Nginx + HTTPS + IPv6 = Test SSL Labs qui ne fonctionne pas

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Nginx + HTTPS + IPv6 = Test SSL Labs qui ne fonctionne pas

Rathorian

Bonsoir à tous,

Depuis quelques temps j'essaye de configurer sur mon serveur, l'accès à mon site également en IPv6 en plus de l'IPv4 habituel. Certaines personnes pourrait me dire (comme j'ai déjà entendu), pourquoi te prendre la tête avec l'IPv6 puisque l'IPv4 fonctionne. Et je dirais simplement l'envie d'être accessible avec les deux IP's 🙂

L'erreur retourné par SSL Labs avec l'IPv6 est : Unable to connect to the server
Voici le lien pour tester : SSL Labs

La configuration de mon domaine en image : Zone DNS

Forcément un ping en sortie vers une IPv4 fonctionne mais avec l'IPv6 ça ne fonctionne pas. Je comprend pas pourquoi étant donné que quand j'ai configuré l'IPv6, ça fonctionnait. Peut-être un problème dans mon firewall, donc le voici : Firewall

Un "cat /etc/hosts" :

# cat /etc/hosts 127.0.0.1 localhost 137.74.199.95 ns.rathorian.fr ns 2001:41d0:401:3100::2afb ns.rathorian.fr ns

Voici la partie : Vhost Nginx

Je pense vous avoir donné le maximum d'info pour vous aidez dans ma recherche.

Merci

Finch

Salut @Rathorian ,
J'imagine que tu es tout linux 😃 si oui peux-tu donner le résultat de la commande " ifconfig " ?

Personnellement, quand j'ai tenté de ping ton serveur en ipv6 il me répond que " Destination unreachable: Address unreachable "

Ensuite pour tes redirection http vers https, je te conseil de faire comme ça ( redirige tout vers https ) :

server {
listen 80;
listen [::]:80;
server_name .domain.tld ;
return 301 https://$host$request_uri;
}

Ensuite pour tes vhost, tu fais un listen uniquement en https 😉

Rathorian

Bonjour Finch

Ah oui désolé, j'avais oublié quelques informations.
Je suis sur Debian 8, en effet.

Retour de commande "ifconfig" : Sur CodeShare
Voici également le fichier "/etc/network/interfaces" : Toujours sur CodeShare

Quand tu essayes de ping mon serveur en IPv6 ou même IPv4, si ça fonctionne pas, c'est normal.
Si tu regardes mon firewall dans mon premier post, les requêtes ICMP sont bloqués.

Merci pour l'astuce des redirections 😉

Finch

Ok vu que tu es chez OVH, tu as la mauvais passerelle IPv6 😃 faut taper sur la dernière IP 😉

post-up /sbin/ip -f inet6 route add 2001:41d0:401:31ff:ff:ff:ff:ff dev eth0
post-up /sbin/ip -f inet6 route add default via 2001:41d0:401:31ff:ff:ff:ff:ff
pre-down /sbin/ip -f inet6 route del 2001:41d0:401:31ff:ff:ff:ff:ff dev eth0
pre-down /sbin/ip -f inet6 route del default via 2001:41d0:401:31ff:ff:ff:ff:ff

Essaye ça 😉 et oublie pas de relancer le service 😉 ( service networking restart )

Pour le ping, oui j'ai vu que tu as bloqué au niveau du par-feu mais il doit pas me dire qu'il ne connait pas la route pour aller taper à la porte de chez toi 😃

Rathorian

Finch

Je tente la configuration ce soir en rentrant du travail car là je pourrai pas.

Ce qui m'étonne c'est qu'au début de l'installation de mon serveur, quand j'ai configuré l'IPv6, j'avais fait des tests et ça fonctionnait à merveille.

En ce qui concerne la passerelle, utilisant un vps, j'utilise simplement la configuration indiqué dans le manager (Adresse IPv6 + Gateway).

En tout cas, merci pour ton aide. Je te tiens au courant ce soir

Aerya

Perso j'ai suivi cette explication pour trouver quelle gateway IPv6 mettre : http://guide.ovh.com/Ipv4Ipv6#link5
Faut que tu prennes la scope:global comme base.

Finch

@Aerya j'ai suivi aussi cette explication qui ma fait tourner en bourrique pendant 3 jours 😃 après j'ai trouver cette explication ci qui a fonctionner du premier coup 😉 : http://docs.ovh.ca/fr/guides-network-ipv6.html

Rathorian

Merci pour toutes ces informations.

Les docs que vous m'avez indiqué sont pour des serveurs dédiés, pensez-vous que cela est valable pour les VPS SSD ?

Voici le lien donné dans le manager pour configurer l'IPv6 sur les VPS Configuration IPv6 VPS

Je pourrais faire les tests ce soir vers 19h.

Merci beaucoup

Finch

Moi perso j'ai un serveur soyoustart sous ESX avec 4 VM qui sont configurer comme dans le lien que j'ai mis 😉 Donc les VPS ça doit fonctionner pareil 😉

Rathorian

Je viens de faire les tests sur le serveur et ça ne fonctionne pas : L'erreur
Et dans "/etc/network/interfaces", j'ai bien mis ce que tu m'as dit : Mon fichier "interfaces"

Et bien entendu, j'ai redémarré les services réseaux avant de faire les tests.

J'avoue ne pas trop comprendre

Finch

voici mon /etc/network/interfaces : https://codeshare.io/5gn3Y2

Bizarre que cela ne fonctionne pas :s Essaye de mettre le masque IPv6 en 64 et non pas en 128 pour voir :s

Sinon, as-tu ajouté ceci à ton " /etc/sysctl.conf " ? :

net.ipv6.conf.eth0.autoconf=0
net.ipv6.conf.eth0.accept_ra=0

Ça permet d'éviter le routage de l'IPv6 via des routes pré-générées.

Pour " reload " le sysctl , tape ça dans ta console :

sysctl -p

Hésite pas à faire une reboot de ta machine 😉 ( si possible bien sur 😃 )

Rathorian

Finch
J'ai essayé de mettre le masque en /64, plus rajouté dans "/etc/sysctl.conf" les deux lignes, plus un reboot de la machine, rien y fait. Ça ne fonctionne pas...

Aerya

Désolé de ma précédente réponse un peu à l'ouest ^ ^
Perso j'ai que des ProxMox avec mes propres VPS. Vu que tu as suivi leur howto pour VPS (https://www.ovh.com/fr/g2365.configurer_ipv6_sur_votre_vps), ça doit forcément venir de "toi". As-tu testé en retirant tes règles IP6tables ?
As-tu testé en repartant de 0 ? aka réinstallant ton VPS ou remettant un snapshot pris plus tôt.

Rathorian

Aerya

C'est probable que ça vienne de moi mais pas forcément. Tout à l'heure, j'ai trouvé un gars qui à posté un article sur son site et qui avait le même problème mais ça remonte à quelques temps lui : http://blog.mecreant.org/index.php/2016/01/09/migration-ipv6-vps-debian-chez-ovh/

Je n'ai pas essayé de retirer les règles IP6 car je ne vois pas du tout ce qui pourrait bloquer dans mes règles mais je peux essayer éventuellement. Et j'ai déjà réinstaller mais j'ai le même problème !

Finch

Rathorian

Si tu veux, je peux t'aider par Skype ou Teamviewer 😉 ( ou autre moyen 😃 ) Car la je sèche 😢

J'ai eu le même souci que toi et la personne sur le blog que tu as mis mais avec la doc de OVH.ca j'ai résolu mes soucis.

Peux-tu me fournir le résultat de cette commande ? :

route -A inet6

Rathorian

Finch

Je te donnerai le résultat de la commande ce soir (je suis au travail).

On peut voir ça ce soir sur Skype éventuellement si tu es disponible.

Encore merci à vous

Finch

Pas de souci je patiente jusqu’à ce soir 😉 Bonne journée de travail 😃