Problème certificat SSL let's encrypt

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Problème certificat SSL let's encrypt

majaxx

Bonjour a tous ,
je souhaite passer mes domaine en https via let's encrypt !
Pour gérer L'esxi j'utilise l'ipv6 , et l'ipv4 public me sert pour pfsense qui me sert de passerelle pour acceder a mes machine depuis l'exterieur
Voici la configuration :

malheureusement au moment de crée le certificat j'ai cette erreur :

Detail: Failed to connect to host for DVSNI challenge

Je test pour le moment avec un .tk mais logiquement cela ne pose pas problème !
J'ai vérifier le port 80 et 443 est ouvert ..
Merci pour votre aide !

aktarus69

T'a desactivé Apache ou Nginx avant de lancer la commande ?

majaxx

Oui j'ai stop nginx ..

mais toujours pareil

xataz

Cette erreur vient du fait que letsencrypt n'arrive pas a ce connecter à ton serveur.

En gros voila ce qui ce passe :
Ton client letsencrypt contacte le serveur de letsencrypt et crée un challenge (sois en créant son propre serveur web, sois en utilisant un webroot)
Le serveur de letsencrypt fait une requête sur ton serveur web pour répondre au challenge.

Donc il faut que les ports sois ouvert des deux cotés.
Donc en vérifiant les logs sur ton pfsense, tu devrais voir les requêtes qu'il bloque, ou ne redirige pas (en entrer comme en sortie).

aktarus69

J'ai cru lire quelque part que pfsense n'était pas compatible Lets Encrypt, mais il est fort probable que ma mémoire me joue des tours

majaxx

@xataz je ne vois rien d'anormal
@aktarus69 j'ai cru comprendre cela mais rien d'officiel

xataz

De ce que j'ai compris c'est le client qui n'est pas compatible avec pfsense, pour l'executé depuis pfsense.

Tente depuis ton serveur de lancer cette commande (avec et sans le (s) de http) :

curl https://acme-v01.api.letsencrypt.org

Si elle passe, c'est que le problème est pas de ce coté. tente en plus lorsque tu lances la commande letsencrypt (faut être rapide, pendant qu'il créé le mini webserver), depuis une autre machine :

curl http://tondomain.tld/.well-known/acme-challenge

majaxx

Merci pour vos réponse donc je viens de faire le test !

curl https://acme-v01.api.letsencrypt.org

Resultat : OK

<!DOCTYPE html>

<html lang="en">
<head>
  <meta charset="utf-8">
  <meta http-equiv="X-UA-Compatible" content="IE=edge">
  <meta name="viewport" content=
  "width=device-width, initial-scale=1">

  <title>Boulder: The Let's Encrypt CA</title>
  <link href=
  "//maxcdn.bootstrapcdn.com/bootstrap/3.2.0/css/bootstrap.min.css"
  rel="stylesheet" type="text/css">
  <link href=
  "//maxcdn.bootstrapcdn.com/font-awesome/4.2.0/css/font-awesome.min.css"
  rel="stylesheet" type="text/css">
</head>

<body>
  <div class="container-fluid">
    <div class="row">
      <div class="col-xs-6 text-right">
        <p style="font-size: 90px;">
        <i class="fa fa-barcode"></i></p>
      </div>

      <div class="col-xs-6 text-left">
        <h1>Boulder<br>
        <small>The Let's Encrypt CA</small></h1>
      </div>
    </div>

    <div class="row">
      <div class="col-xs-8 col-xs-offset-2 text-center">
        <h3>This is an <a href="https://github.com/letsencrypt/acme-spec/">ACME</a> Certificate Authority running <a href="https://github.com/letsencrypt/boulder">Boulder</a>.</h3>
        <p>This is a <em>programmatic</em> endpoint, an API for a computer to talk to. You should probably be using a specialized client to utilize the service, and not your web browser. See <a href="https://letsencrypt.org/"><tt>https://letsencrypt.org/</tt></a> for help.</p>
        <p>If you're trying to use this service, note that the starting point, <em>the directory</em>, is available at this URL: <a href="https://acme-v01.api.letsencrypt.org/directory"><tt>https://acme-v01.api.letsencrypt.org/directory</a></tt>.</p>
      </div>
    </div>
    <div class="row">
      <div class="col-xs-4 col-xs-offset-2 text-center">
        <p><a href="https://letsencrypt.status.io" title="Twitter">
          <i class="fa fa-area-chart"></i>
          Service Status (letsencrypt.status.io)
        </a></p>
      </div>
      <div class="col-xs-4 text-center">
        <p><a href="https://twitter.com/letsencrypt" title="Twitter">
          <i class="fa fa-twitter"></i>
          Check with us on Twitter
        </a></p>
      </div>
    </div> <!-- row -->
  </div>

et en http -> OK

<HTML><HEAD><TITLE>Error</TITLE></HEAD><BODY>
An error occurred while processing your request.<p>
Reference&#32;&#35;97&#46;24347a5c&#46;1457462342&#46;5d074c6
</BODY></HTML>

Edit: J'ai essayer la deuxième manipulation ça génère rien

xataz

Tu exécutes bien en root ?

majaxx

Oui tout est executé en root , après peut être que la procédure que j'ai mis en place pour mon domaine est pas forcement bonne
J'ai utilisé ce tuto pour me crée le domaine est ensuite lancé let's encrypt
Je n'est rien a faire avec BIND par hasard ?

xataz

Ba la je vois pas.
Essais en lançant l'option --verbose pour voir s'il y a plus de détail

majaxx

Merci je t'envoi le résultat via MP

majaxx

Bonjour , finalement j'ai réussi a générer les certificat grâce a ce tuto
Par contre j'ai bien modifier les chemins mes le site reste inaccessible une idée ?
Ce site est inaccessible
Réponse du navigateur :

# Redirection http vers https
server {
    listen 80;
    listen [::]:80;
    server_name NDD;
    location ~ /\.well-known/acme-challenge {
        allow all;
    }
    location / {
        return 301 https://NDD$request_uri;
    }
}

# Notre bloc serveur
server {

    # spdy pour Nginx < 1.9.5
    listen 443 ssl spdy;
    listen [::]:443 ssl spdy;
    spdy_headers_comp 9;

    # http2 pour Nginx >= 1.9.5
    #listen 443 ssl http2;
    #listen [::]:443 ssl http2;

    server_name NDD;
    root /var/www/html;
    index index.html index.htm;
    error_log /var/log/nginx/NDD.log notice;
    access_log off;

    ####    Locations
    # On cache les fichiers statiques
    location ~* \.(html|css|js|png|jpg|jpeg|gif|ico|svg|eot|woff|ttf)$ { expires max; }
    # On interdit les dotfiles
    location ~ /\. { deny all; }


    #### SSL
    ssl on;
    ssl_certificate /etc/letsencrypt/live/NDD/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/NDD/privkey.pem;

    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_trusted_certificate /etc/letsencrypt/live/NDD./fullchain.pem;
    # Google DNS, Open DNS, Dyn DNS
    resolver 8.8.8.8 8.8.4.4 208.67.222.222 208.67.220.220 216.146.35.35 216.146.36.36 valid=300s;
    resolver_timeout 3s;
      ####    Session Tickets
    # Session Cache doit avoir la même valeur sur tous les blocs "server".
    ssl_session_cache shared:SSL:100m;
    ssl_session_timeout 24h;
    ssl_session_tickets on;
    # [ATTENTION] il faudra générer le ticket de session.
    ssl_session_ticket_key /etc/nginx/ssl/ticket.key;

    # [ATTENTION] Les paramètres Diffie-Helman doivent être générés
    ssl_dhparam /etc/nginx/ssl/dhparam4.pem;



    ####    ECDH Curve
    ssl_ecdh_curve secp384r1;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SH$

}

Novakin

server_name doit etre configuré sur un domaine ou une IP

majaxx

Sur le forum j'ai remplacé le nom de domaine par NDD

Novakin

Ok sinon essaye plutot cette configuration

server {
        listen 80 default_server;
        server_name NDD;
        return 301 https://www.NDD$request_uri;
        }

server {

#------------------------------------------------------------------------
# GENERAL
#
        listen 443 ssl;
        server_name NDD;
        root /var/www/html/;
        index index.php index.html index.htm;

#------------------------------------------------------------------------
# SSL
#
        ssl_certificate /etc/letsencrypt/live/NDD/fullchain.pem;
        ssl_certificate_key /etc/letsencrypt/live/NDD/privkey.pem;

        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers "ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES256-SHA";
        ssl_prefer_server_ciphers on;
        ssl_ecdh_curve secp384r1;

        # ssl optimizations
        ssl_session_timeout 1d;
        ssl_session_cache shared:SSL:50m;
        ssl_buffer_size 8k;
        ssl_session_tickets off;
        ssl_stapling on;
        ssl_stapling_verify on;
        ssl_trusted_certificate /etc/letsencrypt/live/NDD/chain.pem;



#------------------------------------------------------------------------
# LETSENCRYPT
#
        location '/.well-known/acme-challenge' {
        root /var/www/html/;
        try_files $uri /$1;}


}

majaxx

Merci beaucoup

sa fonctionne !
Il me reste a les generer pour chaque sous domaine --'

Novakin

Tu peux utiliser un script avec authentification webroot comme indiqué dans la configuration nginx que j'ai postée

Solinvictus

Déterrons !

Tu utilises quoi comme reverse proxy ssl majaxx ?

Au moment où tu as généré les certificats, la première fois ; Tu avais un certificat pour le reverse proxy ? Ou est-ce que tu ne ferais pas un reverse proxy classique et c'est nginx qui gèrerait la redirection https ?

Dans tous les cas, si tu pouvais m'en dire plus, ça serait top !

Merci !