problème d'accès à distance via un nom de domaine

[El_Murphy]

Bravo pour la mise en place du certificat !

Pour la page DSM non accessible , je pense que c'est a cause de web station.

Les requêtes http://www.twiners.fr sont a destination de webstation , virtualhost.

En revanche pour les requêtes de l'extérieur (moi par exemple) https://twiners.fr c'est la page DSM , j'ai essayé en changeant de navigateur pour être sur.

 

Modifié le 17 janvier 2018 par El_Murphy

[rvga]

D'accord... si je comprends bien chaque fois que j'exploite un nouveau paquet (avec un port pas encore utilisé) je devrai systématiquement créer une règle de redirection depuis la freebox ?

Mais pourquoi le Drive fonctionne alors ? je l'ai pas encore redirigé dans la freebox !

[El_Murphy]

Drive est particulier , pour les téléphones et l'accessibilité dans le navigateur ça passe par le port 5001.

Mais si vous installez l'application Synology Drive pour PC/MAC c'est le port 6690 qui est utilisé.

On est quelques uns a s'être fait avoir ^^.

Edit : Et oui , si vous installer un nouveau service qui utilise un port spécifique , il faudra le transférer de la freebox au nas

et faire une règle dans le par feu du nas.

Modifié le 17 janvier 2018 par El_Murphy

[rvga]

Ok je comprends, reste à le garder en tête ;) Je mettrai en place ces nouvelles règles un fois de retour chez moi pour accéder à mafreebox.

En revanche, pour...

il y a une heure, El_Murphy a dit :

Pour la page DSM non accessible , je pense que c'est a cause de web station.

Les requêtes http://www.twiners.fr sont a destination de webstation , virtualhost.

En revanche pour les requêtes de l'extérieur (moi par exemple) https://twiners.fr c'est la page DSM , j'ai essayé en changeant de navigateur pour être sur.

C'est moins clair quant aux modifications que je devrai essayer de faire....

[El_Murphy]

Le www. pointe sur le "site" que vous avez activer en installant le paquet web station.

Si vous voulez que www. pointe sur la page DSM vous pouvez utiliser un simple index.php ou alors vous servir du proxy inversé dans le portail des applications.

Si vous voulez que www. pointe sur votre site (blog;wordpress...etc) il faut faire un hôte virtuel dans Webstation qui pointe dans votre dossier web/www.

[rvga]

Je pensais avoir avoir tout bien fait pour ma connexion redmine, mais je n'arrive à m'y connecter :(

J'ai déclaré la redirection freebox comme prévu, je l'ai redémarrée (le PC aussi du reste)

En lisant le code erreur renvoyé, je comprends qu'on parle du certificat. Très naïvement, je l'enregistre à nouveau en me disant qu'il tiendra peut être compte des nouveaux ports ouverts... Manqué :(

En cherchant sur la nature du code erreur renvoyé, j'obtiens ces pages :

• google : https://aboutssl.org/fix-google-chrome-error-err_ssl_protocol_error/
• Mozilla : https://knowledge.symantec.com/fr/support/ssl-certificates-support/index?page=content&id=SO12884&pmv=print&actp=PRINT&viewlocale=fr_FR

Google dans son 5ème point, fait bien allusion au parfeu, je relis, je vois pas.

Mozilla donne la piste suivante

Citation

Dans Apache, vérifiez que l'instruction Listen <port> correspond bien au numéro de port qui figure dans l'instruction VirtualHost du site Web en cours de sécurisation et que les déclarations de configuration SSL (SSLEngine On, SSLCertificateFile <nomfichier>, etc) figurent bien dans l'instruction VirtualHost du site Web ou dans le fichier de configuration SSL du serveur.

Il faut visiblement aller reparamètrer Apache, peut être Docker... ?

Clairement, ça me dépasse...

 

Modifié le 19 janvier 2018 par rvga

[El_Murphy]

Pour redmine , je viens d'essayer avec docker chez moi , j'ai le même problème pour y acceder en https , en http aucun soucis.

Je ne m'y connais pas trop en Docker donc la pour le coup je ne sais pas.

 

[El_Murphy]

Bon , je viens de tester , vous pouvez contourner le problème par le proxy inversé dans le portail des applications.

Vous faites 2 règles comme ça : 

Une pour le HTTP

Une pour le HTTPS

 

Une fois les 2 règles faites , vous aller dans Sécurité => Certificat => Configurer

Sur la ligne www.twiners.fr vous associer le certificat twiners.fr.

Vous validez .

 

 

 

[rvga]

Bonjour El_Murphy

Il y a 19 heures, El_Murphy a dit :

Pour redmine , je viens d'essayer avec docker chez moi , j'ai le même problème pour y acceder en https , en http aucun soucis.

Comment réussissez-vous à vous connecter en http ? Moi il me redirige automatiquement en https ? Ce qui parait plutôt normal, je l'ai configuré comme ça.

 

Bon je viens de me faire bloquer :(

On a droit à 5 certificats Let's Encrypt (LE) par semaine et à force de tester dans tous les sens , j'ai consommé sans le savoir mes 5 certificats. 'LE' propose bien un environnement de test (staging) mais je ne sais pas comment le paramétrer. Je suis donc bloqué tout le WE (renouvellement des certificats à la semaine si j'ai bien compris) avec retour à mon IP publique pour me connecter - puisque j'ai supprimé mon certificat twiners pour repartir de zéro.

Avant de le supprimer, j'avais entre-temps créé les 2 règles au niveau du proxy inversé, j'avais rajouté twiners.fr au même niveau que www.twiners.fr ('autre nom de l'objet' dans le certificat).

Ca n'avait pas changé grand chose dans Chrome... je n'accédais pas à Redmine. MAIS, dans Mozilla, j'ai eu accès à Redmine en tapant directement "twiners.fr" ! Ca devient doublement tordu ! Non seulement on n'aurait pas le même résultat d'un navigateur à l'autre (très surprenant quadn même - du coup ça pourrait répondre à ma 1ère question en début de post "Comment réussissez-vous à vous connecter en http ?"... Mozilla ?) mais en plus j'ai eu accès à Redmine via 'twiners.fr', c'est vraiment pas l'objectif.

En tout cas, il ne me reste plus qu'à attendre la semaine prochaine pour accéder à LE à nouveau et reprendre mes tests. A tout hasard, sauriez-vous comment paramétrer leur environnement staging ? (https://letsencrypt.org/docs/rate-limits/) ça m'évitera de me refaire bloquer !

 

[rvga]

ah oui, j'oubliais... en accédant à Redmine, je me suis rendu compte en fouillant dans les paramètres la configuration suivante :

Ca viendrait pas pertruber l'accès ?

[El_Murphy]

En faites le problème ne vient pas de votre certificat , si j'ai bien compris.

Le NAS est sous Nginx , du coup votre Docker (apache) ne voit pas le certificat LE.

Donc soit vous "injectez" le certificat dans le container (mais alors là ça dépasse clairement mon niveau docker)

Soit on fait passer les requêtes par le proxy inversé car lui il gère le certificat LE.

En gros le proxy inversé il est là pour faire la circulation a l'entré du NAS.

La première règle s'occupe des requêtes "http://www.twiners.fr" du port 80 donc , et les fait atterrir sur le port (30002) du NAS toujours en http.

La deuxième règle s'occupe des requêtes "https://www.twiners.fr" du port 443 , et les fait atterrir sur le port (30002) du NAS mais en http (car apache ne voit pas le certificat)

De cette façons le certificat est pris en comptee.

Vous n'avez pas besoin de changer votre certificat 36 fois  , 1 seul certificat avec twiners.fr et www.twiners.fr devrait suffire.

Pour vos tests , je vous conseil de désactiver le "HSTS" si vous l'avez activer.Il force les navigateurs a utiliser le protocol https , du coup autant le virer le temps de faire des essais.

 

Pour la configuration de votre Redmine (Ports) il faut regarder dans docker = > container => séléctionner redmine et aller sur détails , vous aurez ceci :

Moi j'ai laisser le port de base , a savoir le port 32769 du NAS et 3000 pour le container.

Donc j'ai le choix , soit je transfère le port de la freebox au nas (32769) et j'ouvre le parfeu du NAS pour ce port

Soit je dis au proxy inversé de chopper toutes les requêtes www.twiners.fr et de les balancer dessus.

Je préfère la deuxième solution , déja car il n'y a pas besoin de marquer ":32769" a la fin de l'url (ex: www.twiners.fr:32769)

Et en plus car on peut gérer le certificat a associer a cette redirection.

 

Modifié le 20 janvier 2018 par El_Murphy

[rvga]

Proxy Vs certificat-conteneur...  n'étant pas compétent en la matière, je n'ai pas de préférence tant que la sécurité est assurée. Je continuerai de suivre vos recommandations.

Pour pas m'embrouiller plus, je ne fais plus de tests tant que j'aurai pas remis en place le certificat associé à twiners.

Pour info, je n'avais pas validé le HSTS mais celle du http/2 - comme montré dans votre screen.

Est-ce parce que j'ai effacé les 2 règles du proxy que je ne vois pas les mêmes informations sur mon Docker ?

En résumé,

• je remets le certificat dès que je peux - pas avant lundi à priori. On est bien d'accord qu'il faudra que j'inscrive dans le champ 'Autre nom de l'objet' : www.twiners.fr ET twiners.fr ?

Le 19/01/2018 à 11:52, El_Murphy a dit :

Sur la ligne www.twiners.fr vous associer le certificat twiners.fr.

• je remets en place les 2 règles du proxy inversé comme décrite plus haut
• je teste et vous dit si ça fonctionne... Je mettrai à jour les screens de mes paramétrages pour être certain qu'on parle de la mm chose.

J'ai ouvert une grosse ardoise chez vous !

Encore merci et bon WE ;)

 

[El_Murphy]

Pour le certificat il n'y a pas besoin de rajouter twiners.fr dans la ligne du bas car il est déjà déclaré dans la case Nom de Domaine.

Comme ceci :

 

Ensuite en ce qui concerne le HSTS c'était uniquement pour les redirections de www.twiners.fr , mais sachez que vous pourriez l'avoir activé pour twiners.fr dans :

Panneau de Configuration => Réseau => Paramètres de DSM => Domaine (tout en bas)

 

Pour voir la page d'état de votre conteneur redmine il faut aller dans Docker ensuite a gauche dans Conteneur .

Vous mettez redmine1 en surbrillance et vous cliquez sur Détails.

Vous verrez cette page apparaître :

 

Pour l'association d'une redirection du proxy inversé et d'un certificat il faut aller comme je l'ai dis , ici :

Le 19/01/2018 à 11:52, El_Murphy a dit :

Une fois les 2 règles faites , vous aller dans Sécurité => Certificat => Configurer

Sur la ligne www.twiners.fr vous associer le certificat twiners.fr.

Donc : Panneau de Configuration => Sécurité =>Certificat = Configurer

Pour le Service www.twiners.fr il faudra mettre votre certificat , certificat qui s'appel twiners.fr.

Alors forcement dans ma capture j'ai effacé le nom de mon certificat , mais chez vous dans la colonne Certificat vous pourrez y mettre le votre.

 

Edit: Bon weekend a vous aussi :D

 

 

 

Modifié le 20 janvier 2018 par El_Murphy

[Jeff777]

Bonjour @Kevin Ledig

il y a 10 minutes, Kevin Ledig a dit :

aprés avoir fait tout le tour de ce tuto

De quel tuto s'agit-il? Une petite présentation ici serait utile pour te dépanner.

il y a 13 minutes, Kevin Ledig a dit :

je suis obligé d ajouter :5001 pour acceder a mon Nas

Ce n'est pas anormal d'arriver sur le DSM avec ndd:5001. Après, cela dépend de ce que tu veux faire. 

En général on préfère l'utilisation d'un proxy inverse pour arriver au DSM sans utilisation de port, avec nas.ndd  par exemple . Mais cela n'a rien d'obligatoire.

Je te conseille de lire le tuto sécuriser les accès à son NAS en priorité