http to https (ssl)

[nikolhas21]

Bonjour

j'ai acheter un certificat SSL mais mon dite ne veut pas le prendre en compte.
Je m'explique :
j'ai déposer sur le serveur apache sous centos7 mon certificat ( cer ou crt y a t il un e différence?) ainsi que la clé .key
j'ai configuré dans ssl.conf les adresses vers ces derniers
j'ai configuré aussi le 443 avec l'adresse du site web ainsi que le chemin root des dossiers du site
j'ai redemarré le serveur systemctl restart httpd ou httpd.service

mais cela ne prend rien en compte
je ne vois pas le souci pour le faire aller
merci de votre aide c'est urgent cela fait 3semaines que le site plante et c'est une collectivité

cdt

[jfque]

Vous avez un serveur dédié ? Avec seulement ce site installé ? Comment avez-vous "déposé" le certificat et où ?

[nikolhas21]

bonjour oui un serveur dedié chez notre prestataire
et que ce site d'installé dessus.

via une connexion SSH et dans les memes dossiers que les certificats localhost

[jfque]

D'après le message d'erreur, c'est le serveur Apache lui-même qui est en erreur et ne démarre pas. Il faudrait d'abord résoudre cette erreur.
Avez-vous une console de gestion pour ce serveur (Webmin, cPanel, ...). C'est d'habitude plus facile de gérer les certificats de cette manière au lieu de les placer soi-même.
en ce qui concerne les extensions, le plus courant est .crt ou .pem mais l'important est que :

1. le fichier soit valide et n'ait pas d'erreur de syntaxe
2. que le nom du fichier (et de son extension) soit bien le même que celui renseigné dans la configuration du serveur
3. que le certificat ait été généré par la méthode appropriée à Apache (via OpenSSL)

[nikolhas21]

le serveur fonctionne si je retire le certificat ssl
Nous n'avons pas de cPanel ou autre on a repris le site suite à la fin du contrat de créateur de ce site.
dès que je mets l'adresse vers le ssl, j'ai le apache qui fonctionne plus.

dans ssl.conf je mets :

<VirtualHost _default_:443>
# General setup for the virtual host, inherited from global configuration
DocumentRoot "/var/www/html/lfn"
ServerName lafibrenumerique5962.fr:443
( j'ai une autre adresse pour l'acces depuis mon boulot mais en extérieur c'est cette adresse là)


fourni par IONOS :

SSLCertificateFile /etc/pki/tls/certs/www.lafibrenumerique5962.fr_ssl_certificate_INTERM EDIATE.cer
SSLCertificateFile /etc/pki/tls/certs/www.lafibrenumerique5962.fr_ssl_certificate.cer


SSLCertificateKeyFile /etc/pki/tls/private/www.lafibrenumerique5962.fr_private_key.key

j'enregistre je depose sur le serveur apache
je restart le serveur et la ca plante

mes sont en lecture pour l'ext donc je ne vois pas le souci. ??

[nikolhas21]

si on modifie l'adresse url en retirant le S on arrive a accéder au site mais je n'arrive pas à le faire avec le ssl

[jfque]

Je vous suggère d'installer une console de gestion, par exemple Webmin qui est Open Source. Vous aurez ainsi accès facilement à votre hôte virtuel et vous pourrez installer le certificat SSL "de l'intérieur".

[roland_d_alsace]

Hello.

Comme te l'indique jfque la gestion des certificats sur un dedié (et tout le reste) est beaucoup plus facile avec un pannel d'admin, surtout que tu aurais pu utiliser un certificat gratuit (et un pannel gratuit -pour ma part : ISPConfig et LetsEncrypt-).

Car même si tu arrives à bien configurer apache (es-tu sur que tu charges le fichier de config ssl.conf au démarrage d'apache), tu auras aussi le problème des taches cron pour le renouvellement périodique.

Dans tous les cas selon ta distribution, tu devrais trouver avec ton moteur de recherche favori de l'aide sur des forums spécifiques admin serveur, et en premier sur le forum de celui qui ta vendu ton certificat.

[nikolhas21]

merci pour vos infos je tente d'installer Webmin, les packet sont ok mais lorsque je veux lire sur le port 10000 rien ne se passe.
j'ai fait un nmap sur l'url de mon site en interne mais je ne vois que cela :



Starting Nmap 6.40 ( http://nmap.org ) at 2020-07-28 08:53 CEST
Nmap scan report for x.x.x.x
Host is up (0.0091s latency).
Not shown: 995 closed ports
PORT STATE SERVICE
22/tcp open ssh
80/tcp open http
443/tcp open https
3306/tcp open mysql
10000/tcp open snet-sensor-mgmt


je n'ai pas de Firewell de démarrer sur le serveur.
j'ai bien tenter de faire un input dans iptable mais rien ne se passe.

comment résoudre le souci pour que j'y accède

Merci pour votre aide

[jfque]

"rien ne se passe" n'est pas une information très utile pour vous aider. Avez-vous un message d'erreur ? Autre chose ? Avec quelle URL essayez-vous de vous connecter ? Il vaut mieux utiliser l'adresse IP (IPv4) du serveur, pas un nom de domaine, donc https://x.x.x.x:10000.
Comme le certificat est auto-signé, vous aurez une alerte dans le navigateur et vous devrez ajouter une exception pour passer outre.

[nikolhas21]

j'ai un message disant simplement que l'adresse a msi trop de temps à répondre donc le site est inaccessible
pourtant je tape bien l'adresse url https://172.21.158.5:10000

[nikolhas21]

j'ai enfin reussi a debloquerm on souci pour le 10000 j'ai fait les démarche tout est ok mais quand je teste l'adresse j'obtiens cela

Le host de l'url ne correspond pas au CommonName ou n'est pas présent dans les noms alternatifs (san) pourquoi?

[jfque]

Apparemment il y a des données qui ne correspondent pas entre le certificat et le serveur et/ou le domaine à protéger. Quel type de certificat avez-vous ? L'avez-vous testé ? Vous pouvez le décoder par exemple sur cette page : https://ssl-tools.net/certificate-decoder pour vérifier son contenu.

[nikolhas21]

voici ce que dit le decodage du certificat :


Certificate: Data: Version: 3 (0x2)
Serial Number: 0a:56:7c:45:14:4c:73:5a:95:18:a2:60:df:0a:f0:b9
Signature Algorithm: sha256WithRSAEncryption
Issuer: C=US, O=DigiCert Inc, OU=www.digicert.com
, CN=GeoTrust RSA CA 2018 Validity Not Before:
Jul 15 00:00:00 2020 GMT Not After : Jul 15 12:00:00 2021 GMT
Subject: C=FR, ST=Hauts de France, L=Arras, O=NORD-PAS-DE-CALAIS NUMERIQUE,
CN=www.lafibrenumerique5962.fr
Subject Public Key Info: Public Key Algorithm: rsaEncryption

RSA Public-Key: (2048 bit) Modulus: 00:90:dc:d9:9b:5f:de:80:8e:de:05:11:63:1d:c4: 6d:0a:a8:39:bd:36:00:7e:8b:cc:55:1c:90:48:60: 1b:ff:ab:c9:8b:48:92:58:19:e3:6b:ec:a6:e2:04: 20:35:0a:f2:8e:15:a3:4f:42:1b:62:62:0d:a5:53: 50:d7:59:f8:5d:ec:02:56:d3:22:39:20:ea:18:7b: aa:33:c3:aa:71:b0:30:76:3c:ef:28:94:78:05:73: 9b:ef:91:0c:de:0b:fd:a8:e0:a6:a0:cb:5c:c0:41: bc:51:b3:ba:b1:86:a5:9b:d6:60:aa:e4:76:9f:94: 0e:5f:d6:93:f2:6b:8e:36:18:ac:24:f4:ed:49:61: 2b:2a:e6:52:2c:6a:ad:10:20:fb:d1:e5:3c:01:e1: e3:e7:6a:47:0a:9e:1b:07:8e:b2:81:90:43:ba:20: a7:9c:af:ef:06:fa:20:1a:3a:a4:bd:f2:9c:db:b2: ae:98:28:ec:08:77:49:57:19:3b:b7:f1:e9:4d:07: a7:72:a0:4a:f6:dc:cb:3f:5c:a3:d5:02:9e:c4:4f: 93:4a:ea:60:e0:66:13:79:b8:5c:d5:f7:1c:84:46: a5:10:2d:af:b2:1c:c7:5d:1a:cc:02:78:96:00:06: 52:a1:08:e4:32:6b:c7:2a:de:f4:be:1c:22:af:c3: 29:af Exponent: 65537 (0x10001) X509v3 extensions: X509v3 Authority Key Identifier: keyid:90:58:FF:B0:9C:75:A8:51:54:77:B1:ED:F2:A3:43 :16:38:9E:6C:C5 X509v3 Subject Key Identifier: 1A:EC:1C:38:52:69:56:B7:A0:79:FA:50A:61:37:B0:70:3C:92:E0 X509v3 Subject Alternative Name: DNS:www.lafibrenumerique5962.fr, DNS:lafibrenumerique5962.fr X509v3 Key Usage: critical Digital Signature, Key Encipherment X509v3 Extended Key Usage: TLS Web Server Authentication, TLS Web Client Authentication X509v3 CRL Distribution Points: Full Name: URI:http://cdp.geotrust.com/GeoTrustRSACA2018.crl X509v3 Certificate Policies: Policy: 2.16.840.1.114412.1.1 CPS: https://www.digicert.com/CPS Policy: 2.23.140.1.2.2 Authority Information Access: OCSP - URI:http://status.geotrust.com CA Issuers -





le fait que dans CN soit ecrit www.lafibrenumeriquer5962.fr est ce derangeant dans le cas ou notre site est direct lafibrenumerique5962.fr sans les www ?

[jfque]

En général, on génère un certificat pour un nom de domaine, ce qui couvre automatiquement le sous-domaine "www" (pas les autres sous-domaines !).
Sur le certificat, les 2 versions (avec et sans www) sont présentes dans les SAN mais la version que vous utilisez pour le site (sans www) est en second. Pour que cela soit accepté, il faut que le serveur soit configuré pour utiliser un certificat multi-domaine (par défaut ce n'est pas le cas). Je ne suis cependant pas suffisamment spécialiste que vous dire comment faire cette configuration.
Je vous suggère d'essayer la connexion par la version avec www. Si cela fonctionne, peut-être pourriez-vous l'utiliser ? Sinon, il faut soit configurer le serveur correctement, soit changer de certificat.