Let’s Encrypt et DSM 6.0 : comment créer et installer un certificat sur votre NAS Synology
Le plus dur n'est pas ce que l'on croit
Vous pouvez désormais obtenir et activer simplement un certificat Let's Encrypt pour votre NAS Synology. Pour cela, il vous suffit d'utiliser la version 6.0 bêta 2 du DSM et suivre quelques petites étapes.
Hier, Synology a mis en ligne la seconde bêta de son DSM 6.0. Attendue par tous les adeptes de la marque, elle intègre de nombreuses nouveautés annoncées lors de la présentation (voir notre analyse), mais surtout, elle introduit le support de Let's Encrypt.
Synology propose un support simple de Let's Encrypt
Cette fonctionnalité est importante car elle permet de générer un certificat gratuit et reconnu par tous les navigateurs afin de disposer d'un accès HTTPS à l'interface du NAS depuis l'extérieur. Vous pouvez ainsi vous y connecter sans que le mot de passe circule en clair (voir un précédent article sur le sujet) et plus généralement chiffrer l'ensemble des échanges entre le NAS et votre machine.
Jusqu'à maintenant, la seule solution proposée était de générer un certificat auto-signé (et donc non reconnu par les navigateurs à moins de l'ajouter manuellement) ou d'installer un certificat généré par une autorité de certification reconnue.
Avec un certificat auto-signé, c'est l'erreur assurée
Ici, le but est de disposer d'une solution gratuite et simple à mettre en place pour tous. Nous avons donc testé cette fonctionnalité afin de voir si cette promesse était tenue.
Tout d'abord il faut savoir qu'un certificat SSL/TLS (X.509) tel qu'il est utilisé ici, est généré pour assurer de la propriété d'un domaine et éventuellement de sous-domaines. Vous ne pouvez donc l'utiliser que si vous accédez à votre NAS via une URL précise, et non son adresse IP.
Configurez votre routeur pour un accès externe
Pour ce faire, vous devez rediriger un domaine vers l'IP de votre NAS mais aussi vous assurer que les ports nécessaires sont ouverts et renvoyés vers votre NAS via votre routeur. Si vous hébergez vous-même votre NAS vous devrez faire la manipulation à la main en fonction de votre réseau local.
Synology propose un outil Configuration du routeur permettant de simplifier la procédure accessible dans le panneau de configuration dans la section Accès externe. Si vous avez opté pour un NAS hébergé par des services comme Infomaniak par exemple, tout est déjà en place.
Par défaut, l'accès HTTPS à votre NAS Synology se fait sur le port 5001, mais vous avez la possibilité de modifier ce choix par sécurité. Il faudra aussi penser à faire de même pour les différents services que vous voulez utiliser. Attention, pour que l'ajout d'un certificat Let's Encrypt fonctionne, le port 80 doit aussi être ouvert et redirigé vers votre NAS.
Accès à votre NAS depuis l'extérieur : quelques points à vérifier
Attention tout de même : laisser un accès depuis l'extérieur à un NAS permettant d'accéder à vos données n'est pas anodin. Pensez à activer les différentes options proposées dans la section Sécurité du panneau de configuration : le pare-feu, le blocage automatique en cas d'utilisation d'un mauvais mot de passe de manière répétée, la protection contre les attaques par déni de service, l'interdiction d'intégration dans une iFrame, etc.
Vous pouvez aussi décider d'activer la connexion avec une vérification en deux étapes (2FA) dans les paramètres avancés de la section Utilisateur. Cela vous permettra d'ajouter une couche de sécurité supplémentaire avec l'utilisation d'une application qui génèrera un code aléatoire nécessaire pour se connecter.
Synology publie de son côté tout un ensemble de recommandations qui pourront vous aider.
Redirigez un domaine vers votre NAS
Pour ce qui est de l'obtention et de la redirection d'un nom de domaine, vous avez deux possibilités. Soit vous en avez déjà un à disposition et vous demandez à votre prestataire de mettre en place une redirection vers l'IP de votre NAS. C'est en général assez simple, des formulaires simplifiés vous permettant de gérer une telle demande automatiquement chez les hébergeurs et autres registrars.
Si vous n'avez pas de nom de domaine, que vous ne voulez pas en payer un, ou que votre connexion dispose d'une IP dynamique vous avez aussi la possibilité d'utiliser un service DDNS (Dynamic DNS). Le DSM de Synology en gère tout un tas, mais dans notre exemple nous avons décidé d'opter pour celui qui est proposé par la société : Synology.me.
Pour en profiter, il vous suffit de disposer d'un compte Synology que vous pouvez directement créer depuis l'interface DSM avec une adresse email et un mot de passe. Une fois votre email confirmé, et si votre NAS et votre routeur ont bien été configurés, vous pourrez accéder à votre interface depuis une adresse type :
http://nom-choisi.synology.me
Une création de certificat Let's Encrypt en quelques clics
Une fois cette étape passée, passons à ce qui nous intéresse spécifiquement aujourd'hui : la création du certificat Let's Encrypt. Cela se passe dans la section Sécurité du panneau de configuration, dans l'onglet Certificat. Sélectionnez Ajouter, et vous pourrez alors créer un nouveau certificat ou alors remplacer un existant. Vous pourrez aussi préciser si c'est celui à utiliser par défaut ou non.
Dans tous les cas, une nouvelle option fera ensuite son apparition : Procurez-vous un certificat auprès de Let's Encrypt. Vous devrez alors préciser le domaine d'accès de votre NAS (testletsencrypt.synology.me dans notre exemple), un courrier électronique de contact, ainsi que d'éventuels noms alternatifs. Ceux-ci permettent de gérer des domaines alias permettant d'accéder à votre NAS de la même manière que votre domaine principal. Ils doivent être séparés par des « ; ».
Une fois ceci effectué, votre certificat sera activé et valable pour trois mois. Pour le moment, Synology ne semble pas proposer de solution de renouvellement, et ne précise pas si celui-ci est automatique. Cela devrait néanmoins être précisé et/ou mis en place d'ici la prochaine bêta ou la version finale attendue pour mars. Nous aurons donc l'occasion d'y revenir.
Activez l'accès HTTPS et configurez la suite de chiffrement
Pour profiter de l'accès HTTPS, il faut bien entendu penser à l'activer. Cela se passe dans les Paramètres de DSM dans la section Réseau du panneau de configuration. Vous pourrez y choisir les ports d'accès, activer la redirection automatique vers la version HTTPS et activer HTTP/2.
Notez que dans les paramètres avancés de la section Sécurité, vous avez aussi la possibilité de modifier les suites de chiffrement SSL/TLS que vous voulez utiliser. La version « Moderne » sera la plus restrictive, mais sera susceptible de poser problème si votre navigateur n'est pas à jour. C'est néanmoins celle que nous vous recommandons d'utiliser.
Une intégration réussie, mais des options dispersées
Au final, la méthode mise en place par Synology semble donc assez simple. Pour le moment, le plus complexe pour les non-initiés restera en effet de paramétrer l'accès au NAS depuis l'extérieur via une URL spécifique. On pourra tout de même regretter que les options relatives à l'accès HTTPS soient parfois accessibles dans des sections dispersées du panneau de configuration plutôt que d'être entièrement regroupé.
Reste maintenant à voir comment cela évolue et si Synology fait encore évoluer les choses d'ici la version finale de son DSM 6.0, notamment sur la question du renouvellement du certificat.
Il sera aussi intéressant de voir si ses concurrents comme ASUSTOR et QNAP décident de faire de même dans les semaines à venir, donnant un peu plus de poids à Let's Encrypt qui est déjà proposé par certains hébergeurs comme Gandi ou Infomaniak, OVH n'ayant pour le moment toujours pas mis en place le support annoncé.
Commentaires (50)
Vous devez être abonné pour pouvoir commenter.
Déjà abonné ? Se connecter
Abonnez-vousLe 25/01/2016 à 10h14
Tu peux désactiver ensuite ;)
Le 26/01/2016 à 08h45
…Cette fonctionnalité est importante car elle permet de générer un certificat gratuit et reconnu par tous les navigateurs afin de disposer d’un accès HTTPS à l’interface du NAS depuis l’extérieur. Vous pouvez ainsi vous y connecter sans que le mot de passe circule en clair (voir un précédent article sur le sujet) et plus généralement chiffrer l’ensemble des échanges entre le NAS et votre machine…
Même en HTTP le mot de passe utilisé pour se loguer au DSM n’est pas transmis en clair, sont pas manchots à ce point chez Synology
Le 22/01/2016 à 16h16
la ça va etre tellement simple pour en refaire !
Le 22/01/2016 à 16h18
Je voulais justement faire la config avec un certificat Let’s Encrypt. Je vais le faire à la main pour l’instant, en attendant la sortie de la version finale, mais c’est encore un bon point pour Syno.
Le 22/01/2016 à 16h45
Quid des sous-domaines en toto.synology.me ?
Du genre : sousdomaine1.toto.synology.me sera aussi accepté par le certificat ?
Le 22/01/2016 à 16h51
Quel intérêt ? Sinon non, Synology ne permet pas de créer une URL de ce type (le point n’est pas accepté dans le nom d’hôte)
Le 22/01/2016 à 17h01
Excusez moi pour cette question sûrement naïve mais n’étant pas du tout calé en sécurité…
Quel est le but de ce certificat ? D’authentifier le NAS lors d’une connexion externe ? Mais dans ce cas, que signifie “authentifier le NAS ?
Le 22/01/2016 à 17h05
Bon article !
Je me pose une question cependant. Il est indiqué que le port 80 est nécessaire. Or DSM permet de forcer la redirection de 80 vers 443. Est-ce fonctionnel ?
Sinon, c’est suggéré dans l’article mais je me permet d’insister : je recommande à tous de changer tous les ports par défaut, surtout lorsqu’ils sont ouvert vers l’extérieur.
De mon côté j’avais un certificat StartTLS gratuit, je suis pas certain que Let’s Encrypt m’apport plus. J’ai créé un sous domaine de mon serveur web qui pointe vers mon NAS et ça marche plutôt bien.
Autre conseil : étant donné qu’on ne peut pas utiliser autre chose que son nom de domaine pour accéder à son NAS en HTTPS, ça peut parfois être problématique lors d’accès en local. Car les DNS de notre PC vont obtenir l’IP externe et pas celle du réseau local… Donc j’ai installé le serveur DNS proposé par Synology que j’ai configuré pour que mon nom de domaine pointe vers l’IP locale et toute autre requête est renvoyée à un autre DNS. Puis j’ai configuré mon DHCP pour qu’il donne l’IP locale du NAS comme DNS. Comme ça, chez moi mon NDD tombe sur mon IP locale. A l’extérieur, il tombe sur l’IP de ma box et tout roule. :)
Le 22/01/2016 à 17h32
Question [naïve] : qu’en est-il des données potentiellement récupérées par Synology si on utilise un .synology.me plutôt qu’un nom de domaine perso ?
Lier son NAS à Synology est très pratique mais pour un serveur mail c’est pas top puisqu’on peut pas avoir de mail en [email protected] (si ?).
Le 22/01/2016 à 17h55
À supprimer.
Le 22/01/2016 à 17h56
En théorie, aucune donnée ne passera chez syno. Lorsque ton PC va demander à accéder à ton NAS via xxx.synology.me, il va interroger ses DNS (ceux de ton FAI, de google, etc) qui vont lui donner ton IP. Après il n’utilisera plus le nom de domaine mais l’IP qui est la tienne. Pour t’en assurer, dans une console, tappe “nslookup tondomaine.synology.me” et tu verras qu’il pointe vers ta box, pas synology. Si des experts passent par là, qu’ils me confirme ou infirme.
Le 22/01/2016 à 18h14
Le 22/01/2016 à 18h18
à pouvoir utiliser du HTTPS si tu veux te connecter à distance à ton NAS.
Le 22/01/2016 à 18h24
un nom de domaine synology.me me permet en aucune maniere d’acceder a tes données.
Un domaine est juste un ou plusieurs mots associés a une ip dans une table. Et quand on demande a cette table quelle est l’ip qui correspond a ces mots, ca renvoie des chiffres. C’est tout.
Y’a rien qui passe par Synology.
Au pire du pire, les seules infos qu’ils peuvent obtenir, c’est a quel moment tu te connectes sur ton syno. Et encore, pas a chaque fois car ta machine possede un cache local
Le 22/01/2016 à 18h27
Le 22/01/2016 à 18h29
C’est une question compliqué qui oblige une petite intro au chiffrement.
Pour chiffrer/déchiffrer, il faut deux “clés”. Une privée que la machine garde pour elle et une publique qui est distribuée à tout le monde. La clé privée permet de déchiffrer un message qui a été chiffré par la clé publique.
Le NAS va donc envoyer sa clé publique à ton PC. Tu vas l’utiliser pour chiffrer un message, puis envoyer ce message chiffré à ton NAS. Le NAS va ensuite utiliser sa clé privé pour le déchiffrer. Donc seul ton NAS est capable de déchiffrer ce message.
Le problème est que ton PC a utilisé une clé de quelqu’un d’autre (le NAS) pour chiffrer le message. Il faut donc s’assurer que la clé que tu récupère est celle du NAS. Il faut “authentifier” la clé que ton PC reçoit pour être certain que seul le NAS saura déchiffrer le message que tu lui envoi. Et pour ça, un organisme de certification (ici Let’s Encrypt) te certifie que la clé que tu as reçu appartient à NAS et personne d’autre.
J’espère que je suis clair, c’est pas certain ^^‘.
Le 22/01/2016 à 18h30
et Anozer
Ok, merci.
Le gros intérêt que je vois de ce système est la facilité d’utilisation, notamment avec une IP dynamique. Ça reste moins sexy qu’un ndd quand même. :)
Le 22/01/2016 à 18h34
Le 22/01/2016 à 18h36
Pour audiostation on peut mettre un alias personnalisé, j’y accéde avec l’adresse
chezmoi.synology.me:5001/audiostation
Cela doit être possible pour les autres applications.
Le 22/01/2016 à 18h45
Le 22/01/2016 à 18h49
[/quote]
Le 22/01/2016 à 18h50
Je ne comprends pas trop, Photo Station est sur le domaine de base avec “/photo” de mémoire non ? Donc quel besoin de coller une URL spécifique et d’inventer un pseudo sous-sous-domaine ? En général comme dit plus haut, quand ce n’est pas une application interne au DSM, ça se différencie par le port, du coup là encore je ne vois pas l’intérêt de vouloir gérer ça avec des domaines différents.
" />
Pour le reverse proxy, de toutes façon le chiffrement ne sera géré qu’entre lui et la machine par laquelle tu y accèdes et le certificat devra être installé à son niveau je pense. Mais là encore je vois mal pourquoi chercher à passer par une URL pareille. Si vraiment on veut mettre en place une usine à gaz, autant passer par un domaine et une série de sous-domaines non ?
Le 22/01/2016 à 18h53
.toto.synology.me ça n’existe pas. tu peux faire du .domaine.tld mais c’est du Wildcard et Let’s Encrypt n’en propose pas.
Le 22/01/2016 à 20h00
Vous ne pouvez donc l’utiliser que si vous accédez à votre NAS via une URL précise, et non son adresse IP.
Et crotte
Le 22/01/2016 à 20h01
Pour le moment ;p
Dommage que le wildcard ne soit pas encore géré par Let’s encrypt. ca m’eviterais d’en faire pour toute mes applications de mon nas ^^
Le 22/01/2016 à 20h18
ça viendra sans doute après, ça semble assez largement demandé même hors de l’usage NAS. Mais pour le moment rien n’empêche d’utiliser une liste de sous-domaines de toutes façons
" /> Par contre j’ai du mal à saisir l’intérêt de gérer les apps du NAS par des sous-domaines, c’est si compliqué que ça de cliquer sur une icône sur le bureau du DSM ? 
" />
Le 22/01/2016 à 20h46
Le 22/01/2016 à 20h58
Le 23/01/2016 à 00h15
Le 23/01/2016 à 07h28
Merci David pour cet article/tutaux :-). Ca me permis de mettre en place cela sur mon syno. jusqu’à présent j’utilisais la focntion quickconnect.
maintenant je peux y accéder via cette solution et j’ai c reconnu comme valide sur Chrome
Le 23/01/2016 à 09h53
Avec du SSL, ca ne peut pas arriver…
Le 23/01/2016 à 10h04
Le 23/01/2016 à 11h17
Il ne faut pas une machine spécifique, le paquet Haproxy fait ça très bien.
Perso, je l’utilise surtout pour pouvoir accéder à mon nas de n’importe ou même lorsque les seuls ports ouverts sont le 80 et le 443, ce qui est souvent le cas dans les sociétés.
De plus, cela permet de ne pas se faire ch…. avec la configuration des ports du routeur, tu forwardes uniquement le 80 et le 443 et roule ma poule!
Le 23/01/2016 à 12h01
Le 23/01/2016 à 12h16
Syno propose aussi une telle fonctionnalité intégrée (dans la section applications de mémoire). Après ça reste un serveur qui tourne en // du reste, donc qui doit avoir son propre certificat, mais comme tu dis, c’est à mon avis plus utile quand on l’utilise par manque de choix au niveau des ports à forwarder ou quand on veut éviter d’en gérer 36. M’enfin chacun est libre de ses configurations (c’est juste que ça ne rentre pas du tout dans le cadre du papier en fait).
Le 23/01/2016 à 12h18
Comme dit dans le papier est dans les commentaires déjà, tu peux faire une demande pour x sous-domaines, mais pas pour un wildcard. Sinon, Syno propose avec DSM 6.0 d’avoir plusieurs certificats par machine désormais.
Le 23/01/2016 à 12h30
Je suis curieux, quel est le nom de cette application? EZ-Internet (que je n’utilse pas )?
J’en profite pour répondre a votre intervention concernant les sous-domaines (si j’ai bien compris). Perso, j’utilise pour chaque application un sous-domaine, photostation.xxx.com ou filestation.xxx.com … C’est bcp plus simple selon moi pour donner accès a un pote par exemple, il ne doit pas savoir ce qu’est le dsm ni cliquer sur quoi que ce soit, je lui donne l’adresse un userid et un mdp, c’est tout. De plus, je viens de constater que certaines applications sont toujours accessibles via le DSM même lorsque l’on ne le désire pas car on ne peut pas gérer ses droits , Plex par exemple.
Le 23/01/2016 à 12h44
Lorsque je parle d’application je parle de site web applicatif hebergé sur mon nas donc l’interet du sous domaine prend tout son sens ^^
car aller sur le dsm pour cliquer sur l’icone qui m’ouvre un onglet autant faire un sous domaine :p
Le 23/01/2016 à 14h46
ouais mais c’est un package non officiel…
Hum… comme je le disais : chacun joue comme il veut…
Le 23/01/2016 à 15h07
Le 23/01/2016 à 17h45
J’ai un site perso sur mon syno, merci pour l’info. Pour l’instant je reste sous DSM5.2 et je vais ajouter le certificat à la main :).
Le 23/01/2016 à 18h17
Le 23/01/2016 à 18h19
Moi j’ai rajouté un élément de sécurité plutôt cool : knockport !
" />
En fait le syno est complètement fermé à l’extérieur, mais il écoute sur certains ports (niveau 2).
Quand on “knock” (comme à la porte) avec la bonne séquence de ports et les bons protocoles (TCP/UDP), ça déclenche un script.
En l’occurrence mon script ouvre un seul port, celui de mon VPN. Ensuite il faut la clé (public/privée) du VPN, laquelle je trimballe verrouillées sur une clé USB. (donc sécurité forte, il faut à la fois me piquer un élément que j’ai -la clé- et un élément que je sais -le mdp de la clé).
Si le souhait est d’ouvrir l’accès https, le script peut tout à fait faire ça au lieu du port du VPN.
Et bien sûr, aussi un script pour fermer quand on n’en a plus besoin.
Du coup qu’ils y viennent sur mon Syno !
Ah oui… et aussi il est pas défaut éteint (ce qui aide à sécuriser !) je l’allume à distance par WakeonLan/Wan quand j’en ai besoin… et quand j’en ai plus besoin, un petit shutdown -P now, et le tour est joué.
Le 23/01/2016 à 18h38
bonjour,
mon DDns est bon, port 80 redirigé ssl activé.
au moment de faire la demande de certificat, “echec de connexion, vérifier le nom de domaine”
chez vous cela fonctionne ?
Le 23/01/2016 à 21h13
non, comme toi, je pense avoir fait tout ce qu’il faut, renvoyé tous les ports possibles vers le syno, mais “echec de connexion, assurez-vous que le nom de domaine est valide”
Le 23/01/2016 à 23h17
Pour ma part j’ai installé webstation comme indiquée dans un tutorial que j’ai trouvé sur un site anglais et ça a fonctionner.
J’avais auparavant un message comme ceux indiquée ci dessus.
J’ai ensuite désinstaller le packet webstation.
Du coup si renouvellement automatique il y a, il risque de mal se passer.
Le 24/01/2016 à 00h20
webstation est déja installé chez moi, mais toujours l’erreur :-(
Le 24/01/2016 à 14h28
Merci pour l’info :)
" />
Update faite et certificat activé avec let’s encrypt : un jeu d’enfant
Le 24/01/2016 à 16h39
Webstation obligatoire … c’est bon pour moi
Le 24/01/2016 à 18h17
SI tu as le contrôle du DNS tu peux obtenir un certificat valide auprès de n’importe autorité de certification. Donc
SSL n’empêche certainement pas un MITM si l’attaquant gagne le contrôle du DNS.
Dans l’exemple donné par nevesl’attaquant peux très bien lancer ./letsencrypt sur la machine sur laquelle il vient de rediriger l’ip pour obtenir un certificat valide.