HTTPS impossible. Certificat de sécurité SSL invalide -> Pourquoi ???

[JNBN]

Bonjour,

Je souhaite installer un SSL sur mon NAS pour certifier les connexions avec les navigateurs.

Pour cela j'ai un nom de domaine chez 1&1, j'ai redirigé le NDD vers l'IP de mon NAS, j'ai acheté le SSL, j'ai indiqué le gérer sur mon NAS et l'ai installé correctement (enfin je pense...).

J'ai changé le port HTTP et HTTPS de mon NAS etc etc...

Malgré cela lorsque je passe par mon NDD, j’atterris correctement sur mon NAS mais avec l'alerte de sécurité suivante :

en détail :

Impossible d'être en HTTPS.

Quelqu'un pourrait m'aider ?

Merci d'avance.

Modifié le 18 août 2018 par JNBN

[Olivier Mathieu]

même soucis, je vais suivre attentivement les réponses ...

[goerges]

Salut,

Quand tu dis: " j'ai redirigé le NDD vers l'IP de mon NAS", qu'as-tu fait exactement ?

Georges

[El_Murphy]

Bonsoir , c'est normal.

Vous avez tapez https:// suivis de votre ip publique dans le navigateur donc le certificat doit correspondre à ce que vous venez de taper.

Résultat vous allez directement sur votre box , qui vous redirige sur votre NAS et sur celui ci le certificat n'est pas une ip mais un nom de domaine que vous avez déclaré.

Si vous voulez utiliser votre certificat il faudrait que vous tapiez le nom de ce certificat dans la barre d'adresse url de votre navigateur.

 

Que ce passe t'il quand vous tapez votre nom de domaine à la place de votre ip ?

Modifié le 18 août 2018 par El_Murphy

[unPixel]

Bonsoir,

Comme le dit El_Murphy, c'est le nom de domaine qu'il faut mettre à la place de l'IP dans la barre d'adresse. Sinon, il n'y a pas d'intérêt à avoir un domaine 🙄

Et quand tu dis avoir acheté un certificat, tu veux dire quoi par là ? Tu sais que tu peux via DSM avoir un certificat Let's Encrypt gratuitement ?

[JNBN]

Salut,
Quand tu dis: " j'ai redirigé le NDD vers l'IP de mon NAS", qu'as-tu fait exactement ?
Georges

Bonjour et merci de votre aide.
La gestion du NDD peut être attachée à un site web (WP, joomla...) ou servir de redirection vers une adresse ip (la mienne). Ce que j’ai fait.


Envoyé de mon iPhone en utilisant Tapatalk

Bonsoir , c'est normal.
Vous avez tapez https:// suivis de votre ip publique dans le navigateur donc le certificat doit correspondre à ce que vous venez de taper.
Résultat vous allez directement sur votre box , qui vous redirige sur votre NAS et sur celui ci le certificat n'est pas une ip mais un nom de domaine que vous avez déclaré.
Si vous voulez utiliser votre certificat il faudrait que vous tapiez le nom de ce certificat dans la barre d'adresse url de votre navigateur.
 
Que ce passe t'il quand vous tapez votre nom de domaine à la place de votre ip ?

Bonsoir et merci de votre aide
Je ne tape pas l’ip mais juste l’adresse de mon NDD (www.jnxxxxxxx.fr) qui lui me redirige sur l’ip de ma box.


Envoyé de mon iPhone en utilisant Tapatalk

Bonsoir,
Comme le dit El_Murphy, c'est le nom de domaine qu'il faut mettre à la place de l'IP dans la barre d'adresse. Sinon, il n'y a pas d'intérêt à avoir un domaine
Et quand tu dis avoir acheté un certificat, tu veux dire quoi par là ? Tu sais que tu peux via DSM avoir un certificat Let's Encrypt gratuitement ?

Bonsoir et merci de votre aide
J’ai acheté un certificat ssl (chez 1&1 c’est geotrust) il est attache à mon NDD mais avec option d’u e gestion externe (pas par 1&1).
Est-ce qu’un certificat ssl let’s encrypt me permettrait d’avoir un https sur toutes les connexions possibles a mon NAS ? car c’est cela que je recherche.
Merci


Envoyé de mon iPhone en utilisant Tapatalk

[goerges]

Oui mais, as-tu créé un enregistrement A dans ton DNS chez 1&1 qui liait ton NDD à ton adresse IP publique ?

Et comme dit El_Murphy et infoYANN, que se passe t-il quand tu tapes le nom de domaine dans la barre d'adresse de ton navigateur plutôt que l'adresse IP ?

 

Georges.

[JNBN]

Oui mais, as-tu créé un enregistrement A dans ton DNS chez 1&1 qui liait ton NDD à ton adresse IP publique ? Et comme dit El_Murphy et infoYANN, que se passe t-il quand tu tapes le nom de domaine dans la barre d'adresse de ton navigateur plutôt que l'adresse IP ?   Georges.

 

 

 

Je ne connais pas l’enregistrement A... lorsque je tape mon adresse web NDD, je suis redirigé sur mon ip fixe de box.  

 

 

Envoyé de mon iPhone en utilisant Tapatalk

 

 

En fait ce que je recherche ce serait d’être en https tout le temps que ce soit en passant par mon NDD (de l’extérieur mon bureau par exemple) ou bien en donnant un lien de dossier partagé du NAS de type 82.xxxxxxx/yyyyyyy/zzzzzz a quiconque pour qu’il n’ait plus l’alerte de securite des navigateurs web et si possible lorsque je l’attaque directement sur mon reseau interne en 192.168.x.x

Je dois probablement mal m’y prendre et trop espérer pour un seul certificat

 

Envoyé de mon iPhone en utilisant Tapatalk

 

 

[unPixel]

Citation

Je dois probablement mal m’y prendre et trop espérer pour un seul certificat

Rassures toi, tu t'y prends mal, c'est un fait mais logiquement ton certificat doit être bon. Par contre, vois si tu peux te le faire rembourser afin ensuite qu'on t'aiguille pour obtenir un certificat SSL chez Let's Encrypt qui une nouvelle fois est gratuit.

Dans un premier temps, tu vas :

1. Vérifier dans ta zone DNS chez 1&1 que ton domaine est redirigé sur ton IP. Tu as une IP fixe ?
2. Tu vas aller dans ta box et indiquer que tel domaine doit être redirigé sur telle IP. Et tu indiques l'IP locale du NAS.
3. Bien entendu, il te faut attribuer au routeur une IP fixe pour le NAS.

Ensuite, tu vas aussi mettre en place le tuto de Fenrir sur la sécurité des NAS puis le tuto DNS Server.

Après tout ça, on verra pour mettre en place le reverse proxy et la redirection automatique pour https.

 

 

 

 

Modifié le 19 août 2018 par InfoYANN

[goerges]

Salut,

Bon, tout n'est pas très clair dans ce que tu racontes mais bon. Je pense que tu devrais, sans vouloir te vexer,  passer un peu de temps sur le forum pour bien comprendre le fonctionnement des NAS en général et du DSM en particulier.

Simple question. As-tu bien forwardé le port 80 (http) et 443 (https) dans ta box vers l'ip de ton NAS ?

Georges.

[JNBN]

il y a 6 minutes, goerges a dit :

Salut,

Bon, tout n'est pas très clair dans ce que tu racontes mais bon. Je pense que tu devrais, sans vouloir te vexer,  passer un peu de temps sur le forum pour bien comprendre le fonctionnement des NAS en général et du DSM en particulier.

Simple question. As-tu bien forwardé le port 80 (http) et 443 (https) dans ta box vers l'ip de ton NAS ?

Georges.

Oui effectivement le NAS est complexe et réserve bien des surprises lorsqu'on est pas un spécialiste.

Pour les ports, je les ai changer dns la config du syno en hhtp et https sur d'autres numéros de ports 6***.

Ces ports 6*** sont bien forwardés sur ma freebox

il y a une heure, InfoYANN a dit :

Rassures toi, tu t'y prends mal, c'est un fait mais logiquement ton certificat doit être bon. Par contre, vois si tu peux te le faire rembourser afin ensuite qu'on t'aiguille pour obtenir un certificat SSL chez Let's Encrypt qui une nouvelle fois est gratuit.

Dans un premier temps, tu vas :

1. Vérifier dans ta zone DNS chez 1&1 que ton domaine est redirigé sur ton IP. Tu as une IP fixe ?
2. Tu vas aller dans ta box et indiquer que tel domaine doit être redirigé sur telle IP. Et tu indiques l'IP locale du NAS.
3. Bien entendu, il te faut attribuer au routeur une IP fixe pour le NAS.

Ensuite, tu vas aussi mettre en place le tuto de Fenrir sur la sécurité des NAS puis le tuto DNS Server.

Après tout ça, on verra pour mettre en place le reverse proxy et la redirection automatique pour https.

 

 

 

 

Merci pour le temps que vous prenez.

1. Chez 1&1 c'est bien redirigé sur mon ip fixe de freebox v6
2. Je viens de le faire
3. Mon NAS est bien en ip fixe
4. je vais regarder le tuto de Fenrir sur la sécurisation (il me semble que je l'avais déjà suivi, mais je ne suis plus sur que cela soit le sien) et je vais appliquer celui des DNS Server que je n'ai pas encore utilisés.

Merci à toute...

[goerges]

Je dois bien avouer que je ne comprends plus trop ce que tu as fait.

J'ai l'impression que tu as un peu bricolé tout et n'importe quoi.

Personnellement, je repartirais de zéro en remettant ma config. à plat.

D'abord je réglerais le problème du nom de domaine avec une config. simple.

1) Crée une page index.html simple que tu mets dans ton répertoire web du NAS.

2) Vérifie que tu as bien forwardé dans ta box le port 443 (https) vers l'ip de ton NAS

3) Dans ton navigateur, tape https://www.ton_nom_de_domaine.xxx et dis nous ce qui se passe.

 

[JNBN]

il y a 8 minutes, goerges a dit :

Je dois bien avouer que je ne comprends plus trop ce que tu as fait.

J'ai l'impression que tu as un peu bricolé tout et n'importe quoi.

Personnellement, je repartirais de zéro en remettant ma config. à plat.

D'abord je réglerais le problème du nom de domaine avec une config. simple.

1) Crée une page index.html simple que tu mets dans ton répertoire web du NAS.

2) Vérifie que tu as bien forwardé dans ta box le port 443 (https) vers l'ip de ton NAS

3) Dans ton navigateur, tape https://www.ton_nom_de_domaine.xxx et dis nous ce qui se passe.

 

1. Il y a déjà une page index.html dans ce répertoire.
2. Les ports sont bien reforwardés vers l'ip du NAS avec correspondances hhtp = 80 vers 6**8 et https 443 vers 6**9
3. Lorsque je saisi mon nom de domaine, celui me renvoi sur mon ip fixe (https://82.XXX.YYY.ZZZ:6**9) avec une erreur de sécurité

Si j'accepte l'erreur l'erreur de sécurité, j'atteri bien sur ma page de connexion du SYNO

Modifié le 19 août 2018 par JNBN

[goerges]

il y a 1 minute, JNBN a dit :

1.  
2. Les ports sont bien reforwardés vers l'ip du NAS avec correspondances hhtp = 80 vers 6**8 et https 443 vers 6**9
3.  

Non, redirige d'abord le port 443 de la box vers le port 443 du NAS

[JNBN]

à l’instant, goerges a dit :

Non, redirige d'abord le port 443 de la box vers le port 443 du NAS

AH ok, je penser le rediriger systématiquement vers les ports que j'ai "créé" moi même.

il y a 1 minute, JNBN a dit :

AH ok, je penser le rediriger systématiquement vers les ports que j'ai "créé" moi même.

C'est fait pour le 80 et le 443 reforwardé sur l'ip fixe du NAS sans changer les ports de destinations

[goerges]

Pour utiliser un service particulier en fonction d'un nom de domaine, tu dois configurer le reverse proxy, mais, chaque chose en son temps 😉

[JNBN]

à l’instant, goerges a dit :

Pour utiliser un service particulier en fonction d'un nom de domaine, tu dois configurer le reverse proxy, mais, chaque chose en son temps 😉

Oui par contre ça je sais pas du tout ce que c'est...

Je suis en train de relire le tuto sécurité que j'avais déjà suivi de Fenrir. histoire de voir si j'ai tout bien fait...

[goerges]

Bah, tu pourrais t'en passer, mais cela permet de ne plus se soucier du numéro de port et d'en ouvrir qu'un seul, à savoir le 443 (ou le 80).

Tout est beaucoup plus simple quand il est utilisé

[JNBN]

à l’instant, goerges a dit :

Bah, tu pourrais t'en passer, mais cela permet de ne plus se soucier du numéro de port et d'en ouvrir qu'un seul, à savoir le 443 (ou le 80).

Tout est beaucoup plus simple quand il est utilisé

La simplification me plait car je ne suis pas un expert, loin de là même...

[goerges]

il y a 14 minutes, JNBN a dit :

AH ok, je penser le rediriger systématiquement vers les ports que j'ai "créé" moi même.

C'est fait pour le 80 et le 443 reforwardé sur l'ip fixe du NAS sans changer les ports de destinations

Bon, et quand tu tapes maintenant https://www.ton_nom_de_domaine.xxx , que se passe t-il (essaye aussi avec le http (sans le s))?

[JNBN]

il y a 20 minutes, goerges a dit :

Bon, et quand tu tapes maintenant https://www.ton_nom_de_domaine.xxx , que se passe t-il (essaye aussi avec le http (sans le s))?

En https : pas de redirection et message suivant : 

En http : redirection sur https//82.XXX.XXX.XXX:6**9 et message suivant :

 

Modifié le 19 août 2018 par JNBN

[goerges]

Dans ton dernier screen tu as laissé ton NDD... Efface-le.

J'en ai profité pour tester 😉

En tapant ton adresse IP en http, tu dois configurer le site web (sic)

En https + ip, tu as un mauvais certificat, c'est normal.

Enfin, avec le ndd et l'https ou le http,, tu es toujours redirigé vers https://xxx.xx.xx.xxx:6xxx

Donc, comme je disais au début du post, je pense que ton NDD est mal configuré.

Modifié le 19 août 2018 par goerges
Sécurité

[JNBN]

il y a 15 minutes, goerges a dit :

Dans ton dernier screen tu as laissé ton NDD... Efface-le.

J'en ai profité pour tester 😉

En tapant ton adresse IP en http, tu dois configurer le site web (sic)

En https + ip, tu as un mauvais certificat, c'est normal.

Enfin, avec le ndd et l'https ou le http,, tu es toujours redirigé vers

Donc, comme je disais au début du post, je pense que ton NDD est mal configuré.

Oups effectivement, j'ai retiré la capture...

Par contre peux-tu supprimer le lien de redirection car même avec des xxxx le lein reste actif vers mon ip...

Comment bien configuré le NDD alors ? car j'ai redirigé manuellement vers l'adresse https://xx.xxx.xxx.xxx.:6**9

[goerges]

Tu as 2 solutions, soit bien configurer ton NDD, forwarder les différents ports dans ton routeur vers les différents ports des services et taper comme adresse https://www.ton_nom_de_domaine + le port.

Soit, bien configurer ton NDD et avoir pour chaque service un nom de domaine (et son certificat correspondant)

Personnellement j'ai opté pour la solution 2. Elle a comme avantage:

1) Un nom de domaine par service, plus sécure.

2) Tu ne dois pas te souvenir du numéro des ports

3) Tout le trafic passe uniquement par le port 443, port qui est quasiment toujours ouvert contrairement à d'autres (dans les sociétés par exemple)

4) Tu ne dois configurer que ce port là au niveau du routeur.

Les inconvénients sont

1) Configurer le reverse proxy (jeu d'enfants)

2) Avoir un certificat wildcard ou plusieurs certificats simples (quoique....). De toute façon, ils sont gratuits chez Let's Encrypt.

Si tu optes pour la solution 2, voici ce que je te propose:

1) Bien configurer le NDD

Tu enlèves la redirection.

Tu te loggues sur la page de config de ton NDD chez 1&1 et tu crées un enregistrement A pour ton NDD lié à ton IP  (cherche un setting du genre DNS records).

Tu crées d'autres enregistrement A pour les autres domaines comme par exemple: filestation.ton_domaine.fr, videostation.ton_domaine.fr, photostation.ton_domaine.fr...

On attend la propagation (quelques heures).

2) Demander les différents certificats

3)Configurer le reverse proxy.

 

Georges

[JNBN]

Je croyais que cela allait être plus simple que ça de sécuriser les connections à mon NAS grâce un SSL.

Quelqu'un aurait un moment et teamviewer pour prendre la main de mon iMac et m'aider dans les manip.car là je me noies...