Auteur Sujet: VPN pour NAS : ne fonctionne plus depuis passage fibre (Lu 12773 fois)

zaxted · « **le:** 12 février 2016 à 13:54:46 »

Bonjour,

Je n'arrive plus à joindre mon NAS par VPN depuis que je suis passé à la fibre

Mon ancienne config :
FAI Numéricable --> routeur Netgear Numéricable en mode bridge --> vieux routeur Netgear perso 8 ports --> NAS Synology
Je passe par les solutions Synology pour contourner l'IP non fixe, et tout fonctionnait bien (bien que très lentement du fait des restrictions de l'upload).

Ma nouvelle config :
FAI Orange fibre --> Livebox (Orange) --> switch 8 ports en gigabit --> NAS
Là, impossible de joindre le NAS par VPN depuis l'extérieur depuis un Mac portable

Je n'ai rien changé au niveau du NAS (VPN server en PPTP).
Rien changé non plus au niveau du Mac portable.

J'ai tenté d'ouvrir le port recommandé 1723 sur la Livebox en passant par l'onglet NAT/PAT de son interface web. Je dis "tenté" car c'est peut être là que j'ai foiré un truc. J'ai mis 1723 dans "port externe" et "port interne", avec "les deux" en protocole (TCP/UDP). J'avais essayé en TCP mais ça marchait pas mieux. Dans le pare-feu, j'ai rien vu qui bloquerait ce port.

Etant donné que l'accès au NAS depuis l'extérieur est la raison principale de mon passage à la fibre, je suis un peu... déconfi (grrrrr !).
Sinon, je parviens sans problème à accéder au NAS par son interface web, mais c'est un peu galère.

Merci de votre aide.

buddy · « **Réponse #1 le:** 12 février 2016 à 14:00:04 »

Tu testes bien depuis l'extérieur ?

toshopp · « **Réponse #2 le:** 12 février 2016 à 14:55:49 »

il faut que tu testes depuis l’extérieur car le loopback n'est pas possible avec la livebox (alors que ça l'était quand j'étais chez Numéricâble)

Teste avec ton smartphone en passant par le réseau 3G/4G.

zaxted · « **Réponse #3 le:** 12 février 2016 à 15:17:24 »

Oui oui, depuis l'extérieur.
En fait, j'utilise pour tester mon abo Numéricable qui est toujours valide, en branchant mon Mac sur le routeur Numéricable que j'ai resetté.

J'ai aussi vaguement testé depuis mon smartphone, mais je suis pas certain de la validité de mon test.
En fait, avant d'aborder l'étape VPN, si je tape dans un navigateur le DNS que me fourni le service associé à Synology (pour contourner l'IP pas fixe), je devrais tomber sur l'interface web du NAS non ? J'ai vérifié qu'il était à jour dans l'interface du NAS et ça me dit bien que ça pointe vers mon IP Orange.

Hugues · « **Réponse #4 le:** 12 février 2016 à 15:25:52 »

T'as ouvert le port 5000 aussi ? Pour voir au moins si t'accède à ton interface depuis ton dyndns synology ?

Hugues · « **Réponse #5 le:** 12 février 2016 à 15:27:14 »

Les VPN PPTP ont besoin de UDP 1723 et de GRE 47, je sais pas trop comment ça marche sur ta box, mais sur mon routeur perso, j'ai aussi du ouvrir le port 47 avec un protocole personnalisé.

toshopp · « **Réponse #6 le:** 12 février 2016 à 15:31:56 »

teste d'abord en mettant le NAS dans la DMZ de la livebox. Si ça marche effectivement c'est un problème de paramétrage des ports sur la LB.

Electrocut · « **Réponse #7 le:** 12 février 2016 à 15:55:03 »

Citation de: Huguesdelamure le 12 février 2016 à 15:27:14

Les VPN PPTP ont besoin de UDP 1723 et de GRE 47, je sais pas trop comment ça marche sur ta box, mais sur mon routeur perso, j'ai aussi du ouvrir le port 47 avec un protocole personnalisé.

Le protocole IP n° 47 (et non le port 47). GRE est un protocole sur IP, comme le sont TCP ou UDP.

La fonction qu'il faudrait activer au niveau de la Livebox s'appelle le "PPTP Passthrough". L'idée est que dès lors qu'une connexion est établie sur le port 1723, le trafic relatif au VPN PPTP (utilisant le protocole IP n° 47) est automatiquement redirigé vers la bonne machine.

Si l'on s'en tient à ce sujet sur le forum Orange, la fonction "PPTP Passthrough" n'est pas supportée par la Livebox (A confirmer, je n'ai jamais essayé)

Si cela se confirme, il te faudra utiliser une solution VPN alternative :
- Soit L2TP over IPSec NAT-T (Ports UDP 500 et 4500)
- Soit OpenVPN (Port TCP ou UDP 1194 par défaut)

Hugues · « **Réponse #8 le:** 12 février 2016 à 16:06:35 »

Oui et ? ce n'est pas en contradiction avec ce que je dis, GRE utilise le port 47 en... GRE, dans tous les cas, faut ouvrir le port 47.

(Sur cette image, il est ouvert vers le routeur lui même)

zaxted · « **Réponse #9 le:** 12 février 2016 à 16:16:20 »

Citation de: Electrocut le 12 février 2016 à 15:55:03

La fonction qu'il faudrait activer au niveau de la Livebox s'appelle le "PPTP Passthrough". L'idée est que dès lors qu'une connexion est établie sur le port 1723, le trafic relatif au VPN PPTP (utilisant le protocole IP n° 47) est automatiquement redirigé vers la bonne machine.

Si l'on s'en tient à ce sujet sur le forum Orange, la fonction "PPTP Passthrough" n'est pas supportée par la Livebox (A confirmer, je n'ai jamais essayé)

Si cela se confirme, il te faudra utiliser une solution VPN alternative :
- Soit L2TP over IPSec NAT-T (Ports UDP 500 et 4500)
- Soit OpenVPN (Port TCP ou UDP 1194 par défaut)

Oui, le coup du "PPTP Passthrough" est en effet précisé dans la doc du Synology. Je suis donc passé en L2TP et ça fonctionne !
Merci

Electrocut · « **Réponse #10 le:** 13 février 2016 à 01:36:00 »

Cool

Citation de: Huguesdelamure le 12 février 2016 à 16:06:35

Oui et ? ce n'est pas en contradiction avec ce que je dis, GRE utilise le port 47 en... GRE, dans tous les cas, faut ouvrir le port 47.

(Sur cette image, il est ouvert vers le routeur lui même)

Ce n'est sans doute juste qu'une question de vocabulaire

Pour préciser :
il existe une centaine de protocoles au dessus d'IP. On y retrouve TCP en numéro 6, UDP en numéro 17, et ... GRE en numéro 47 :
https://en.m.wikipedia.org/wiki/List_of_IP_protocol_numbers
https://support.microsoft.com/fr-fr/kb/289892

A ne pas confondre avec les numéros de ports (numérotés de 1 à 65535), qui sont une caractéristique des seuls protocoles TCP et UDP.

Je suis surpris par la référence au terme "Port" sur ta capture d'écran. Par curiosité, de quel routeur provient-elle ?

yapret · « **Réponse #11 le:** 14 février 2016 à 13:58:10 »

J'appuie Electrocut, 47 est le numéro de protocole de GRE, et non son port.

Les ports concernent les protocoles TCP et UDP, on n'est pas sur la même couche du modèle OSI.
Selon https://fr.wikipedia.org/wiki/Liste_de_ports_logiciels, le port TCP/UDP 47 est utilisé par l'application ni-ftp.

Il n'est donc pas utile d'ouvrir le port 47.

La capture provient si je ne m'abuse de la GUI LuCI pour OpenWRT.