Https on slash-root.fr

LemonLDAP : Activer le HTTPS + Reverse-Proxy

Sat, 20 Nov 2021 15:36:41 +0100

Apache / Nginx configuration

La 1ère chose à faire est de configurer le serveur web pour le passer en HTTPS.

Suivre cet article par exemple : Nginx : Ajouter un certificat SSL Let’s Encrypt pour passer en HTTPS - slash-root.fr

LemonLDAP configuration

La 2nde étape est de configurer les URL en HTTPS pour le portail, cookie, ...

A exécuter en tant que root :

/usr/share/lemonldap-ng/bin/lemonldap-ng-cli -yes 1 \
 set \
 portal https://auth.example.com \
 mailUrl https://auth.example.com/resetpwd \
 registerUrl https://auth.example.com/register \
 https 1 \
 securedCookie 1

Reverse-Proxy configuration

Nginx : Reverse Proxy avec SSL - slash-root.fr

Si le portail est derrière un reverse-proxy en HTTPS, il est impératif d'effectuer les manipulations plus haut.

Exemple d'un vhost sous Nginx pour le portail :

server {
listen 80;
server_name auth.example.fr;
rewrite ^ https://auth.example.fr permanent;
}

server {
listen 443 ssl;
server_name auth.example.fr;
ssl_certificate /etc/letsencrypt/live/auth.example.fr/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/auth.example.fr/privkey.pem;
ssl_session_cache builtin:1000 shared:SSL:10m;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!eNULL:!EXPORT:!CAMELLIA:!DES:!MD5:!PSK:!RC4;
ssl_prefer_server_ciphers on;

error_log /var/log/nginx/error.log;

location / {
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_pass http://192.168.49.68:80;
}
}

Exemple d'un vhost sous Nginx pour le manager :

server {
listen 80;
server_name manager.example.fr;
rewrite ^ https://manager.example.fr permanent;
}

server {
listen 443 ssl;
server_name manager.example.fr;
ssl_certificate /etc/letsencrypt/live/manager.example.fr/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/manager.example.fr/privkey.pem;
ssl_session_cache builtin:1000 shared:SSL:10m;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!eNULL:!EXPORT:!CAMELLIA:!DES:!MD5:!PSK:!RC4;
ssl_prefer_server_ciphers on;

location / {
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_pass http://192.168.49.68:80;
}
}

Le serveur web doit être compilé avec le module --with-http_realip_module.

Pour vérifier :

nginx -V

## Retour attendu :
nginx version: nginx/1.14.2
built with OpenSSL 1.1.1d 10 Sep 2019
TLS SNI support enabled
configure arguments: --with-cc-opt='-g -O2 -fdebug-prefix-map=/build/nginx-m1Thpq/nginx-1.14.2=. -fstack-protector-strong -Wformat -Werror=format-security -fPIC -Wdate-time -D_FORTIFY_SOURCE=2' --with-ld-opt='-Wl,-z,relro -Wl,-z,now -fPIC' --prefix=/usr/share/nginx --conf-path=/etc/nginx/nginx.conf --http-log-path=/var/log/nginx/access.log --error-log-path=/var/log/nginx/error.log --lock-path=/var/lock/nginx.lock --pid-path=/run/nginx.pid --modules-path=/usr/lib/nginx/modules --http-client-body-temp-path=/var/lib/nginx/body --http-fastcgi-temp-path=/var/lib/nginx/fastcgi --http-proxy-temp-path=/var/lib/nginx/proxy --http-scgi-temp-path=/var/lib/nginx/scgi --http-uwsgi-temp-path=/var/lib/nginx/uwsgi --with-debug --with-pcre-jit --with-http_ssl_module --with-http_stub_status_module --with-http_realip_module --with-http_auth_request_module --with-http_v2_module --with-http_dav_module --with-http_slice_module --with-threads --with-http_addition_module --with-http_geoip_module=dynamic --with-http_gunzip_module --with-http_gzip_static_module --with-http_image_filter_module=dynamic --with-http_sub_module --with-http_xslt_module=dynamic --with-stream=dynamic --with-stream_ssl_module --with-stream_ssl_preread_module --with-mail=dynamic --with-mail_ssl_module --add-dynamic-module=/build/nginx-m1Thpq/nginx-1.14.2/debian/modules/http-auth-pam --add-dynamic-module=/build/nginx-m1Thpq/nginx-1.14.2/debian/modules/http-dav-ext --add-dynamic-module=/build/nginx-m1Thpq/nginx-1.14.2/debian/modules/http-echo --add-dynamic-module=/build/nginx-m1Thpq/nginx-1.14.2/debian/modules/http-upstream-fair --add-dynamic-module=/build/nginx-m1Thpq/nginx-1.14.2/debian/modules/http-subs-filter

Nginx : Reverse Proxy avec SSL

Fri, 15 Oct 2021 15:00:06 +0200

Pré-requis

Avoir suivi : Nginx : Installation d’un Reverse Proxy
Avoir suivi : Nginx : Ajouter un certificat SSL Lets Encrypt pour passer en HTTPS

Nginx configuration

Editez le fichier de configuration du reverse proxy :

sudo vim /etc/nginx/sites-available/reverse-proxy.example.conf

En principe, après avoir suivi l'installation d'un reverse proxy avec Nginx, le server block suivant va être modifié :

server {
 listen 80;
 server_name blog.example.com;

 location / {
 proxy_pass http://172.0.1.10:80;
 }
}

En premier lieu, nous allons réécrire l'url de http://blog.example.com en https://blog.example.conf, pour cela nous allons modifié le server block précédent en :

server {
 listen 80;
 server_name blog.example.com;
 rewrite ^ https://blog.example.com permanent;
 }

Ajouter un nouveau server block pour permettre de faire du reverse proxy SSL comme suit :

server {
 listen 443 ssl;
 server_name blog.example.com;
 ssl_certificate /etc/letsencrypt/live/blog.example.com/fullchain.pem;
 ssl_certificate_key /etc/letsencrypt/live/blog.example.com/privkey.pem;
 ssl_session_cache builtin:1000 shared:SSL:10m;
 ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
 ssl_ciphers HIGH:!aNULL:!eNULL:!EXPORT:!CAMELLIA:!DES:!MD5:!PSK:!RC4;
 ssl_prefer_server_ciphers on;

 location / {
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_pass https://172.0.1.10:443;
 proxy_read_timeout 90;
 }
}

ssl_certificate et ssl_certificate_key contiendront le chemin d'accès au certificat et à la clef privée. Bien entendu, il faudra les transféré sur le serveur reverse proxy au bon endroit avec les bonnes permissions. Générer un certificat wildcard est fortement recommandé si vous souhaitez développer plusieurs sous-domaine. Cette partie ne sera pas détaillé dans ce tutorial ainsi que la gestion de son renouvelement.

proxy_pass : L'URL http / https vers le serveur hébergeant blog.example.com.

Vérifiez la configuration de Nginx avec :

sudo nginx -t

Aucune erreur ne doit être retournée :

nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

Redémarrer le serveur reverse proxy :

sudo systemctl restart nginx

Nginx : Ajouter un certificat SSL Let’s Encrypt pour passer en HTTPS

Fri, 15 Oct 2021 14:05:01 +0200

Installation de Certbot pour Nginx

Installez les deux paquets nécessaires à l'utilisation de Certbot sous Debian avec un serveur Nginx :

sudo apt install certbot python3-certbot-nginx

Let’s Encrypt : Demander un certificat SSL pour Nginx

Effectuez une demande de certificat :

sudo certbot --nginx -d www.example.com

--nginx : Pour spécifier que l'on utilise un serveur web sous Nginx

-d www.example.com : Pour préciser le nom de domaine

Votre adresse e-mail vous sera demandé. Un e-mail vous sera envoyé dans le cas où le certificat ne parvient pas à se renouveler automatiquement avant expiration.

Il vous sera demandé si vous souhaitez rediriger automatiquement le traffic HTTP vers HTTPS :

Si tout se passe bien, un message de congratulations doit apparaitre :

Il a noté que dans le message final, les emplacements du certificat, clef privée, etc... sont également indiquées.

Certbot c'est occupé de configurer automatiquement le bloc server correspondant.

Vous pouvez aller voir les modifications apportées par Certbot dans le fichier de configuration de votre site. Les ajouts / modifications apportés par Certbot seront commentés en fin de ligne par # managed by Certbot

Renouvellement automatique du certificat SSL

Un certificat Let's Encrypt a une durée de validité de 90 jours.
Certbot va s'occuper tout seul du renouvellement de celui-ci.
Une tâche cron a été créée automatiquement par Certbot. Pour se rassurer :

sudo vim /etc/cron.d/certbot

La tâche planifiée va s'exécuter de façon à renouveler le certificat avant qu'il expire.

Il est possible de faire une simulation de renouvellement du certificat :

sudo certbot renew --dry-run

--dry-run : Permet de faire une simulation

Le message "Congratulations, all renewals succeded." doit apparaitre si la simulation du renouvellement du certificat est un succès.

La tâche planifiée va s'occuper de gérer cette opération à notre place. En cas de soucis, un e-mail sera envoyé à l'adresse indiqué lors de la demande de certificat.