OMV6 NAS non visible depuis Windows

[Nincha]

Hello,
je continue ma découverte de OMV6.
Je ne vois pas le NAS dans la catégorie RESEAU de l'explorateur Windows 10.

J'arrive à le pinger par son adresse ip (sous CMD), mais pas par son nom DNS.
A savoir que j'ai mis en place des règles firewall, que voici (me suis permis de flouter ce qui me semble non important):


L'ip qui termine par 1.2 est le pc par lequel je n'arrive pas à "découvrir" le NAS dans l'explorateur windows.
Si j'ajoute une règle pour cette ip, sur laquelle le nas accepte toutes les requêtes UDP sur tous les ports, je découvre le nas dans la partie réseau de l'explorateur et je peux le pinger en cmd.

De ce que j'ai compris dans mes recherches internet, windows utilise WSD (windows service discovery) pour la découverte réseau.
OMV6 inclut le pendant linux de WSD, à savoir wsdd, on peut le vérifier par

service wsdd status

.

En allant sur le github, à priori le port utilisé par ce service serait le 3702, mais..... Marche pô.
Doit y avoir un fichier de conf pour ce service, mais je ne le trouve pas.
Quelques heures que je cherche, j'avoue que je sèche.

J'ai également lu en diagonale un fichier "HOWTO-ConnectWin10toOMV" mis à dispo sur le forum Openmediavault, pas trouvé non plus de solutions.

Toute aide ou piste est la bienvenue

 

[Chon]

Salut,
Connais pas bien OMV mais à te lire il me vient une idée simple : OMV utilise-t-il le protocole SMB et si oui, est-il activé ?

 

[Nincha]

Hello Chon, oui il utilise bien samba et il est activé

 

[Bambusa29]

Bonsoir,

Le NAS et le PC sont-ils bien dans le même groupe de travail (voir dans les paramètres SMB de OMV)

 

[Nincha]

Bonsoir,

Le NAS et le PC sont-ils bien dans le même groupe de travail (voir dans les paramètres SMB de OMV)

Hello, désolé pour le retard de réponse.
Oui le nas et le pc sont bien tous les deux dans le même groupe de travail.

Evolution: je n'avais pas redémarré le pc après avoir ajouté le port 3702 dans les règles d'OMV. Maintenant, je vois le NAS sur le réseau, mais je ne peux toujours pas m'y connecter.
Je ne peux toujours pas pinger le nom de mon nas. Et si j'ouvre tous les ports UDP pour mon PC, j'arrive bien à me connecter. Y'a donc un port UDP à identifier ?

 

[Mister-h1664]

Pour SMB, j'ai aussi les ports 137-138 en UDP Input ouvert

 

[Nincha]

Pour SMB, j'ai aussi les ports 137-138 en UDP Input ouvert

Hello, désolé pour ma réponse tardive, mais avec un déménagement et une mise à disposition d'internet bien longue par Bouygues (1 mois...) je ne me suis pas repenché sur le sujet.
De mémoire, j'avais testé pour ces deux ports, et il me semble qu'ils concernent le protocole SMB1, que je ne veux plus utiliser (version dépréciée pour soucis de sécurité)

 

[Nincha]

Hello !
Un peu de nouveau par ici, j'ai fini par trouver les réglages pour refaire fonctionner Samba !
Afin de pouvoir "détécter" le nas depuis l'explorateur Windows, il fallait donc ouvrir les ports suivants pour le WSD (Windows Service Discovery):

• 3702 / UDP / Input
• 5357 / TCP / Input

Avec ces deux ports, le nas est donc visible, mais Windows n'arrive pas à s'y connecter, car il ne sait pas résoudre le nom du NAS, ça donne un message du genre "<Nom-du-nas> n'est pas accessible", et celui-ci n'est pas pingable par la cmd sous windows... Cependant l'adresse IP du nas est bel et bien pingable, il y'a donc un souci de résolution de nom (DNS).

J'ai donc fouiné un peu, et grâce à la commande NETSTAT de debian/openmediavault et en procédant par élimination, j'ai donc trouvé le dernier port manquant :

• 5353 / UDP / Input

En cherchant à quoi correspond ce port; NETSTAT indique Avahi...
On regarde plus en détail:


Ah bah tiens, de la résolution de noms ! Bref, boucle bouclée, ça fonctionne !
Juste un léger temps de réponse, quand j'entre mes login/mdp à la première connexion, ça me refuse mais ça passe bien la connexion à la seconde tentative...
Voilà, en espérant que ça puisse en aider d'autres par ici !

 

[Bambusa29]

Salut Nincha,

Pour ma part j'ai ouvert que le minimum sur le firewall pour Samba. J'ai désactivé tout ce qui est multicast DNS et le service WSD.
Je l'ai désactivé aussi coté Windows.
J'ai désactivé aussi les services uPnP (port 1900) sur certains containeurs (Jellyfin entre autres).
Tous ces services génèrent pas mal de broadcast su le LAN.
Je monte directement mes lecteurs réseaux Samba au boot de Windows avec l'adresse IP du NAS.

Je n'ai donc que les 4 ports 137,138 (UDP) et 139,445 (TCP) en INPUT.
J'ai laissé le 5353 en OUPUT (ACCEPT OUPUT ALL:5353 ALL:ALL) mais je ne sais plus s'il est vraiment utile dans mon cas. J'ai peut-être oublier de le virer après avoir régler le firewall.
Je drop aussi tous le broadcast dans le firewall (224.0.0.0/4 et 255.255.255.255 pour ne pas polluer les logs) et j'ai une avant dernière règle avant le DROP final qui récupère tous le reste qui est redirigé vers un fichier spécifique de LOG.

Comme cela dans mon log, je n'ai que ce qui est inhabituel qui est tracé et je suis prévenu par Gotify en cas de LOG du firewall. C'est beaucoup plus facile pour régler avec précision le firewall.

​

 

[Nincha]

Ah ta façon de faire me plait bien !
Je n'ai pas pensé à faire un montage manuel du nas pour s'exempter la résolution de nom.... Je pense que tu peux virer le 5353 que je cote précédemment étant donné que tu passes directement par l'adresse IP du nas.
Pour ma part je ne vais p1s désactiver wsd sur les bécanes windows car on s'en sert pour l'imprimante/windows afin de pouvoir envoyer les sans directement sur les machines.
Par contre, faire un montage du nas au boot de windows afin de pouvoir boucler les ports 3702 5353 et 5357 ça peut être bien.
Par contre vu que j'ai les trois OS (mac windows ubuntu) dans mon réseau ça m'oblige à faire la conf manuelle sur chaque bécane...

Sachant que j'ai specifié uniquement les machines autorisées dans mes règles de firewall, penses tu que ce soit "dangereux" de laisser ces ports ouverts?

PS: intéressant ta gestion de logs, je vais certainement reproduire ça sur le mien, merci pour l'info! Utilises tu logwatch en plus de toit ça ?

 

[Bambusa29]

Je n'utilise pas mon imprimante via le réseau, du coup j'ai pu désactiver wsd.
Je vais virer le 5353 qui me reste en sortie, ca doit être une coquille quand j'ai fais des tests de réglage.
Du moment que ces ports ne sont que pour le LAN, je ne pense pas que cela représente un danger.
Au passage si tu ne l'a pas déjà fait désactive 'UPnP' sur ta box.

Pour la gestion du log, je viens d'écrire un tuto : [OMV] Log personnalisé pour le firewall si cela t'intéresse.
Je n'utilise pas logwatch, mais je cherche sans succès un containeur qui permettrait de visualiser les fichiers systèmes comme le fait 'Doozle" pour les logs des containeurs.