URL: https://linuxfr.org/forums/linux-general/posts/let-s-encrypt-et-plusieurs-serveurs-sur-la-meme-ip Title: Let's encrypt et plusieurs serveurs sur la même IP Authors: EauFroide Date: 2016年11月06日T14:54:48+01:00 License: CC By-SA Tags: tls, letsencrypt et https Score: 0 Je cherche un moyen de certifier des certificat TLS avec cette m.... de Let's encrypt. Trois serveurs se trouvent sur la même IP publique et un seul des trois (qu'on nommera server1) occupe les ports publique 80/443. Donc la grande question : comment certifier les certificat de server2 et server3 alors que let's encrypt ne permet PAS de choisir d'autres ports que les deux principaux des 4 ports web (car oui, même 8080 et 8443 ne sont pas autorisé, oh comble des merveilles). Si vous possédez une méthode, je suis preneur. Truc déjà tenté * Mentionner dans le vhost le même port local que publique (nat), ne fonctionne pas * Mentionner dans le vhost au niveau du hostname un port spécifique, mais ça ne fonctionne pas * J'ai songé a centraliser sur server1 et expédier les certificat via scp mais let's encrypt utilisant des lien symbolique dans les vhost apache2, ça ne va pas fonctionner * Je suis en train de tester une solution, pure hacking : 1 dossier partagé entre server, censé être accessible a www-data de server1. Ainsi quand server2 ou server3 fait sa certification le webroot est le dossier partagé et c'est server1 qui s'occupe (via un vhost dédié) de répondre à l'agent Smith de let's encrypt. Mais les permissions linux, trop restrictive à leur accoutumée, semblent bloquer (je suis pas sur que www-data de server1 arrive à accéder au dossier partagé ("su www-data ls /path/folder" ne fonctionnant pas, ni même le www-data du server hostant le dossier partagé malgré un chown www-data et chmod 777) * la seule méthode qui a déjà fonctionné pour le moment c'est de taper tout Let's Encrypt (avec TOUT les certificat de tout les servers) dans un dossier partagé et de faire pointer les règles des certificats des vhost vers ce dossier. Mais quand le dossier est inaccessible (server qui fait dodo par exemple) toute l'infrastructure tombe (et glusterfs bug donc pas possible d'utiliser un dossier partagé repliqué sur toutes les machines, en plus y a pas de crypto pour les échanges en glusterfs par défaut) Edit : solution apportée : reverse proxy sur frontend avec un vhost par hostname a proxifier