[RESOLU] [WEBDAV] : interdire l'accès via internet

Maknho · 13-05-2022 22:14:11

Bonjour à tous,

1) ma configuration est la suivante :
- un serveur sur une carte ARM (odroid N2+) fonctionnant sous un dérivé de Debian (Armbian) avec une couche de Yunohost
- les services sur le serveur :
a) du mail
b) des outils de base : RSS (FresRSS), un pastebin (Privatebin), Opensondage, Droppy, suite collaborative (Cryptpad)
c) un petit peu de média et autres : instance Pleroma, calibre-web, Navidrome

2) Le contexte

Je tente de me séparer de one note (dernière attache que j'ai à Microsoft depuis ma lente migration vers les logiciels libres : grâce à ce forum et yunohost, débutée il y a deux ans maintenant).

J'ai jeté mon dévolu sur Joplin (https://joplinapp.org).
Cela ne s'installe que côté client ; c'est léger, en markdown...

Il me faut alors le synchroniser entre mon PC Debian et mon téléphone Android.
Joplin supporte différentes méthode de synchro :
- Nextcloud => je ne souhaite pas l'installer sur mon serveur qui a déjà sa mémoire bien utilisé ;
- Dropbox => je préfère l'autohébergement
- Onedrive => Ibidem
- The local filesystem => je ne souhaite pas mettre sur mon téléphone Android ma clef SSH et sur les forums il apparait que cette méthode n'est pas stable
- reste Webdav

3) Webdav

Je trouve 3 méthodes pour créer un serveur Webdav :
- via nginx (https://docs.jelastic.com/nginx-webdav-module/) => compliqué...pour moi
- via apache (https://www.filestash.app/2022/03/04/apache-webdav/) => mon serveur tourne avec nginx et ... compliqué...
- via WsgiDAV (https://github.com/mar10/wsgidav) => très facile ...deux minutes !

La commande pour activer webdav sur le serveur est la suivante :

wsgidav --host=mon_IP_locale --port=un_port_que_j'ai_choisi --root=/le/dossier/de/synchro/de/joplin --auth=pam-login

4) Deux problèmes néanmoins

- je n'arrive pas à activer le SSL (httpS)
- je peux accéder, dans le navigateur, au dossier en tapant l'URL
* mon_ip_locale:le_port_redirige_depuis_le_routeur_et_ouvert_dans_le_parfeu_yunohost
*mon_ip_PUBLIQUE:le_port_redirige_depuis_le_routeur_et_ouvert_dans_le_parfeu_yunohost

L'accès avec l'IP publique donc depuis l'internet est trop peu sécure selon moi.

5) Questions
- comment activer le SSL avec wsgidav ?
- Je ne comprends pas que le dossier webdav soit accessible en rentrant mon IP publique alors que la commande que je rentre dans mon terminal pour activer webdav sur le serveur (cf supra) ne mentionne que l'IP locale ? La redirection des ports joue sans doute mais je pensais que la commande me permettait d'exclure l'accès via internet et que pour permettre l'accès via internet j'aurai du mettre l'IP publique dans la commande ?
- comment faire pour interdire l'accès via internet à webdav en n'autorisant que l'accès via le réseau local ? Ne pas mettre de ports dans la commande ne fait que remplacer mes ports par les ports par défaut (8080).
- Y-a-t-il d'autres problèmes de sécurité avec webdav (et dans ma configuration, en particulier) qui doivent amener à prendre des mesures renforcées, particulières, de sécurisation ? Par exemple est-ce que le dossier indiqué dans la commande wsgidav est bien le seul accessible ?

J'ai vu un sujet similaire sur le forum https://debian-facile.org/viewtopic.php?id=26553
Mais la discussion ne m'a pas paru conclusive.
J'espère que mon post est suffisamment précis (du moins selon les termes de @raleur qui avait déjà répondu au post précité).

Merci beaucoup d'avance pour vos conseils

Dernière modification par Maknho (16-05-2022 20:30:53)

bendia · 14-05-2022 13:31:54

Salut

A priori, le fil que tu cites réponds en creux à une partie de tes questions

Si je pige bien, tu cherches juste à pouvoir te connecter en webdav dans ton LAN, et tu peux choisir le port de ton serveur Webdav. De ce fait, en IPv4, tu n'es pas obligé de faire une redirection de ce port spécifique vers ton serveur, différent de 80 ou 443. Il faudra juste indiquer le port en question dans l'URL de partage dans Joplin.

Par ailleurs, pour l'IPv6, tu peux faire une règle Iptables pour n'autoriser les connexions depuis le LAN (idem pour IPv4 d’ailleurs, si j'ai bien pigé ce que m'a déjà dit @raleur, la sécurité apportée par le fait de ne pas rediriger les ports de ta box vers ton serveur n'est qu'un effet de bord et n'est pas absolue). Il existe un mécanisme dans Yunohost pour appliquer des règles spécifiques : https://forum.yunohost.org/t/iptables-saving-help/15818

Pour le SSL, il semble y avoir moyen d'indiquer le certificat SSL à utiliser via le fichier de configuration déclaré dans l'option -c de la commande de lancement du serveur Webdav.

https://wsgidav.readthedocs.io/en/lates … e_cli.html

Maknho · 15-05-2022 22:25:30

Hello @bendia,

merci de ta réponse.

Si je pige bien, tu cherches juste à pouvoir te connecter en webdav dans ton LAN

Oui c'est ça : me connecter en webdav dans mon LAN tout en gardant impossible de me connecter en webdav depuis internet (l'extérieur de mon LAN).

tu peux choisir le port de ton serveur Webdav

Oui je peux dans la commande pour activer webdav :

wsgidav --host=mon_IP_locale --port=un_port_que_j'ai_choisi --root=/le/dossier/de/synchro/de/joplin --auth=pam-login

 

De ce fait, en IPv4, tu n'es pas obligé de faire une redirection de ce port spécifique vers ton serveur, différent de 80 ou 443. Il faudra juste indiquer le port en question dans l'URL de partage dans Joplin.

J'ai fait les commandes :

wsgidav --host=mon_IP_locale --port=80 --root=/le/dossier/de/synchro/de/joplin --auth=pam-login

et

wsgidav --host=mon_IP_locale --port=443 --root=/le/dossier/de/synchro/de/joplin --auth=pam-login

L'output est identique pour les deux commandes :

OSError: No socket could be created -- (('192.168.1.172', 443): [Errno 98] Address already in use)

Ces ports sont utilisés par les mails yuno

=> mais @bendia peut-être qu'un truc évident m'échappe ?

Pour le SSL, il semble y avoir moyen d'indiquer le certificat SSL à utiliser via le fichier de configuration déclaré dans l'option -c de la commande de lancement du serveur Webdav.

https://wsgidav.readthedocs.io/en/lates … e_cli.html

OK cool je regarderai ça une fois la question de l'accès uniquement en LAN maitrisé...

Dernière modification par Maknho (16-05-2022 20:12:03)

bendia · 16-05-2022 06:39:32

Maknho a écrit :

=> mais @bendia peut-être qu'un truc évident m'échappe ?

Oui, tu peux choisir arbitrairement un port La seule contrainte est que tu es ensuite obligé de spécifier ce port dans l'URL coté client, genre

http://ton_ip:ton_port

Mais ça doit être faisable dans Joplin.

Les port 80 et 443 sont les ports par défaut des protocoles http et https, ce qui explique qu'ils soient déjà utilisé par le serveur Nginx de Yunohost. Ces ports sont bien connus, et ils sont utilisés par les navigateurs lorsque rien n'est spécifié dans l'URL, sauf les protocoles au début (http:// ou https://).

Rien ne t'interdit donc de définir le port 8080 dans le lancement de ton serveur Webdav, et il n'y a plus aucun soucis

Ça reste complètement décorrélé de l'utilisation de SSL qu'il faut configurer de son coté (peut-être ré-utiliser les certificats SSL de Yunohost si tu veux un certificat reconnu par les clients).

Maknho · 16-05-2022 20:30:21

@bendia merci bcp..; ça marche

j'ai mieux compris ce que tu disais :

De ce fait, en IPv4, tu n'es pas obligé de faire une redirection de ce port spécifique vers ton serveur, différent de 80 ou 443. Il faudra juste indiquer le port en question dans l'URL de partage dans Joplin.

J'ai donc :
- ouvert un port arbitraire (différent de 80 et 443 utilisé pour http et https par yuno) ;
- ouvert ces ports dans le pare-feu de yuno ;
- MAIS sans indiqué à mon routeur une redirection de ce port arbitraire vers mon serveur.

Après quelques tests il parait impossible d'accéder au webdav en WAN mais bien possible en LAN.

Merci bcp @bendia et bonne soirée

Debian-facile

#1 13-05-2022 22:14:11

[RESOLU] [WEBDAV] : interdire l'accès via internet

#2 14-05-2022 13:31:54

Re : [RESOLU] [WEBDAV] : interdire l'accès via internet

#3 15-05-2022 22:25:30

Re : [RESOLU] [WEBDAV] : interdire l'accès via internet

#4 16-05-2022 06:39:32

Re : [RESOLU] [WEBDAV] : interdire l'accès via internet

#5 16-05-2022 20:30:21

Re : [RESOLU] [WEBDAV] : interdire l'accès via internet

Pied de page des forums