déconseillé.

ports de l'UPNP restent ouverts

Quand un port est ouvert manuellement ou via l'UPnP, il reste ouvert tant que tu ne le refermes pas.

je ne connais pas tous les ports de tous les équipements réseau qui peuvent ouvrir un port pour faire quelque chose.

Sur la plupart des NAS commerciaux (je ne connais que Syno) — quand tu fais une config réseau en automatique – celui-ci opère l'ouverture des ports susceptibles d'être utilisés.
Perso, (comme une grande partie des utilisateurs ici) seul le port 443 est ouvert à l'externe sur ma Box (l'UPnP n'existe pas sur mon modèle).
Il s'agit des ports que tu ouvres à l'externe (ouverts sur internet).

 

[marcus54]

Oui, je pense que je vais tenter de désactiver l'UPNP de la box et laisser tourner pendant 24 à 48 heures pour voir si je rencontre des dysfonctionnements.

En espérant ne pas avoir de mauvaises surprises que je découvrirais dans un mois, en ayant oublié que j'avais désactivé l'UPNP, mais bon, on va tenter.

 

[morgyann]

pour voir si je rencontre des dysfonctionnements.

Il te faut ouvrir manuellement uniquement les ports qui ont besoin d'une ouverture de l'externe vers l'interne (ex. VPN, Sites/CMS/Apps en HTTPS).

 

[marcus54]

Oui, mais c'est un petit peu facile à dire.
Comment est-ce que tu connais tous les ports qui sont utilisés sur ton réseau ? S'il y a qbitorrent qui est connecté avec Gluetune, est-ce qu'il ouvre également des ports avec l'UPNP ou pas ? Moi je n'en sais rien,

 

[morgyann]

tu connais tous les ports qui sont utilisés sur ton réseau

Oui pour mon Pare-Feu interne (mode local) mais c'est hors sujet.

Concernant ta Box seuls les ports (applications) qui ont besoin d'être consultés de l'externe doivent être ouverts (VPN, CMS ou autres). Les ports qui ne concernent que le réseau local n'ont pas à être ouverts à l'externe.

qbitorrent qui est connecté avec Gluetune

Pour cela, je ne sais pas s'il y a besoin d'ouvrir des ports. Voir avec ceux qui font du "torrenting".

 

[Neo974]

Hello,

Je rejoins ce qui est dis plus haut.

L’UPNP est une hérésie niveau sécurité, de mon côté il n’était pas activé par défaut sur ma box et je ne l’activerais jamais.

Par défaut le pare-feu de ta box autorise tout le trafic sortant et devrait bloquer le trafic entrant sauf sur les ports que tu autorises.

Logiquement c’est suffisant pour 90% des utilisations et pour environ 99% des utilisateurs lambdas.

Après si tu veux rendre ton NAS et autres accessibles depuis l’extérieur a toi de fixer un port et de l’ajouter dans ta box.


Puis qui te dit que ces ports n’ont pas été ouvert avant que tu désactives les services correspondant ?
uPNP c’est ouvrir des ports mais de ce que j’ai toujours vu ne supprime jamais les règles qu’il crée.

 

[Dami1]

a) Redirections de ports via UPnP (idem que les autres je ne conseille pas l'UPnP)
Si tu désactives EZ-Routeur et que ta box est compatible UPnP, les règles de redirection de ports créées automatiquement par EZ-Routeur devraient être supprimées de la box. À défaut, comme indiqué plus haut, tu peux également désactiver directement l'UPnP sur ta box afin d'empêcher toute création automatique de nouvelles règles. Si tous ces ports sont actuellement ouverts, c'est parce qu'ils ont été créés via EZ-Routeur dans ADM (ou qu'ils n'ont pas été décochés lors de la configuration). En revanche, le fait de désactiver une application ne supprime pas automatiquement les redirections de ports. C'est le fonctionnement normal et ce n'est pas propre à ADM : à ma connaissance, aucun système d'exploitation ne retire automatiquement les règles NAT/UPnP lorsqu'une application est arrêtée ou désinstallée. Il ne s'agit donc pas d'une anomalie.

b) SFTP.
Les deux permettent d'utiliser SFTP, mais ils ne fonctionnent pas de la même manière.
Services → SFTP active le serveur SFTP dédié d'ADM, avec son propre port configurable. Il est destiné aux utilisateurs qui souhaitent uniquement offrir un accès SFTP aux dossiers partagés.
Services → Terminal → SSH active le SFTP via le serveur SSH (OpenSSH). Dans ce cas, SFTP utilise le même port que SSH et permet également les connexions en ligne de commande. C'est + le fonctionnement Linux si je puis dire.

c) Pare-feu
La fenêtre est petite par défaut mais peut être étirée à la main (si te mets dans un angle tu peux étirer en largeur longueur etc) ou être agrandie par un clic sur le bouton vert

Dans la sous-section que tu montres tu as un "ascenseur" et tu peux agrandir la largeur des colonnes aussi en te positionnant entre 2 colonnes

 

[marcus54]

salut Damien
a) Eh bien, j'ai découvert EZ Router et je l'ai désactivé sur le NAS. C'est peut-être mieux comme ça et je vais surveiller un petit peu à l'avenir.

b) Oui, sans doute ; néanmoins, ce n'est quand même pas très intuitif.

c) Là, je ne suis pas d'accord avec toi, la fenêtre ne peut pas être redimensionnée. Certes, il y a un petit ascenseur pour naviguer dans les quatre lignes affichées sur les vingt, et on peut effectivement bouger les colonnes, néanmoins l'espace horizontal reste le même, ce qui fait que cela reste vraiment peu ergonomique.