Synology WireGuard

[marcus54]

Bonjour,
Je galère depuis quelques jours à installer Wireguard sur mon NAS DS 124. DSM7.2.2
Le paquet WireGuard-rtd1619b-1.0.20220627.spk et installé.
Il est noté en cours d'exécution.

J'ai été utilisé docker pour gérer l'interface d'administration avec wg-easy:15
Elle semble fonctionnelle, je peux m'y connecter, néanmoins lorsque je demande de créer un compte, j'ai un message erreur serveur.


C'est comme si la partie docker ne communiquait pas avec le service wireguard.
Conclusion je n'arrive pas à le faire fonctionner

J'ai essayé différentes configurations, j'ai toujours un problème
Pour info, en 10 Min, j'ai installé sur un Raspberry PI une version de Wireguard qui fonctionne nickel avec mes périphériques, mais je préférerais pouvoir l'installer sur le NAS qui est la meilleure option pour moi.

Avez-vous une idée du problème ? Je vous remercie par avance.

le YAML

volumes:
  etc_wireguard:

services:
  wg-easy:
    #environment:
    #  Optional:
    #  - PORT=51821
    #  - HOST=0.0.0.0
    #  - INSECURE=false

    image: ghcr.io/wg-easy/wg-easy:15
    container_name: wg-easy
    networks:
      wg:
        ipv4_address: 10.42.42.42
        ipv6_address: fdcc:ad94:bacf:61a3::2a
    volumes:
      - etc_wireguard:/etc/wireguard
      - /lib/modules:/lib/modules:ro
    ports:
      - "51826:51826/udp"
      - "51821:51821/tcp"
    restart: unless-stopped
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
      # - NET_RAW # ⚠️ Uncomment if using Podman
    sysctls:
      - net.ipv4.ip_forward=1
      - net.ipv4.conf.all.src_valid_mark=1
      - net.ipv6.conf.all.disable_ipv6=0
      - net.ipv6.conf.all.forwarding=1
      - net.ipv6.conf.default.forwarding=1

networks:
  wg:
    driver: bridge
    enable_ipv6: true
    ipam:
      driver: default
      config:
        - subnet: 10.42.42.0/24
        - subnet: fdcc:ad94:bacf:61a3::/64

 

[MilesTEG]

@marcus54
Salut
Je n’ai jamais réussi à faire fonctionner un serveur WireGuard sur mon 920+.
J’espère que tu y arriveras mais j’ai peur que ce soit peine perdue…
En tout cas moi j’ai changé de routeur pour avoir un serveur WireGuard dessus.

 

[PackTu]

Hello,

Il y a un Tuto, avec toutes les étapes à suivre. Je n’ai pas testé. À voir si cela fonctionne.

 

[marcus54]

Le tuto proposé par @PackTu je viens de le testé, j'avais déjà essayé une version similaire.
Il donne l'impression que tout fonctionne.
J'ai accès à l'interface de configuration qui me permet de générer un tunnel. Sauf que lorsque je Flash le QR code les données ne sont pas cohérentes dans ma configuration.
J'ai demandé un port en 51826 et le QR code paramètre le tunnel en 51820....
Oui, j'ai déjà essayé de mettre en 51820 pour voir si ça passait quand même... et ça ne passe pas

 

[R76]

Peut-être que ton problème est côté client, tu n'as pas précisé comment tu procède. Quel client utilise-tu ? As-tu essayer celui de Tunsafe ? Le HandShake ne s'active pas ?

 

[marcus54]

Pour le client, je suis sur Android avec la version de WireGuard version 1.0.20250531.
Elle fonctionne bien, puisque je peux la tester et la comparer avec le serveur WireGuard qui tourne sur un Raspberry PI.
Le paramétrage sur l'application téléphone est super simple avec le Flash du QR code pour créer le tunnel.
De ce côté-là, il n'y a pas grand-chose à paramétrer.
Le HandShake ne s'active pas. À la connexion l'application envoie des données, mais ne reçoit rien, du côté serveur, aucune activité détectée.

 

[R76]

Connais pas cette appli mais çà ressemble à un mauvais échange de clefs. Tu es sûr que l'appli envoi bien le bon profil, parce que si l'interface est minimaliste....?
Sinon si tu veux surtout un résultat, Tailscale fonctionne bien sur Syno et tu conserve la sécurité et la performance du protocole WG. Les comptes gratuits couvrent beaucoup d'usage.

 

[marcus54]

Là où ça coince, je pense que c'est sur le NAS.
Il y a un service WireGuard qui gère le protocole et le docker s'occupe de faire l'interface web pour une meilleure convivialité sur la création des comptes.
Je pense que ce sont ces 2 parties qui ne communiquent pas correctement l'une avec l'autre.
J'ai testé Tailscale, ça fonctionne bien, mais ça ne me donne pas accès aux autres éléments qui sont sur mon réseau local à la maison. Ce n'est pas un produit qui me convient...

 

[R76]

Mouais, les interfaces sensées aider sont bien gentilles, mais parfois il vaut mieux taper en direct, surtout quand çà coince.
Et désolé de te contredire mais dès lors que tu ouvres sur ton Syno le service "subnet router" sur ton Tailnet tu as accès à toutes les bécanes de ton réseau.
Et cela depuis au moins DSM 6.2.

 

[marcus54]

Tu fais bien de me contredire, tu as toute mon attention,
je vais réinstaller Tailscale... C'est simple à activer le subnet routeur ?

 

[marcus54]

Bon, j'ai testé ça fonctionne.
Mon NAS qui est DS 214, est une bouse !
Lorsque je fais un speed test, les performances ne sont pas extraordinaires. La jauge CPU du NAS monte à 100% durant ce test ce qui limite le débit.
Conclusion, j'arrête mes bêtises avec ces différents trucs sur le NAS et je vais rester avec WireGuard sur le Raspberry PI.

Débit en direct 4G+ chez sosh



Débit avec TailScale au travers du NAS :


Débit avec WireGuard sur Raspberry pi 4 :

 

[R76]

Grosse perte de perf en effet, normalement un VPN impacte forcément mais pas dans de telles proportions.
Y-a un bon moment que j'utilise plus rien sur les Syno (pas fan en fait) je fais tourner en tête de réseau sur pfSense, mais Tailscale est compatible avec pas mal de matos :
• Systèmes d'exploitation
o Windows
o Linux
o MacOS
o iOS (iPhone)
o iPadOS (iPad)
o tvOS (Apple TV)
• NAS
o Synology (paquet prêt à l'emploi)
o QNAP
o TrueNAS SCALE
o Unraid
o FreeNAS (paquet communautaire)
• Conteneurs
o Docker
o Kubernetes
• Firewalls
o OPNsense
o pfSense
o Palo Alto Networks
C'est le Bronx dans mes notes mais tu peux regarder du côté de ce tuto complet et récent :

Tailscale : le VPN Mesh simple et sécurisé basé sur WireGuard

Avec ce tutoriel, découvrez comment installer et configurer Tailscale pour un accès sécurisé à distance grâce au principe du VPN Mesh et au protocole WireGuard.

www.it-connect.fr

Tu trouveras peut-être une piste compatible avec ton réseau.

 

[marcus54]

Rectification mon NAS est un DS124 qui n'est pas ce qu'il y a de mieux...