[Résolu] Impossible de créer un certificat Let's Encrypt

[PatrickBt]

De mettre l'ipv6 du nas sur ovh avec un type AAAA ?

Pour ma part, j'avais désactivé l'ipv6 sur le nas.

[Invité]

Sur une Freebox par defaut le traffic Ipv6 entrant inconnu est bloqué.

Dans les parametres de la box il faut le débloquer, mais attention, c'est du tout ou rien ! Il n'y a pas de filtrage ! Soit on interdit tout, soit rien.

[Mic13710]

l'IPV6 est une piste intéressante. Tout le réseau Free est en IPV6. IPV4 est encapsulé dans l'IPV6. Il faudrait essayer en désactivant le DHCP de  l'IPV6 de la freebox (on ne peut pas désactiver l'IPV6 puisqu'il est en natif)

Il serait intéressant d'avoir une vue du parefeu du NAS ainsi que des redirections des ports sur la freebox, histoire d'écarter les doutes à ce niveau.

[PatrickBt]

Alors, je vous remercie beaucoup pour cette piste, car je viens à l'instant d'avoir mon certificat.

J'ai désactivé le pare feu sur la box de l'IPV6 car je l'avais activé étant donné que par défaut elle ne l'est pas.

J'ai ensuite activé l'IPV6 sur le LAN 1 et copier cette IP chez OVH en type AAAA.

Lorsque j'ai activé l'IPV6, j'ai recu une notification pour ajouter une régle sur le pare feu du NAS sur les ports UDP 546 et 547. J'ai ajouté ces ports au cas ou dans la règle du par-feu.

J'ai effectué ma demande de certificat qui a été validé en 2 secondes. 😃

Bon, ç'est tout de même embêtant cette histoire.

il y a 24 minutes, EVOTk a dit :

Sur une Freebox par defaut le traffic Ipv6 entrant inconnu est bloqué.

Dans les parametres de la box il faut le débloquer, mais attention, c'est du tout ou rien ! Il n'y a pas de filtrage ! Soit on interdit tout, soit rien.

Je pensais que c'était l'inverse étant donné que le firewall ipv6 n'est pas activé par défaut.

il y a 23 minutes, Mic13710 a dit :

l'IPV6 est une piste intéressante. Tout le réseau Free est en IPV6. IPV4 est encapsulé dans l'IPV6. Il faudrait essayer en désactivant le DHCP de  l'IPV6 de la freebox (on ne peut pas désactiver l'IPV6 puisqu'il est en natif)

J'avais vu une vidéo you-tube ou le gars utilisait des Nex Hop pour désactiver l'IPV6 sur la freebox. Faudrait que je la retrouve

Edit : voilà la vidéo IPv6 comment sécuriser votre Box et activer le firewall, exemple avec la FREEBOX - YouTube

Edit 2 : Sur ma config le DHCP de l'ipv6 est désactivé par défaut 

Modifié le 29 janvier 2021 par PatrickBt

[Invité]

il y a 5 minutes, PatrickBt a dit :

Je pensais que c'était l'inverse étant donné que le firewall ipv6 n'est pas activé par défaut.

Cela dépend peut etre des box Free ? Sur ma Freebox Pop, il était actif par defaut.

[PatrickBt]

il y a 3 minutes, EVOTk a dit :

Cela dépend peut etre des box Free ? Sur ma Freebox Pop, il était actif par defaut.

Oui peut-être. j'ai aussi la pop depuis 1 mois, et le firewall n'était pas activé. 

[.Shad.]

Un peu plus d'info sur les racines de ton problème je pense : https://letsencrypt.org/fr/docs/ipv6-support/
La solution dans ton cas est d'avoir un enregistrement AAAA pointant sur l'IPv6 de ton NAS. Et que ton pare-feu soit ouvert au moment du renouvellement.
Ce n'est pas le plus simple.

Pour moi, le plus simple ce serait d'utiliser le nom de domaine Synology avec un wildcard, la vérification se faisant au niveau des zones DNS il n'y a aucun port à ouvrir.
Sinon, tu as un DS920+, tu peux donc te servir de Docker, plusieurs solutions s'offrent à toi :

- https://www.nas-forum.com/forum/topic/68046-tuto-certificat-lets-encrypt-avec-acmesh-api-ovh-en-docker-dsm67/
- plus complet encore, avec un proxy inversé et fail2ban intégrés : https://www.nas-forum.com/forum/topic/67311-tuto-certificat-ssl-reverse-proxy-via-docker/

Ces solutions ont l'avantage de gérer la gestion et le renouvellement de certificats wildcard pour tout domaine, pas seulement Synology.

Modifié le 29 janvier 2021 par .Shad.

[PatrickBt]

Merci à tous pour l'aide que vous m'avez apportée. Sur ce coup ,je n'y serais jamais arrivé seul.

Ce que je ne comprends pas, c'est que je n'ai rien modifié sur mon routeur free et j'avais réussi à créer ce certificat LE sans soucis avant de faire ma réinitialisation.

Je me demande ce qui a changé depuis pour que çà ne fonctionne plus avec la méthode Synology.

@.Shad.

la solution d'un enregistrement AAAA avec l'ouverture des ports et de l'ipv6 sur le nas ne me plait pas du tout.

Je vais tester le 1er tuto avec l'utilisation de Docker. Elle a l'air assez simple. Enfin, elle n'est pas encore mise en place 😉 et de plus adapté au future DSM 7.

Je vois que tu as créer le tuto n°2, mais je n'ai pas encore toucher au SSH et je n'en ai pas trop envie pour le moment. Trop de chose à voir avant et à assimiler. 

Encore merci pour tout.

 

 

Modifié le 29 janvier 2021 par PatrickBt