Installation reverse proxy Haproxy et Cerbot (letsencrypt) sur debian

[jojo]

Il y a 5 heures, mprinfo a dit :

si tu écouterais

j'ai trouvé, et ça fonctionne du coup beaucoup mieux.

P.S. cela n'a RIEN à voir avec que SOIT-DISANT je n'écoute pas : sinon (et sans tes conseils) je n'aurais jamais sur mettre certbot en place. => retire cette affreuse & fausse pensée de ta tête.

[mprinfo]

Tu vois tu ferais ce que je te dis à la lettre sans réfléchir ça irait plus vite
Je ne suis pas là pour te former à Linux ou autre je suis la pour répondre à ton bosoin ici haproxy
Que tu comprennes ou pas ce que tu fais on s'en fou le principal c'est que cela fonctionne

Envoyé de mon BLA-L29 en utilisant Tapatalk

[jojo]

qu'ais-je mal fait ?

Depuis le 8/4/2024 (c'est juste 3 mois après l'installation initiale de mes certificats) mes certificats ne fonctionne plus, et je ne comprends pas pourquoi.

J'ai reçu des mails d'avertissement de LetsEncript, mais je croyais que c'était normal.

Et quand je vais voir les certifs sur linux :

et dans le dossier LetsEncrypt :

une idée ?

[mprinfo]

Chez moi tout cela fonctionne très bien

Envoyé de mon BLA-L29 en utilisant Tapatalk

[jojo]

oui, j'en suis certain !
Mais je cherche pourquoi chez moi ça merdouille.
Les 2 copies d'écran sont ok ? Je devrais chercher ailleurs ?

[henri-allauch]

J'ai pas compris 

Tu as, reçu des avertissements pour t'indiquer leur future date de  péremptions 

Et tu les a pas renouvelé avant celle ci ? 

 

Modifié le 10 avril par henri-allauch

[jojo]

je ne les ais pas renouvelés manuellement, car j'avais le script de @mprinfo qui fait les renouvellements automatiquement.

Chez lui ça fonctionne nickel.

Je ne me suis pas inquiété, car je voyais que mes dates de modif étaient ok, et je croyais donc que c'était liés à mon ancienne configuration ...

Mais je vais regarder encore plus en détail pour comprendre ...

[henri-allauch]

Ah OK c'est le script qui n'a pas été exécuté ou qui a foiré

 

Moi je suis encore à l'ancienne je les renouvelle manuellement chaque trimestre en regardant les messages. 

Je n'ai pas encore automatisé

[jojo]

je ne crois pas que c'est le script, car alors ça ne fonctionnerait pas chez @mprinfo.

Quand je trouve, je partage ...

[mprinfo]

Il y a 3 heures, henri-allauch a dit :

Ah OK c'est le script qui n'a pas été exécuté ou qui a foiré

 

mes scripts ne foire jamais

 

cela tourne depuis plusieurs plusieurs années chez moi aucun soucis

 

je viens de regarder aucun soucis de mon coté, j'en ai profité pour faire une mise a jour. il y avait une mise a jour haproxy.

 

 

[henri-allauch]

même un script qui ne foire jamais chez toi peu arriver à foirer chez quelqu'un d'autre ... je ne t'ai  pas mis en cause .....

[mprinfo]

Je plaisante t'inquiète.


Envoyé de mon BLA-L29 en utilisant Tapatalk

[henri-allauch]

j'avais bien compris  mais @jojo à une machine rebelle !

 

 

[jojo]

je n'ai pas encore trouvé la cause, mais je reste perplexe avec les date de modif. Car soit il récupère un certificat (et donc c'est le bon), soit il ne sait pas le récupérer (mauvaise config chez moi, ...) et alors je n'ai rien, mais ici je vois les dates de modification => ???

[jojo]

précédents posts mis dans un mauvais fil :

 

j'espère avoir trouvé ce qui n'allait pas.

En relisant et comparant ma config avec celle de ce tuto, j'ai vu que dans le bind:::80 j'avais oublié

reqadd X-Forwarded-Proto:\ http

et quand j'ai fait le check de ma config, j'ai eu cette erreur :

[NOTICE]   (25472) : haproxy version is 2.6.16-1~bpo10+1
[NOTICE]   (25472) : path to executable is /usr/sbin/haproxy
[ALERT]    (25472) : config : parsing [/etc/haproxy/haproxy.cfg:85] : The 'reqadd' directive is not supported anymore since HAProxy 2.1. Use 'http-request add-header' instead.
[ALERT]    (25472) : config : Error(s) found in configuration file : /etc/haproxy/haproxy.cfg
[ALERT]    (25472) : config : Fatal errors found in configuration.

j'ai donc fait ce qui était demandé :

http-request add-header X-Forwarded-Proto:\ http

et du coup j'ai maintenant cette erreur :

root@haproxy:~# haproxy -c -V -f /etc/haproxy/haproxy.cfg
[NOTICE]   (25483) : haproxy version is 2.6.16-1~bpo10+1
[NOTICE]   (25483) : path to executable is /usr/sbin/haproxy
[ALERT]    (25483) : config : parsing [/etc/haproxy/haproxy.cfg:85] : error detected in frontend 'http' while parsing 'http-request add-header' rule : expects exactly 2 arguments.
[ALERT]    (25483) : config : Error(s) found in configuration file : /etc/haproxy/haproxy.cfg

qu'est ce que je dois mettre ? @mprinfo, je suppose que tu as également du modifier cette instruction => quelle est la bonne ?

 

en mettant ceci : (espace avant le \)

http-request add-header X-Forwarded-Proto: \ http

la config passe et ça fonctionne! Mais est-ce bon ??? 

(! les instructions du premier post ne sont donc plus toutes valables pour les version HAProxy > 2.1)

 

Le véritable verdict tombera dans 3 mois, le 13/7/2024

Modifié le 13 avril par jojo
posté dans un mauvais fil

[henri-allauch]

@jojo Nos configurations sont différentes et il est pas évident que ce qui tourne chez les uns soit efficace chez les autres.

 

Je remarque que tu tourne autour de cette ligne : http-request add-header X-Forwarded-Proto:\ http et tu trouve que ce n'est ce qui était défini dans le premier post.

 

Mais @mprinfo a donné dans  Ce Post un exemple de Haproxy.cfg ou il utilise : http-request set-header X-Forwarded-Proto http dans le front end et   http-request add-header X-Forwarded-Proto https if { ssl_fc } dans les backend.

Je m'en suis inspiré pour ma config et cela fonctionne correctement.

 

Par contre pour le contrôle régulier des certificats par cron : cela dépend de nos systèmes d'exploitation.

Comme les commandes services et certbot doivent tourner sous root sur mon ubuntu 22.04 il faut bien insérer les horaires dans la crontab de root soit sudo crontab -e et sudo crontab -l pour vérifier

et il y a une erreur de frappe dans le cartouche de renew_certs.sh pour rendre exécutable c'est chmod +x

 

Je ne pourrais pas t'aider plus mais si tu repart  (à tête reposée) de l'exemple fourni par @mprinfo  du post précité, tu devrait y arriver. 

 

Modifié le 13 avril par henri-allauch

[jojo]

merci pour les liens, qui me sont très utiles, car c'est très difficile pour moi de tout lire.