Rendre votre NAS et vos applications sécurisés

OBJECTIFS DU COURS

Une fois ce cours terminé, vous devriez être en mesure d’:

1. Utilisez un domaine reverse proxy pour protéger la connexion sécurisée de plusieurs NAS.
2. Utilisez un domaine reverse proxy pour améliorer la sécurité de la connexion HTTPS des applications.

PRÉ-REQUIS

Cours pré-requis :

NAS 324: Utilisation de l’HTTPS pour sécuriser la communication NAS

Les étudiants doivent avoir une connaissance pratique de :

HTTP/HTTPS

SOMMAIRE

1. Présentation des Reverse Proxies

2. Protection des Connexions de Plusieurs Périphériques NAS

2.1 Ajout de domaines proxy

2.2 Ajouter des règles aux domaines proxy existants

3. Mise à niveau de la sécurité des applications NAS

3.1 Configuration des proxys inverses pour qu'ils fonctionnent avec Jellyfin

3.2 Configurer ownCloud pour qu'il fonctionne avec des proxys inverses

3.3 Configurer la connexion HTTPS de Syncthing

3.4 Configurer Nextcloud pour qu'il fonctionne avec des proxys inverses

3.5 Configurer la connexion HTTPS de Plex Web

4. Modification des domaines et des règles du proxy

4.1 Modification ou suppression de domaines proxy

4.2 Modifiez ou supprimez les règles du domaine proxy

1. Présentation des Reverse Proxies

La navigation Web est de plus en plus sécurisée. La plupart des applications sur un NAS ASUSTOR utilisent un navigateur Web pour la fonctionnalité, mais ne prennent pas nécessairement en charge HTTP Secure (HTTPS).
Les serveurs proxy inverses aident les clients à fournir des informations Web tout en protégeant la sécurité des données transmises. Les serveurs proxy inversés sur un NAS ASUSTOR disposant d'un certificat HTTPS valide protègent les données transmises par une connexion HTTPS externe.
ADM 3.5.2 ajoute des proxys inverses en tant que nouvelle fonctionnalité. Les serveurs proxy inverses sont utilisés pour implémenter des connexions HTTPS sur du contenu ou des applications Web qui autrement ne seraient pas protégés. Définissez le nom de domaine sur le NAS sur lequel le serveur proxy inverse doit être activé. Et demandez un certificat légal. Pour cela veuillez vous référer à la méthode de paramétrage:
NAS 324: Utilisation de HTTPS pour sécuriser la communication NAS

2. Protection des connexions de plusieurs périphériques NAS

Lorsque vous configurez plusieurs NAS dans le même réseau local et que vous souhaitez vous connecter au NAS en utilisant l’https en toute sécurité de l'extérieur, activez ADM et utilisez le serveur proxy inverse de l'un des NAS pour protéger la connexion sécurisée de plusieurs NAS, il est pas nécessaire d'ouvrir tous les NAS sur un réseau externe et de demander différents noms de domaine.

2.1 Ajout de domaines proxy

Pour utiliser le domaine légal de ce NAS pour vous connecter à l'ADM d'un autre NAS avec HTTPS, les domaines proxy doivent d'abord être ajoutés.

Etape 1

• Cliquez sur Reverse Proxy dans les Services d’ADM.

Etape 2

• Cliquez sur Ajouter sur la page Reverse Proxy.
• Cliquez sur Créez un nouveau domaine proxy puis sur Suivant.

Etape 3

• Entrez un titre pour identifier facilement ce domaine proxy. Exemple: ASUSTOR NAS ADM
• Sélectionnez HTTPS comme protocole et donnez un nom au serveur.
• Dans numéro de port, entrez un port de communication inutilisé. Exemple: 8880
• Sélectionnez une interface réseau à utiliser.
• Entrez le chemin de cette règle de domaine proxy. Exemple: /as6602t
• Activez le transfert de port via EZ-Connect et appuyez sur suivant.

Remarque: s'il n'y a qu'un seul service dans ce domaine proxy, le chemin ne peut conserver que "/". Si vous devez ajouter d'autres règles, vous pouvez utiliser Modifier pour ajouter un chemin pour la première règle.

Etape 4

• Saisissez un Nom pour identifier facilement les règles de domaine.
• Sélectionnez HTTP comme protocole et saisissez l'adresse IP LAN du domaine proxy dans le champ Nom d’Hôte. Exemple: [192.168.xxx.xxx].
• Entrez le numéro port du domaine proxy. Exemple: 8000 (port de connexion HTTP ADM).
• Entrez le chemin si le domaine proxy a un chemin spécifique. La connexion ADM ne nécessite pas de chemin spécifique, un slash (/) suffit.
• Cliquez sur Test connexion pour vérifier que les informations ci-dessus sur le domaine proxy sont correctes et si l'URL a besoin d'un chemin de redirection. Cliquez sur Suivant.

Etape 5

• Confirmez si le jeu d'informations est correct et cliquez sur Finir.

• Une fois l'opération terminée, vous pourrez voir les informations du domaine proxy sur la page Reverse Proxy.

Etape 6

• Entrez votre domaine proxy dans un navigateur Web. Le serveur proxy inverse dirigera la connexion vers http://192.168.xxx.xxx:8000/.
• Utilisez l'URL HTTPS de ce domaine proxy de l'extérieur pour vous connecter à un autre NAS et vous connecter à ADM. Utilisez le même nom de domaine MyASUSTOR pour vous connecter au NAS d'origine ou ajoutez le port et le chemin configurés pour vous connecter à un autre NAS afin de sécuriser cette connexion sous HTTPS avec un certificat HTTPS valide.
  Les serveurs proxy inverses peuvent être utilisés pour ouvrir ADM et se connecter à un autre NAS avec HTTPS. Après la connexion, les autres services et applications devront définir leurs propres ports de proxy inverse afin d'utiliser correctement les services et applications nécessaires dans une connexion sécurisée.

Sur Chrome:

Sur Firefox:

2.2 Ajouter des règles aux domaines proxy existants

Des règles supplémentaires peuvent être ajoutées au domaine proxy existant afin d'utiliser un chemin différent pour ouvrir un autre service. Ces instructions montrent comment ajouter une règle de proxy inverse pour se connecter à l'ADM d'un autre NAS dans le domaine ajouté au chapitre précédent.

Etape 1

• Cliquez sur Ajouter sur la page Reverse Proxy.
• Cliquez sur Ajouter une règle à un domaine proxy existant. Cliquez sur Suivant.

Etape 2

• Sélectionnez le Domaine proxy dans lequel vous souhaitez ajouter une règle, par exemple: [https://yourddns.myasustor.com:8880].
• Entrez le Chemin de cette nouvelle règle, par exemple: /as5304t, cliquez sur Suivant.

Remarque: Étant donné que cette fonction consiste à ajouter des règles au domaine proxy existant, le nom de domaine et le port du domaine proxy ne peuvent pas être modifiés au cours de ce processus, mais un chemin différent doit être entré.

Etape 3

• Entrez un Nom pour identifier facilement la règle de domaine pour le proxy inverse. Exemple: AS5304T.
• Sélectionnez HTTP comme protocole et saisissez l'adresse IP LAN du domaine proxy dans le champ Nom d’Hôte. Exemple: [192.168.xx.xx].
• Entrez le numéro port du domaine proxy. Exemple: 8000 (port de connexion HTTP ADM).
• Entrez le chemin si le domaine proxy a un chemin spécifique. La connexion ADM ne nécessite pas de chemin spécifique, un slash (/) suffit.
• Cliquez sur Test connexion pour vérifier que les informations ci-dessus sur le domaine proxy sont correctes et si l'URL a besoin d'un chemin de redirection. Cliquez sur Suivant.

Etape 4

• Confirmez si le jeu d'informations est correct et cliquez sur Finir.

• Une fois terminé, les informations du domaine proxy seront visibles sur la page Reverse Proxy.

Etape 5

• Par exemple, si vous saisissez ce domaine proxy conformément à l'image ci-dessous, le proxy inverse [https://yourddns.myasustor.com:8880/as5304t/] redirigera la connexion vers [http: //192.168.xx.xx: 8000 /].
• Utilisez l'URL HTTPS de ce domaine proxy de l'extérieur pour vous connecter à un autre NAS nouvellement ajouté et vous connecter à ADM.

Sur Chrome:

Sur Firefox:

3. Mise à niveau de la sécurité des applications NAS

Les applications qui ne peuvent pas utiliser HTTPS dans un NAS peuvent utiliser un serveur proxy inverse pour activer les connexions HTTPS à distance. Ce chapitre présentera plusieurs applications qui nécessitent des ports de communication spécifiques et ne peuvent pas utiliser directement le certificat HTTPS installé sur le NAS.

3.1 Configuration des proxys inverses pour qu'ils fonctionnent avec Jellyfin

La version Docker de Jellyfin n'utilise pas le serveur Web par défaut du NAS. Un serveur proxy inverse doit être configuré pour prendre en charge les connexions à distance HTTPS. Une fois que le NAS a demandé un certificat HTTPS valide, vous pouvez maintenant utiliser le serveur proxy inverse pour configurer la connexion HTTPS Jellyfin.

Etape 1

• Cliquez sur Ajouter sur la page Reverse Proxy.
• Cliquez sur Créer un nouveau domaine proxy et cliquez sur Suivant.

Etape 2

• Entrez un Titre pour identifier facilement ce domaine proxy. Exemple: Jellyfin HTTPS
• Sélectionnez HTTPS comme protocole et indiquez un nom de serveur. Exemple: [yourddns.myasustor.com].
• Entrez un numéro de port inutilisé. Il doit également être différent du port de communication Jellyfin d'origine. Exemple: 8196
• Sélectionnez une interface réseau. Sélectionnez l’astérisque par défaut.
• Entrez le chemin de cette regle de domaine proxy ou laissez le slash (/). Activez le transfert de port et cliquez sur Suivant.

Etape 3

• Optionnel: Entrez un nom pour identifier facilement la règle de domaine pour le proxy inverse.
• Sélectionnez HTTP comme protocole et saisissez l'adresse IP LAN du NAS dans le champ Nom d’hôte. Exemple: [192.168.xx.xx].
• Entrez le port du domaine proxy. Exemple: 8096 (port HTTP Jellyfin).
• Si une application du domaine proxy a un chemin spécifique, veuillez le saisir sinon entrez un slash (/).
• Cliquez sur Test connexion pour tester si les informations ci-dessus du domaine proxy sont correctement connectées et si son URL nécessite un chemin de redirection. Cliquez sur Suivant.

Etape 4

• Confirmez si le jeu d'informations est correct et cliquez sur Finir.

• Une fois terminé, les informations du domaine proxy seront visibles sur la page Reverse Proxy.

Etape 5

• Prenez ce domaine proxy comme exemple, saisissez [https://yourddns.myasustor.com:8196/] dans le navigateur Web, et le serveur proxy inversé dirigera la connexion vers [http: //192.168. xx.xxx:8096/] qui est l'URL locale de Jellyfin.
• Utilisez l'URL HTTPS de ce domaine proxy de l'extérieur pour vous connecter à Jellyfin installé sur ce NAS et vous connecter.

Sur Chrome:

Sur Firefox:

3.2 Configurer ownCloud pour qu'il fonctionne avec des proxys inverses

La version Docker de ownCloud n'utilise pas le serveur Web par défaut du NAS. Un serveur proxy inverse doit être configuré pour prendre en charge les connexions à distance HTTPS. Une fois que le NAS a demandé un certificat HTTPS valide, vous pouvez maintenant utiliser le serveur proxy inverse pour configurer la connexion HTTPS ownCloud.

Etape 1

• Cliquez sur Ajouter sur la page Reverse Proxy.
• Cliquez sur Créer un nouveau domaine proxy et cliquez sur Suivant.

Etape 2

• Entrez un Titre pour identifier facilement ce domaine proxy. Exemple: ownCloud HTTPS
• Sélectionnez HTTPS comme protocole et indiquez un nom de serveur. Exemple: [yourddns.myasustor.com].
• Entrez un numéro de port inutilisé. Il doit également être différent du port de communication ownCloud d'origine. Exemple: 32882
• Sélectionnez une interface réseau. Sélectionnez l’astérisque par défaut.
• Entrez le chemin de cette regle de domaine proxy ou laissez le slash (/). Activez le transfert de port et cliquez sur Suivant.

Etape 3

• Optionnel: Entrez un nom pour identifier facilement la règle de domaine pour le proxy inverse.
• Sélectionnez HTTP comme protocole et saisissez l'adresse IP LAN du NAS dans le champ Nom d’hôte. Exemple: [192.168.xx.xx].
• Entrez le port du domaine proxy. Exemple: 32880 (port HTTP ownCloud).
• Si une application du domaine proxy a un chemin spécifique, veuillez le saisir sinon entrez un slash (/).
• Cliquez sur Test connexion pour tester si les informations ci-dessus du domaine proxy sont correctement connectées et si son URL nécessite un chemin de redirection. Cliquez sur Suivant.

Etape 4

• Confirmez si le jeu d'informations est correct et cliquez sur Finir.

• Une fois terminé, les informations du domaine proxy seront visibles sur la page Reverse Proxy.

Etape 5

ownCloud a des restrictions strictes sur les domaines auxquels il peut accéder. Lors de la mise en place d'un serveur proxy inverse pour ownCloud, vous devez ajouter ce domaine à la configuration "trusted_domains" d'ownCloud pour une utilisation normale.

• Téléchargez /share/Docker/ownCloud/data/config/config.php sur votre ordinateur, renommez le fichier en "zz-user.config.php" et ouvrez un éditeur de texte pour le modifier.
• Conservez uniquement le paramètre 'trusted_domains' dans le fichier zz-user.config.php, et ajoutez le domaine du serveur proxy inverse du NAS, [ 1 => 'yourddns.myasustor.com', ] au contenu, puis archivez.

  

• Téléchargez le fichier édité zz-user.config.php dans le dossier du NAS [/share/Docker/ownCloud/data/config/].

  

Etape 6

• Prenez ce domaine proxy comme exemple, saisissez [https://yourddns.myasustor.com:32882/] dans le navigateur Web, et le serveur proxy inversé dirigera la connexion vers [http: //192.168. xx.xxx:32880/] qui est l'URL locale de ownCloud.
• Utilisez l'URL HTTPS de ce domaine proxy de l'extérieur pour vous connecter à ownCloud installé sur ce NAS et vous connecter.

Sur Chrome:

Sur Firefox:

3.3 Configurer la connexion HTTPS de Syncthing

La version Docker de Syncthing n'utilise pas le serveur Web par défaut du NAS. Un serveur proxy inverse doit être configuré pour prendre en charge les connexions à distance HTTPS. Une fois que le NAS a demandé un certificat HTTPS valide, vous pouvez maintenant utiliser le serveur proxy inverse pour configurer la connexion HTTPS Syncthing.

Remarque: Dans cet exemple, un domaine proxy existant est utilisé pour ajouter des règles, et il n'est pas nécessaire de définir un port supplémentaire. Les utilisateurs peuvent également utiliser "Créer un nouveau domaine proxy" et ajouter un autre port pour configurer un reverse proxy pour Syncthing.

Etape 1

• Cliquez sur Ajouter sur la page Reverse Proxy.
• Cliquez sur Ajouter une règle à un domaine proxy existant. Cliquez sur Suivant.

Etape 2

• Sélectionnez le Domaine proxy dans lequel vous souhaitez ajouter une règle, par exemple: [https://yourddns.myasustor.com:18862].
• Entrez le Chemin de cette nouvelle règle, par exemple: /syncthing, cliquez sur Suivant.

Remarque: Étant donné que cette fonction consiste à ajouter des règles au domaine proxy existant, le nom de domaine et le port du domaine proxy ne peuvent pas être modifiés au cours de ce processus, mais un chemin différent doit être entré.

Etape 3

• Entrez un Titre pour identifier facilement ce domaine proxy. Exemple: Syncthing
• Sélectionnez HTTP comme protocole et saisissez l'adresse IP LAN du NAS dans le champ Nom d’hôte. Exemple: [192.168.xx.xxx].
• Entrez le port du domaine proxy. Exemple: 28384 (port HTTP Syncthing).
• Si une application du domaine proxy a un chemin spécifique, veuillez le saisir sinon entrez un slash (/).
• Cliquez sur Test connexion pour tester si les informations ci-dessus du domaine proxy sont correctement connectées et si son URL nécessite un chemin de redirection. Cliquez sur Suivant.

Etape 4

• Confirmez si le jeu d'informations est correct et cliquez sur Finir.

• Une fois terminé, les informations du domaine proxy seront visibles sur la page Reverse Proxy.

Etape 5

• Prenez ce domaine proxy comme exemple, saisissez [https://yourddns.myasustor.com:18862/syncthing/] dans le navigateur Web, et le serveur proxy inversé dirigera la connexion vers [http: //192.168. xx.xxx:28384/] qui est l'URL locale de Syncthing.
• Utilisez l'URL HTTPS de ce domaine proxy de l'extérieur pour vous connecter à Syncthing installé sur ce NAS et vous connecter.

Sur Chrome:

Sur Firefox:

3.4 Configurer Nextcloud pour qu'il fonctionne avec des proxys inverses

Un proxy inverse par défaut pour Nextcloud a été ajouté sur ADM 4.1, les utilisateurs n'ont plus besoin de le configurer eux-mêmes si le NAS est mis à jour vers ADM 4.1.0 ou supérieur.
Actuellement, le proxy inverse par défaut ne peut pas être autorisé pour les utilisateurs à ajouter une nouvelle règle.

• Prenez ce domaine proxy comme exemple, saisissez [https://yourddns.myasustor.com:8622/nextcloud-docker/] dans le navigateur Web, et le serveur proxy inversé dirigera la connexion vers [http: //192.168. xx.xxx:32680/] qui est l'URL locale de Nextcloud.
• Utilisez l'URL HTTPS de ce domaine proxy de l'extérieur pour vous connecter à Nextcloud installé sur ce NAS et vous connecter.

Sur Chrome:

Sur Firefox:

3.5 Configurer la connexion HTTPS de Plex Web

Un proxy inverse par défaut pour Plex Media Server a été ajouté sur ADM 4.1, les utilisateurs n'ont plus besoin de le configurer eux-mêmes si le NAS est mis à jour vers ADM 4.1.0 ou supérieur.
Actuellement, le proxy inverse par défaut ne peut pas être autorisé pour les utilisateurs à ajouter une nouvelle règle.

• Prenez ce domaine proxy comme exemple, saisissez [https://yourddns.myasustor.com:8622/plexmediaserver/] dans le navigateur Web, et le serveur proxy inversé dirigera la connexion vers [https://192.168.xx.xxx:32400/] qui est l'URL locale de Plex Media Server.
• Utilisez l'URL HTTPS de ce domaine proxy de l'extérieur pour vous connecter à Plex Media Server installé sur ce NAS et vous connecter.

Sur Chrome:

Sur Firefox:

4. Modification des domaines et des règles du proxy

4.1 Modification ou suppression de domaines proxy

• Après avoir sélectionné un domaine proxy, cliquez sur Editer pour modifier le nom, le protocole réseau, le nom du serveur et/ou le port du domaine proxy inverse. Après avoir édité un domaine proxy, toutes les règles de ce domaine proxy seront révisées en conséquence.
• Cliquez sur Supprimer pour supprimer un domaine proxy et les règles associées.

4.2 Modifiez ou supprimez les règles du domaine proxy

• Sur la page Reverse Proxy, cliquez sur un domaine proxy pour développer les règles du domaine proxy. Après avoir sélectionné une règle, cliquez sur Editer pour modifier le protocole réseau du domaine proxy inverse sur la page du domaine proxy. Vous pouvez modifier le nom, le protocole réseau, le nom d'hôte, le port et le chemin de la règle ainsi qu'activer ou désactiver le proxy inverse pour cette règle.
• Cliquez sur Supprimer pour supprimer cette règle de domaine proxy, et la suppression de la dernière règle supprimera son domaine proxy.

• Si vous devez désactiver temporairement une connexion proxy inverse, vous pouvez désactiver la règle de domaine proxy inverse sur la page de modification des règles au lieu de supprimer la règle temporairement désactivée.