Synology Accès depuis l’étranger sur DDNS impossible

[CyberFR]

Si vous souhaitez être libre d'organiser vos reverse proxy comme vous l'entendez et sans limitation, y compris géographiques, vous pouvez installer un vrai certificat du genre Let's Encrypt. Les DDNS et autres synology.me simplifient la tâche et ils ont été créés pour cela mais ce n'est qu'un pis-aller avec de vraies limitations.

En plus, sous DSM il est simple et intuitif de gérer des certificats Let's Encrypt, Synology a fait du bon boulot à ce niveau.

 

[CharlyB]

C'est un certificat let's encrypt qui est fourni avec les adresses synology.me

 

[MilesTEG]

Si vous souhaitez être libre d'organiser vos reverse proxy comme vous l'entendez et sans limitation, y compris géographiques, vous pouvez installer un vrai certificat du genre Let's Encrypt. Les DDNS et autres synology.me simplifient la tâche et ils ont été créés pour cela mais ce n'est qu'un pis-aller avec de vraies limitations.

En plus, sous DSM il est simple et intuitif de gérer des certificats Let's Encrypt, Synology a fait du bon boulot à ce niveau.

Je nuancerais quand même tes propos, @CyberFR .
Le nom de domaine Synology reste parfaitement fonctionnel, tant que leurs serveurs ne sont pas KO, certes. Mais tu as un certificat wildcards via Let's Encrypt (comme le souligne @CharlyB ) ce qui n'est pas négligeable.
Alors oui, il faut passer par le reverse proxy de DSM, et on peut se trouver limité par ses options de configurations restreintes. Mais pour l'avoir beaucoup utilisé, le seul moment où j'ai été limité c'est avec Vaultwarden et les notifications Websocket car il fallait alors configurer des options non présentes dans DSM.

Avec un nom de domaine à toi, donc acheté ailleurs, tu n'auras pas de certificats wildcards avec DSM, sauf à utiliser un conteneur docker qui fait le travail. Ce qui ajoute de la complexité.

 

[morgyann]

Avec un nom de domaine à toi, donc acheté ailleurs, tu n'auras pas de certificats wildcards avec DSM

Si cela fonctionne "en automatique" avec un NND externe - au moins pour les registrars : Infomaniak (ce que j'opérais quand j'étais sur Syno) et OVH (vu avec @zypos) - Il faut chez le registrar opérer la manip au niveau de la zone DNS et inscrire en CNAME
*.monndd.fr = monndd.fr

 

[CharlyB]

J'ai résolu mon problème.
Si tu as l'IPv6 d'activée sur le NAS (ce qui est ton cas si j'ai bien compris), le DDNS synology.me, renvoie sur l'IP de ma Freebox en IPv4, mais sur le NAS lui même en IPv6.
Je trouvais ça étonnant mais en cherchant un peu à priori ça permet de définir un DDNS directement sur un host sans avoir à faire de règle de NAT sur le routeur.
Bref, je crois surtout que ça pose des problèmes de routage.
J'ai désactivé l'adresse IPv6 au niveau du DDNS, et tout fonctionne maintenant.

Tu as peut-être le même comportement sur ton DDNS ?

 

[CyberFR]

C'est un certificat let's encrypt qui est fourni avec les adresses synology.me

Let's Encrypt n'exige pas que le compte Synology soit ouvert en permanence. Rien que ça me pose problème.

 

[lemars]

Pour tester et voir si c'est le domaine synology.me qui bloque
Je viens de creer un nom de domaine sur ddns.net
Pourriez vous tester et me dire si vous arrivez à joindre ce lien ? Car je ne vais pas à l'étranger d'un petit moment ...
merci
PS : je vous envoie le lien en message prvé

 

[lemars]

Vous avez raison je viens de faire le test !

AVANT
En 4G avec un VPN en Espagne impossible de me connecter sur un sous domaine de Synology.me
Des que j'enleve le VPN tout fonctionne
APRES
J'ai juste désactivé l'IPV6 dans le DDNs !!!!!!
J'arrive a me connecter avec un VPN en Espagne !!!!

MERCI BEAUCOUP !!!!! Ca fait 2 ans que je cherche !!!!

 

[CharlyB]

Super ! Niquel

 

[lemars]

Merci à toi pour ce partage !
Dingue ! J'ai demander le support à Synology depuis l'étranger, cela a été super compliqué, pour me dire que tout était normale, et au final c'était juste cette config ... Pourtant dans mon cas en hybride ipv6 je pensais faire bien que de d'activer l'ipv6 pour le DDNS .... bref je me suis planté

Merci encore a toi pour ce partage

 

[CharlyB]

Je sais pas exactement ce qui déconne. Je suis pas calé à ce sujet, mais il doit y avoir qqch qui chie dans la colle au niveau du routage quand ça sort de la France quand les deux sont activés (v4 et v6) au niveau du DDNS, les deux pointaient vers deux points différents.
Mais je peux me planter, c'est même probable.

Je m'en suis rendu compte car j'avais foiré ma redirection NAT dans ma Freebox, je l'ai donc supprimée et à ce moment là, mes services étaient tj accessibles alors qu'ils ne devaient pas !!! C'était justement car mon DDNS pointait vers mon NAS "grâce" à l'IPv6, et non vers ma box.

Peut-être qu'il ne faut pas activer les deux options dans le DDNS.

Bien content de m'en être sorti, et que ça t'ai aidé c'est cool.

 

[CharlyB]

Je pense aussi que finalement peu de gens activent l'IPv6 dans leur Syno, et donc ne rencontrent jamais ce pb.

J'ai du l'activer pour qu'AdGuard Home fonctionne avec ma Feeebox, dans laquelle on ne peut désactiver l'IPv6.
On est obligé de mettre une adresse DNS IPv6 par défaut pointant vers AdGuard dans le DHCP de la Freebox, sinon on a un DNS public par défaut qui est propagé en IPv6 même si on a un DNS IPv4 spécifié...
C'est ça ou désactiver L'IPv6 sur chaque client.

Je raconte un peu ma vie, mais si jamais qqn à les mêmes problèmes que toi ou moi, j'espère que sa recherche le pointera ici.

 

[lemars]

Je reviens sur mes propos : cela me coupe tout acces au nas si j'enlève l'IPV6 dans le DDNS --> je n'ai peut etre pas assez attendu quand j'ai fait la manip ?

Car mon souci est que je suis chez red by sfr et que je suis en ipv6 ipv4 CGNAT --> du coup je n'ai plus de redirection de port possible ! En config ipv6 sur la box red on peut renvoyer tout le flux vers le nas ---> qui avec le reverse proxy aiguille le traffic

sans DDNS en ipv6 cela ne fonctionne pas en France et me coupe des accès de l'étranger !

C'est peut etre Red (SFR) qui bloque les requetes de l'étranger ??? Comment puis je le savoir ?

faudrait faire le test de l'étranger avec un VPN en France....

 

[CharlyB]

Pour voir si c'est ta box qui t'embête ou si c'est côté NAS que ça déconne, on m'a donné un bon conseil sur un autre forum, utiliser TCP dump, en SSH sur le NAS:

tcpdump -i bond0 -nq 'port (3000)'

(remplace bond0 par ton interface réseau du NAS s'il est pas en bond, et 3000 par le port du service que tu cherches à accéder popur tester)

Avec ça tu verras toutes les requêtes en entrée du NAS, avant le traitement par le firewall et le reverse proxy.
Si t'as rien qui s'affiche quand t'essayes de joindre ton service, c'est que le pb est en amont (donc box ou même opérateur)
Si t'as qqch, c'est que c'est ton NAS qui renvoie pas correctement.
Mon avis est qu'en effet ça marchait en IPv6 parceque et que ta config n'a jamais fonctionné en IPv4 (ce qui expliquerait aussi que ça marchait pas de l'étranger, si on estime que mes conclusions sur mon pb perso sont justes).

Je pense que ça a marché un certain temps au moment de ton essai grace aux règles de routage locales une fois ton VPN monté. Il force pas forcément tout ton réseau à passer par le tunnel, donc ça peut s'échapper en direct. Ca dépend des VPN et de leur paramétrage.
Par exemple je pouvais pas tester correctement depuis l'Allemagne si je montais le client VPN depuis chez moi. Par contre au bureau derrière le VPN "physique", tout passait toujours par le tunnel.

 

[CharlyB]

Après, si ta box t'emm******, hésite pas à acheter un vrai routeur ! Je pense que RED doivent quand même te laisser la paramétrer en passerelle.