Services réseau du NAS (VPN, DNS et DHCP)

28 min · 7 rubriques

Ces trois fonctions font du NAS le centre du réseau de ta maison : tu entres depuis l’extérieur comme si tu étais dans le salon (VPN), tes dispositifs s’appellent par leur nom au lieu de leur IP (DNS) et c’est le NAS —pas le routeur— qui distribue les adresses (DHCP).

Ils se configurent dans le Panneau de configuration, chacun sur son écran : VPN, DNS et DHCP. Celui du VPN a trois onglets : WireGuard, le serveur VPN du NAS lui-même, et Tailscale et NetBird, qui font entrer le NAS dans ton réseau de ces services sans ouvrir aucun port (section 1.8).

Ils sont classés par risque, et c’est aussi l’ordre dans lequel il vaut mieux les activer. Le VPN ne peut rien casser de ce qui marche déjà ; le DHCP, si. Si tu n’en actives qu’un, que ce soit le VPN. Si tu vas activer le DHCP, lis en entier la section 3 —et surtout « Si tu te retrouves sans réseau »— avant de toucher à quoi que ce soit.

0. Avant de commencer

Peu importe lequel des trois tu vas utiliser : garde ceci sous la main, noté sur papier ou sur ton téléphone (pas dans un document qui vit sur le NAS ou qui a besoin d’internet pour s’ouvrir).

• IP fixe du NAS. Réservation DHCP sur le routeur ou IP statique dans Panneau de configuration → Réseau (IPv6 aussi, avec son préfixe : 2001:db8:1::10/64 et sa passerelle). Un NAS qui change d’IP casse la redirection de ports du VPN, les enregistrements du DNS et son propre DHCP.
• IP du routeur et son mot de passe d’administration (souvent sur l’étiquette du dispositif). Tu en auras besoin pour ouvrir le port du VPN et pour désactiver son DHCP.
• Accès physique au NAS (clavier et écran) ou SSH qui fonctionne déjà. La console affiche l’IP du dispositif et la commande lgm donne accès au menu de récupération.
• Prends ton temps et fais-le quand personne n’est connecté. Changer le DHCP au milieu de la visio de quelqu’un d’autre a des conséquences sociales.
• Ne fais jamais ces changements à distance, depuis l’extérieur de la maison : si quelque chose tourne mal, la connexion même par laquelle tu administres le NAS est la première à tomber.

1. VPN (WireGuard)

Avec le VPN actif, ton téléphone ou ton portable entrent dans le réseau de la maison depuis n’importe où : le panneau du NAS, les dossiers de la maison, l’imprimante ou les caméras répondent avec leur IP locale exactement comme si tu étais sur le canapé. Et sans publier un seul service sur internet : le routeur n’a qu’un port UDP ouvert, qui ne répond absolument rien à qui n’a pas la bonne clé.

Comparé à publier le NAS avec un proxy inverse, le VPN est l’option la plus sûre et celle qui demande le moins d’entretien. Son inconvénient : il faut installer un client sur chaque dispositif, donc il ne sert pas à partager avec des gens qui n’habitent pas chez toi.

1.1 Ouvrir le port sur le routeur

Une seule redirection de port :

Deux erreurs classiques : choisir TCP (WireGuard, c’est UDP et seulement UDP ; avec TCP, pas un seul paquet ne reviendra) et rediriger vers une IP du NAS qui change ensuite.

Cette redirection est la seule chose manuelle : le pare-feu du NAS, c’est le panneau qui le gère. Quand tu actives le VPN, la règle udp 51820 s’ajoute toute seule (elle apparaît dans Sécurité → Pare-feu comme « VPN WireGuard (gérée par LGM-OS) ») et elle est retirée quand tu le désactives. Ne l’ajoute pas à la main : la règle que tu créerais aurait un autre identifiant, le panneau ne la reconnaîtrait pas et le port resterait ouvert pour toujours, même VPN éteint.

IP dynamique : ton IP publique change tous les quelques jours, et le client doit savoir où appeler. Configure un domaine dynamique (DDNS) en suivant l’étape 3 du guide d’accès externe et utilise ce nom (micasa.duckdns.org) comme serveur du VPN au lieu de l’IP.

Si tu es derrière un CGNAT (ton opérateur ne te donne pas d’IP publique à toi), la redirection ne marchera pas, et le VPN non plus. Vérifie-le en comparant curl -s https://api.ipify.org avec l’IP WAN qu’affiche le routeur : si elles ne coïncident pas, ou si celle du routeur commence par 100.64.–100.127., il y a un CGNAT. Solution : demander une IP publique à l’opérateur (c’est souvent gratuit), ou passer par Tailscale ou NetBird (section 1.8), qui n’ont besoin d’aucun port ouvert.

1.2 Créer le profil de chaque dispositif

Dans Panneau de configuration → VPN : active le serveur et ajoute un dispositif (« peer ») pour chaque téléphone, tablette ou ordinateur qui va se connecter.

• Un profil par dispositif, toujours. Ne réutilise pas le même sur le téléphone et sur le portable : les deux auraient la même adresse dans le tunnel et se marcheraient dessus. En plus, des profils séparés permettent de révoquer uniquement celui du téléphone que tu as perdu.
• Quel trafic passe par le tunnel (ce que WireGuard appelle AllowedIPs) :
• Seulement le réseau de la maison (par exemple 192.168.1.0/24) : tu navigues avec les données de ton opérateur et seul ce qui va vers le NAS ou l’imprimante passe par le tunnel. Ça consomme moins de batterie et ne ralentit pas le reste.
• Tout le trafic (0.0.0.0/0) : en plus d’arriver à la maison, tu sors sur internet par ta connexion domestique. C’est ce que tu veux sur le wifi d’un hôtel ou d’un aéroport, et aussi si tu utilises le DNS du NAS quand tu es dehors.
• Le profil contient la clé privée du dispositif. Le NAS n’en a plus besoin du tout une fois qu’il te l’a remise : si tu perds le profil, on en génère un autre ; on ne le « récupère » pas.

1.3 Installer le client

Télécharge toujours depuis la boutique officielle ou depuis wireguard.com. Il existe dans les boutiques des clones aux noms ressemblants qui demandent des autorisations qui n’ont rien à voir.

1.4 Téléphone : scanner le code QR

1. Dans le panneau, ouvre le profil du dispositif et appuie sur Afficher le code QR.
2. Sur le téléphone, ouvre WireGuard et touche le bouton + (en bas à droite).
3. Choisis Scanner un code QR et accorde l’autorisation d’accès à l’appareil photo.
4. Vise l’écran de l’ordinateur. Une fois le code reconnu, il demande un nom pour le tunnel (Maison, par exemple). Accepte.
5. Active l’interrupteur du tunnel. La première fois, Android ou iOS demanderont d’autoriser une « configuration VPN » : c’est normal, accepte.

⚠️ Ce QR est la clé de ton réseau. Il contient en clair la clé privée du dispositif : quiconque le prend en photo peut entrer chez toi depuis n’importe où dans le monde. Ne le partage pas, ne le colle pas dans une discussion et ne le laisse pas dans une capture d’écran. Si un téléphone est perdu ou que tu en changes, supprime son profil dans le panneau : cette clé cesse de fonctionner immédiatement.

1.5 Ordinateur : importer le fichier de configuration

1. Dans le panneau, Télécharger la configuration enregistre un fichier .conf (par exemple portable.conf).
2. Windows / macOS : ouvre WireGuard → Importer un ou des tunnels depuis un fichier → choisis le .conf → Activer.
3. Linux :

sudo install -m 600 portable.conf /etc/wireguard/casa.conf
sudo wg-quick up casa                       # se connecter maintenant
sudo systemctl enable --now wg-quick@casa   # ...et à chaque démarrage

1. Supprime le .conf du dossier des téléchargements une fois importé : il est aussi sensible que le QR.

1.6 Vérifier que le tunnel fonctionne vraiment

Teste depuis l’extérieur de la maison. Avec le téléphone en données mobiles et le wifi coupé ; si tu testes depuis ton propre wifi, ça peut échouer même si tout est bon (beaucoup de routeurs ne savent pas renvoyer vers l’intérieur une connexion qui sort de leur propre réseau : ça s’appelle le hairpin NAT).

Dans le client, tunnel activé, regarde la dernière poignée de main (latest handshake) : si elle indique une heure récente et que les compteurs de données augmentent, le tunnel est établi. Ensuite, le vrai test :

ping 192.168.1.50            # l’IP locale du NAS, depuis le dispositif connecté

et ouvre https://192.168.1.50:5001 dans le navigateur : le panneau doit s’afficher. Si en plus tu utilises le tunnel complet, https://api.ipify.org doit renvoyer l’IP publique de ta maison, pas celle de ton opérateur mobile.

Depuis le NAS lui-même, la vue de l’intérieur :

sudo wg show

Pour chaque dispositif, tu verras latest handshake (il y a combien de temps il a parlé) et transfer (combien de données sont passées). Un peer qui n’a jamais fait de handshake ne s’est jamais connecté : le problème est dans le routeur ou dans le profil, pas dans le NAS.

1.7 Si le VPN ne se connecte pas

Diagnostic sur le NAS :

sudo systemctl status wg-quick@wg0
sudo wg show
sudo ss -lunp | grep 51820        # est-il à l’écoute ?
sudo journalctl -u wg-quick@wg0 -n 50

1.8 Sans ouvrir de ports : Tailscale et NetBird

Si tu ne peux pas ouvrir de port sur le routeur —tu es derrière un CGNAT, ou le routeur n’est pas à toi—, les deux autres onglets de Panneau de configuration → VPN te mènent au même endroit par un autre chemin : le NAS entre dans ton réseau Tailscale ou NetBird, et tu l’atteins depuis n’importe lequel de tes dispositifs où l’application est connectée, où que tu sois. Il faut un compte sur ce service ; on ne touche pas au routeur.

1. Installe-le. Il n’est pas inclus : Installer Tailscale (ou Installer NetBird) le télécharge depuis son dépôt officiel en deux minutes.
2. Fais entrer le NAS dans ton réseau.
• Tailscale : colle une clé d’authentification —elle se crée dans sa console, dans Settings → Keys— ou appuie sur Connecter sans clé : un lien s’affiche, avec son code QR, pour te connecter avec ton compte Tailscale. L’écran se met à jour tout seul dès que c’est fait. Si ton réseau demande d’approuver chaque nouveau dispositif, approuve le NAS dans la console de Tailscale.
• NetBird : colle une clé d’enregistrement (setup key), qui se crée dans son panneau, dans Setup Keys. Si tu as ton propre serveur NetBird, saisis son adresse dans **Serveur personnel** ; vide, c’est le cloud de NetBird qui est utilisé.
3. Entre. Une fois connecté, l’écran affiche l’adresse du NAS dans ce réseau et comment ouvrir le panneau : https://<cette-adresse>:5001, depuis n’importe lequel de tes dispositifs où l’application est connectée. Cette adresse apparaît aussi dans `Panneau de configuration → Adresses` et figure dans l’invitation de LGM Connect.

Ce qui entre par Tailscale ou NetBird compte comme venant de la maison pour le pare-feu, et le blocage par pays ne le filtre pas : ce sont tes dispositifs, où qu’ils soient.

• Le panneau dans n’importe quel navigateur, avec NetBird. Pour l’ouvrir sans rien installer, le proxy inverse se monte dans le panneau de NetBird, pas sur le NAS : crée-y un service Reverse Proxy qui pointe vers ce dispositif en https, port 5001, avec « Skip TLS Verification » activé. Quand le NAS est connecté, l’écran te le rappelle avec le lien. Ça publie le panneau sur internet : lis d’abord la [liste de sécurité](external-access.md#6-sécurité-lis-le-avant-de-toucher-au-routeur).
• Éteindre (l’interrupteur en haut) : le NAS reste dans ton réseau, mais on ne peut plus l’atteindre par ce biais jusqu’à ce que tu le rallumes.
• Quitter le réseau : sort le NAS de ton réseau. Pour l’y remettre, il faut une nouvelle clé ou te reconnecter.
• Désinstaller : le NAS quitte ton réseau et le programme est supprimé avec tout ce qu’il gardait.
• Un seul à la fois. Tailscale et NetBird distribuent les mêmes adresses (100.x) : avec les deux allumés, l’un peut couper la connexion de l’autre. L’écran te prévient.

2. Serveur DNS

Le DNS traduit les noms en adresses. Avec celui du NAS actif, tu obtiens trois choses :

• Des noms pour tes dispositifs : nas.casa au lieu de 192.168.1.50, impresora.casa, camara.casa. Fini d’apprendre des IP par cœur ou de les chercher sur un bout de papier.
• Cache : les requêtes répétées obtiennent leur réponse depuis le NAS, sans sortir sur internet.
• Un seul endroit où changer les choses : si le NAS change d’IP, tu corriges un enregistrement et toute la maison est au courant.

Ça fonctionne de la même façon à travers le VPN : connecté depuis l’extérieur, nas.casa continue de se résoudre.

2.1 Activer le service

Dans Panneau de configuration → DNS, tu choisis les serveurs de transfert (à qui le NAS demande ce qu’il ne sait pas : ceux de ton opérateur, 1.1.1.1, 9.9.9.9…), le domaine local et les enregistrements locaux. À l’enregistrement, le panneau écrit la configuration et démarre le service.

Le port 53 doit être libre. Une installation normale de Debian 12 ne l’occupe pas, mais beaucoup d’images de machines virtuelles et de cloud ont systemd-resolved activé, et alors le serveur DNS ne démarre pas. Vérifie-le et libère-le :

sudo ss -lunp | grep ':53'          # qui écoute sur le 53 ?
sudo systemctl disable --now systemd-resolved

Si tu désactives systemd-resolved, assure-toi que le NAS lui-même garde un DNS valide, sinon il ne pourra plus résoudre les noms (ni se mettre à jour) :

ls -l /etc/resolv.conf              # si c’est un lien vers ../run/systemd/resolve/... :
sudo rm /etc/resolv.conf
# Le premier est le dnsmasq du NAS lui-même ; le second est le filet de sécurité pour que
# le dispositif continue de résoudre pendant que le service est arrêté.
printf 'nameserver 127.0.0.1\nnameserver 1.1.1.1\n' | sudo tee /etc/resolv.conf

2.2 Les enregistrements locaux

Un enregistrement est une paire nom → IP :

À propos du domaine que tu choisis :

• N’utilise pas .local : il est réservé à mDNS/Bonjour (Apple, imprimantes, Chromecast) et l’utiliser pour du DNS normal provoque des pannes intermittentes très difficiles à diagnostiquer.
• Bons choix : .casa, .lan ou .home.arpa (ce dernier est celui réservé officiellement aux réseaux domestiques).
• Si tu as ton propre domaine, un sous-domaine interne (interno.midominio.com) est le plus propre et te permet en plus d’utiliser des certificats valides à la maison.

Les dispositifs qui reçoivent leur IP du DHCP du NAS peuvent s’enregistrer tout seuls avec le nom qu’ils annoncent : les deux pièces se complètent.

2.3 Diriger les dispositifs vers le NAS

Trois façons, de la moins à la plus laborieuse :

1. Avec le DHCP du NAS actif : il n’y a rien à faire, le DHCP lui-même donne le NAS comme serveur DNS à toute la maison.
2. Depuis le routeur (le plus pratique si tu ne vas pas utiliser le DHCP du NAS) : dans la configuration DHCP du routeur, change le « serveur DNS » qu’il distribue et mets l’IP du NAS. Les dispositifs le prendront en compte en renouvelant leur bail (ou en se reconnectant).
3. Dispositif par dispositif, pratique pour tester sans gêner personne :
• Windows : Paramètres → Réseau et Internet → Wi-Fi/Ethernet → Modifier l’attribution du serveur DNS → Manuel → IPv4 → DNS préféré : l’IP du NAS.
• macOS : Réglages Système → Réseau → Détails → DNS → +.
• Linux : nmcli con mod "<connexion>" ipv4.dns 192.168.1.50 ipv4.ignore-auto-dns yes et nmcli con up "<connexion>".
• Android/iPhone : dans les options du réseau wifi, paramètres IP → statique.

Garde toujours un DNS de secours. Si le NAS est le seul DNS de la maison et qu’il s’éteint ou redémarre pour se mettre à jour, tout le monde se retrouve « sans internet » (ce qui ne marche plus, ce n’est pas la connexion : ce sont les noms). Mettre le routeur ou 1.1.1.1 en secondaire évite la coupure, en échange de quoi un dispositif résoudra parfois par le secondaire et ne trouvera pas les noms locaux. C’est le compromis normal : un secours, oui, et accepte que nas.casa puisse échouer pendant que le NAS est éteint.

2.4 Vérifier que ça fonctionne

# Linux / macOS
dig @192.168.1.50 nas.casa +short       # doit renvoyer l’IP locale
dig @192.168.1.50 www.google.com +short # doit renvoyer quelque chose : le transfert marche

# Windows
nslookup nas.casa 192.168.1.50

Et pour savoir quel DNS un dispositif utilise vraiment : ipconfig /all sous Windows ou resolvectl status / cat /etc/resolv.conf sous Linux.

2.5 Si le DNS ne fonctionne pas

sudo systemctl status dnsmasq
sudo journalctl -u dnsmasq -n 50
sudo dnsmasq --test                 # la configuration est-elle valide ?

3. Serveur DHCP

Le DHCP, c’est lui qui distribue à chaque dispositif son adresse IP, le masque, la passerelle et le DNS. Aujourd’hui, c’est ton routeur qui le fait. Si tu le confies au NAS, tu gagnes des réservations par MAC bien gérées, des noms automatiques en lien avec le DNS et une liste claire de ce qui est connecté chez toi.

### ⚠️ Lis ceci avant de l’activer Sur un réseau, il ne peut y avoir qu’un seul serveur DHCP. Avant d’activer celui du NAS, tu dois désactiver celui du routeur. Si les deux sont allumés en même temps, chaque dispositif qui se connecte pose la question à la cantonade et garde la première réponse qui arrive —tantôt celle du routeur, tantôt celle du NAS—, si bien que certains dispositifs marcheront et d’autres non, en changeant d’un jour à l’autre. Ce n’est pas « une configuration un peu sale » : c’est une panne intermittente qui rend fou n’importe qui. Et le risque dans l’autre sens : avec le DHCP du routeur éteint, si celui du NAS ne marche pas, personne n’obtient d’IP et toute la maison se retrouve sans réseau, y compris l’ordinateur avec lequel tu comptais réparer. C’est pour ça que la section importante de ce guide est « Si tu te retrouves sans réseau ».

3.1 Préparation (cinq minutes qui t’épargnent un après-midi)

• [ ] Enregistre cette page sur ton téléphone (ou imprime-la). Si tu te retrouves sans réseau, tu ne pourras pas la consulter, et c’est justement là que tu en auras besoin.
• [ ] Note sur papier : IP du routeur, IP du NAS, masque (presque toujours 255.255.255.0) et la plage que le NAS va distribuer.
• [ ] Note le mot de passe du routeur. S’il vit dans un gestionnaire de mots de passe dans le cloud et que tu n’as plus internet, tu ne l’auras pas.
• [ ] Recopie les réservations par MAC que le routeur a déjà (imprimante, caméras, console…). Si tu ne les reportes pas sur le NAS, ces dispositifs changeront d’IP et ne répondront plus là où tu les attendais.
• [ ] Garde un clavier et un écran branchés au NAS, ou SSH qui fonctionne depuis un dispositif avec une IP fixe réglée à la main.
• [ ] Choisis la plage avec soin : elle ne doit inclure ni l’IP du routeur, ni celle du NAS, ni celle d’aucun dispositif à IP fixe. Un exemple sain sur un réseau 192.168.1.0/24 :

| Élément | Valeur | |---|---| | Routeur (passerelle) | 192.168.1.1 | | NAS | 192.168.1.50 | | Dispositifs à IP fixe | 192.168.1.2 – 192.168.1.99 | | Plage du DHCP | 192.168.1.100 – 192.168.1.200 | | DNS distribué | 192.168.1.50 (le NAS) et, en option, 1.1.1.1 | | Bail (lease) | 2 h pendant les tests ; 12–24 h ensuite |

Un bail court pendant la migration fait que les dispositifs prennent les changements en quelques minutes au lieu de quelques jours. Quand tout marche, allonge-le : avec des baux longs, si le NAS s’éteint, les dispositifs gardent leur IP pendant de nombreuses heures et tu ne découvres pas la panne à tes dépens.

3.2 Le bon ordre (ne le change pas)

1. Configure le DHCP dans Panneau de configuration → DHCP : plage, masque, passerelle (l’IP du routeur, pas celle du NAS), DNS et bail. Enregistre sans activer.
2. Connecte-toi au routeur et désactive son DHCP. C’est souvent dans LAN → DHCP → « Serveur DHCP : désactivé ». Les dispositifs déjà allumés gardent leur IP jusqu’à l’expiration de leur bail, donc tu as encore du réseau.
3. Active le DHCP du NAS depuis le panneau.
4. Teste avec un seul dispositif avant de toucher à quoi que ce soit d’autre :

ipconfig /release
ipconfig /renew
ipconfig /all          # "Serveur DHCP" doit être l’IP du NAS

sudo nmcli con down "<connexion>" && sudo nmcli con up "<connexion>"   # Linux
nmcli device show <interface> | grep -E 'IP4.ADDRESS|IP4.GATEWAY|IP4.DNS'

Sur un téléphone, il suffit de couper puis de rallumer le wifi.

1. Regarde la liste des baux dans le panneau : les dispositifs doivent y apparaître avec leur nom et leur MAC au fur et à mesure qu’ils renouvellent.
2. Seulement quand le test est concluant, allonge le bail à 12–24 h et reporte le reste des réservations.

3.3 Ce que veut dire chaque champ

3.4 Si tu te retrouves sans réseau

⛑️ Pas de panique : rien n’est cassé. Seule la distribution des adresses a cessé de fonctionner ; le câble, le wifi, le routeur et tes données sont intacts. Ça se répare en deux minutes.

Comment le reconnaître : les dispositifs indiquent « pas d’internet » ou « connecté, sans accès au réseau », et leur IP commence par 169.254. (c’est l’adresse de secours qu’un dispositif s’invente quand personne ne lui répond) ou ils n’en ont pas du tout.

Plan A — donne une IP à la main à ton ordinateur (ça marche presque toujours)

Avec une IP réglée à la main, tu n’as besoin d’aucun DHCP : tu pourras ouvrir le routeur ou le NAS et annuler le changement. Utilise une adresse libre en dehors de la plage que tu as configurée, par exemple 192.168.1.90, avec le masque 255.255.255.0, la passerelle 192.168.1.1 (ton routeur) et le DNS 1.1.1.1.

Windows (rapide, dans une invite de commandes en tant qu’administrateur) :

netsh interface ip show config                     # voir le nom exact de l’interface
netsh interface ip set address name="Ethernet" static 192.168.1.90 255.255.255.0 192.168.1.1
netsh interface ip set dns     name="Ethernet" static 1.1.1.1

Par les menus : Paramètres → Réseau et Internet → Ethernet (ou Wi-Fi) → Attribution IP → Modifier → Manuel → active IPv4 → remplis ces quatre valeurs.

macOS : Réglages Système → Réseau → ta connexion → Détails → TCP/IP → « Configurer IPv4 » : Manuellement → remplis l’adresse, le masque et le routeur.

Linux :

nmcli con mod "<connexion>" ipv4.method manual \
  ipv4.addresses 192.168.1.90/24 ipv4.gateway 192.168.1.1 ipv4.dns 1.1.1.1
nmcli con up "<connexion>"

Android : appuie longuement sur le réseau wifi → Modifier le réseau → Options avancées → Paramètres IP : Statique. iPhone : Réglages → Wi-Fi → (i) → Configurer l’IP → Manuelle.

Une fois le réseau revenu, choisis ton chemin :

• Tout annuler : connecte-toi au routeur (http://192.168.1.1) et réactive son DHCP. La maison retrouve la normalité aussitôt.
• Réparer celui du NAS : connecte-toi au panneau (https://192.168.1.50:5001) et corrige ou désactive le DHCP du NAS.

Quand tout marche, remets ton ordinateur en automatique, sinon dans un mois tu auras un conflit d’IP dont tu ne sauras pas d’où il vient :

netsh interface ip set address name="Ethernet" dhcp
netsh interface ip set dns     name="Ethernet" dhcp

nmcli con mod "<connexion>" ipv4.method auto ipv4.addresses "" ipv4.gateway "" ipv4.dns ""
nmcli con up "<connexion>"

Plan B — depuis la console du NAS (clavier et écran)

Si le NAS distribue mal les adresses et que tu veux l’arrêter tout de suite, sans dépendre du réseau :

sudo systemctl stop dnsmasq       # arrête de distribuer des IP (et de résoudre les noms) immédiatement
sudo systemctl disable dnsmasq    # ...et aussi au démarrage

Ensuite, réactive le DHCP du routeur et recommence calmement. Attention : ça arrête aussi le serveur DNS, parce que c’est le même processus ; c’est exactement ce que tu veux en cas d’urgence.

Une fois réparé, rallume-le depuis le panneau et non avec systemctl enable : ainsi l’interface et le service disent la même chose, et le panneau réécrit la configuration avec les valeurs que tu vois à l’écran.

Plan C — je n’arrive même pas à entrer dans le routeur

Si tu ne te souviens plus du mot de passe d’administration du routeur, il reste la réinitialisation d’usine (bouton reset avec un trombone, 10 secondes dispositif allumé). Son DHCP est de nouveau activé —c’est ce que tu cherches— mais le nom et le mot de passe du wifi, les redirections de ports et tous tes réglages sont aussi effacés : tu devras tout reconfigurer, y compris le port du VPN. C’est le dernier recours, pas le premier.

Plan D — j’ai besoin d’internet pour chercher des informations

Partage la connexion de ton téléphone par USB ou wifi avec l’ordinateur. Tu auras internet pour lire ce guide pendant que tu répares le réseau de la maison, même si, de là, tu ne verras pas le NAS.

Et pour la prochaine fois

• Reviens au bon ordre et vérifie chaque étape.
• L’erreur la plus courante, de loin, c’est la passerelle : si tu mets l’IP du NAS au lieu de celle du routeur, les dispositifs obtiennent une IP parfaitement et ne naviguent pas.
• La deuxième, le DNS vide : tout semble bien et aucun site ne s’ouvre.
• La troisième, deux DHCP allumés : regarde ipconfig /all sur deux ou trois dispositifs ; si sur l’un le « Serveur DHCP » est le routeur et sur un autre le NAS, celui du routeur est toujours actif.

3.5 Vérifications et diagnostic

sudo systemctl status dnsmasq
sudo journalctl -u dnsmasq -f        # en direct : DHCPDISCOVER, DHCPOFFER, DHCPACK
cat /var/lib/misc/dnsmasq.leases     # baux distribués (la même liste que le panneau)
sudo ss -lunp | grep -E ':(53|67)'   # DNS et DHCP sont-ils à l’écoute ?

Une séquence saine dans le journal est DHCPDISCOVER → DHCPOFFER → DHCPREQUEST → DHCPACK. Si tu vois DISCOVER sans OFFER, c’est presque toujours que la plage est épuisée ou que la demande arrive par une interface que le service ne dessert pas.

Nouveaux dispositifs sur le réseau. Avec le DHCP du NAS allumé, chaque fois qu’un dispositif jamais vu se connecte, le panneau te prévient avec son nom, son adresse et sa carte réseau. La première fois, il note ceux qui étaient déjà connectés sans signaler aucun d’eux ; un dispositif qu’on n’a pas vu depuis plus d’un an compte de nouveau comme nouveau.

4. Comment les trois pièces s’emboîtent

                 Internet
                     │
            routeur (passerelle)               ← le DHCP du routeur : ÉTEINT
                     │
   ┌─────────────────┴───────────────────┐
   │        réseau de la maison          │
   │   PC   tél.   télé   imprimante     │
   └─────────────────┬───────────────────┘
                     │  IP + DNS + passerelle
                 NAS · dnsmasq  (DHCP 67 · DNS 53)
                     │
                 WireGuard (UDP 51820) ──► ton téléphone, hors de la maison

Le NAS distribue les adresses et, dans la même réponse, s’annonce comme serveur DNS ; le DNS connaît les noms de tout ce que le DHCP a placé ; et le VPN fait entrer ton téléphone dans ce réseau, avec ses noms et tout le reste, où que tu sois.

On peut les utiliser séparément sans problème : le VPN seul est parfaitement utile, et le DNS sans le DHCP aussi (il suffit que le routeur distribue l’IP du NAS comme serveur de noms).

5. Aide-mémoire des commandes

# VPN
sudo wg show                            # peers, dernier handshake et données transférées
sudo systemctl status wg-quick@wg0
sudo journalctl -u wg-quick@wg0 -n 50

# DNS et DHCP (les deux sont dnsmasq)
sudo systemctl status dnsmasq
sudo systemctl stop dnsmasq             # ⛑️ arrêter DNS et DHCP en urgence
sudo dnsmasq --test                     # valider la configuration
sudo journalctl -u dnsmasq -f
cat /var/lib/misc/dnsmasq.leases

# Ports utilisés
sudo ss -lunp | grep -E ':(53|67|51820)'

Et les commandes côté client, qui sont celles qui disent vraiment si le réseau va bien :

ipconfig /all          # IP, serveur DHCP, DNS et passerelle (Windows)
ipconfig /flushdns
nslookup nas.casa

ip addr show           # Linux
nmcli device show <interface>
dig @192.168.1.50 nas.casa +short

Voir aussi

• Publier le NAS sur internet — l’alternative au VPN quand tu dois partager avec des gens qui n’installeront pas de client.
• Guide d’administration — le reste du panneau.
• Reprise après sinistre — que faire quand c’est le dispositif entier qui tombe en panne.