Docker Wonderfall ou Xataz _ Nginx - TSL V3 - V2 - V1

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Docker Wonderfall ou Xataz _ Nginx - TSL V3 - V2 - V1

Moimeme

Bonjour,
j'aurais besoin d'aide concernant la configuration de Nginx pour ne plus avoir d'erreur avec Internet Explorer.
J'ai trouvé cette Outil vraiment très bon fait par Mozilla.

https://mozilla.github.io/server-side-tls/ssl-config-generator/

Bref je fais donc une configuration mais, j'ai toujours la même erreur avec Internet explorer qui donne des erreurs de proxy etc etc ...

Voilà le type d'erreur:

IE 6 / XP No FS 1 No SNI 2 Server sent fatal alert: protocol_version
IE 7 / Vista Server sent fatal alert: protocol_version
IE 8 / XP No FS 1 No SNI 2 Server sent fatal alert: protocol_version
IE 8-10 / Win 7 R Server sent fatal alert: protocol_version
IE 11 / Win 7 R Server sent fatal alert: handshake_failure
IE 11 / Win 8.1 R Server sent fatal alert: handshake_failure
IE 10 / Win Phone 8.0 Server sent fatal alert: protocol_version
IE 11 / Win Phone 8.1 R Server sent fatal alert: handshake_failure
IE 11 / Win Phone 8.1 Update R Server sent fatal alert: handshake_failure
IE 11 / Win 10 R RSA 2048 (SHA256) TLS 1.2 > h2 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 ECDH secp384r1 FS

voici les protocoles supporté:

Protocols
TLS 1.3 Yes
TLS 1.2 Yes
TLS 1.1 No
TLS 1.0 No
SSL 3 No
SSL 2 No

il y a t'il une possibilité de faire supporté les vieux protocole aux docker, ou bien a votre avis, peut on trouver un tour de passe-passe pour que les personnes qui sont sur navigateur puisse accédez aux site via, un mot de passe ou autre ?
j'en ai aucune idée ...
Bref, je suis preneur de votre aide.

Amicalement.

Moimeme

je suis tombé sur un truc comme ça, a ce que j'ai compris ça permettrait de redirigé vers une page qui explique que le navigateur est dépassé et donc expliquerait la marche à suivre pour avoir accès au site ?

map $http_user_agent $outdated {
default 0;
"~MSIE [1-9]." 1;
"~Mozilla.Firefox/[1-9]." 1;
"~Mozilla.Firefox/[0-2][0-9]." 1;
"~Mozilla.Firefox/3[0-1]." 1;
"~Opera.Version/[0-9]." 1;
"~Opera.Version/[0-1][0-9]." 1;
"~Opera.Version/2[0-1]." 1;
"~AppleWebKit.Version/[0-6]..Safari" 1;
"~Chrome/[0-9]." 1;
"~Chrome/[0-2][0-9]." 1;
"~Chrome/3[0-3]." 1;
}

if ($outdated = 1){
rewrite ^ /outdated redirect;
}

Hardware

Il te suffit de ne pas inclure le ssl_params par defaut de l'image de @Wonderfall dans tes vhosts nginx.

# /etc/nginx/conf/ssl_params

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ecdh_curve X25519:P-521:P-384;
ssl_ciphers [EECDH+CHACHA20|EECDH+AESGCM];
ssl_prefer_server_ciphers on;

Et de mettre à la place la configuration intermédiaire du générateur de Mozilla :

# intermediate configuration. tweak to your needs.
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS';
ssl_prefer_server_ciphers on;

Moimeme

A priori en regardant le conteneur de @Wonderfall, il y a les version TLS 1.2 et 1.3, il ne prend pas en charge la version 1.1 et 1.0

Du coup quand j'ai rajouté la configuration intermédiaire, rien a changé.

J'ai lu beaucoup sur le fait qu'il ne fallait pas soutenir tous les protocoles ... Mais quand même, dans un monde d'entreprise, je pense que c'est un peu nécessaire, car les admin système ne peuvent pas changer tous les pc etc etc ....

A votre avis est ce qu'elle chose de simple à faire ?

Hardware

Tu as du te tromper quelque part en appliquant la configuration intermédiaire. Cette cipher liste est compatible de IE 6 XP à Edge 13 Win 10.

Tu peux la tester avec https://tls.imirhil.fr/suite

Il faut mettre ton ssl_params dans conf.d et l'inclure dans tes vhosts.

Moimeme

voici le conf site:

server {
listen 4430 ssl http2;
server_name www.xxxx.xxxx xxxx.xxxx;

ssl_certificate /certs/live/xxxx.xxxx/fullchain.pem;
ssl_certificate_key /certs/live/xxxx.xxxx/privkey.pem;

include /etc/nginx/conf/ssl_params;
include /etc/nginx/conf/headers_params;

add_header Strict-Transport-Security "max-age=31536000;includeSubDomains;preload";
client_max_body_size 10000M;

location / {
proxy_pass http://xxxxxxx:8888;
include /etc/nginx/conf/proxy_params;
}
}

et donc le fichier de config de ssl_params.conf

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384😃HE-RSA$
ssl_prefer_server_ciphers on;

et bizarrement quand je le met dans ça j'ai des erreur, alors que si je commente l'include et que je les lignes directement dans le vhost c'est pris en compte...
mais j'ai toujours une incompatibilité avec les vieux navigateur mais faut pas pousser mimine dans les orties

IE 6 / XP No FS 1 No SNI 2 Server sent fatal alert: protocol_version
IE 7 / Vista Server sent fatal alert: protocol_version
IE 8 / XP No FS 1 No SNI 2 Server sent fatal alert: protocol_version
IE 8-10 / Win 7 R Server sent fatal alert: protocol_version
IE 11 / Win 7 R RSA 2048 (SHA256) TLS 1.2 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 ECDH secp384r1 FS
IE 11 / Win 8.1 R RSA 2048 (SHA256) TLS 1.2 > http/1.1 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 ECDH secp384r1 FS
IE 10 / Win Phone 8.0 Server sent fatal alert: protocol_version
IE 11 / Win Phone 8.1 R RSA 2048 (SHA256) TLS 1.2 > http/1.1 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 ECDH secp384r1 FS
IE 11 / Win Phone 8.1 Update R RSA 2048 (SHA256) TLS 1.2 > http/1.1 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 ECDH secp384r1 FS
IE 11 / Win 10 R RSA 2048 (SHA256) TLS 1.2 > h2 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 ECDH secp384r1 FS
Edge 13 / Win 10 R RSA 2048 (SHA256) TLS 1.2 > h2 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 ECDH secp384r1 FS
Edge 13 / Win Phone 10 R RSA 2048 (SHA256) TLS 1.2 > h2 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 ECDH secp384r1 FS

Hardware

Le chemin est pas le bon.

/etc/nginx/conf/ssl_params c'est le fichier par défaut, toi il faut mettre dans /conf.d/ssl_params.conf

C'est la première fois que tu utilises l'image de wonderfall ? regarde le readme avant de l'utiliser.

https://github.com/Wonderfall/dockerfiles/tree/master/boring-nginx

Volumes

/sites-enabled : vhosts files (*.conf)
/conf.d : additional configuration files
/certs : SSL/TLS certificates
/var/log/nginx : nginx logs
/passwds : authentication files
/www : put your websites there

include /conf.d/ssl_params.conf

Moimeme

Ok merci, il me semble qu'au début c'était comme je faisais et il est vrai que je ne l'avais as relu ou que j'ai mal compris depuis le début.