URL: https://linuxfr.org/forums/programmationweb/posts/reverse-proxy-pour-rendre-accessible-en-ipv4-un-service-ipv6 Title: Reverse proxy pour rendre accessible en IPv4 un service IPv6 Authors: jyes Date: 2024年05月04日T12:09:35+02:00 License: CC By-SA Tags: Score: 0 Salut les expert·es du web et les autres moules de l’incubateur d’excellence qu’est LinuxFr. J’ai deux machines qui hébergent des applications web différentes sur un même réseau local. Ce réseau local a une seule IPv4 publique. Pour le moment, toutes les applications visibles de l’extérieur en IPv4 tournent sur la même machine, la seconde machine n’offre ses services qu’en IPv6. Malheureusement, l’une des applications web hébergées sur la machine IPv6 doit parler au reste du monde (ActivityPub) et [une partie du reste du monde est coincée dans le passé en IPv4](https://linuxfr.org/users/mjules/journaux/ipv6-cela-en-valait-il-la-peine). Qu’à cela ne tienne, me suis-je dit, un reverse proxy sur la machine IPv4 et le tour est joué. Mais la vie n’est pas si simple, parce-que je ne crois pas pouvoir utiliser un certificat (valide) différent pour la connexion IPv4 et celle IPv6, et mes deux machines qui avant n’avaient pas besoin de se parler, deviendraient interdépendantes pour pouvoir servir toutes deux l’application à la même adresse avec le même certificat. Les solutions auxquelles je pense sont : - mettre en reverse proxy la connexion en IPv4 et en IPv6 sur la machine visible en IPv4 depuis l’extérieur. La machine IPv6 ne dialoguerait donc jamais directement avec l’extérieur. Ça marcherait, mais c’est nul parce-que ce montage n’a aucune raison d’être en IPv6, complique beaucoup les choses, introduit un goulet d’étranglement commun et surcharge inutilement la machine IPv4 ; - partager les certificats de la machine IPv6 sur celle IPv4, une simple copie de ne suffit pas car il faut que les deux restent synchronisées quand les certificats sont renouvelés. Ça marcherait aussi, c’est un peu moins nul mais frustrant car ça ajoute de la complexité et une nouvelle brique qui peut dysfonctionner. Point bonus en cas de dysfonctionnement du partage, si le proxy IPv4 merdouille, le service IPv6 peut être perçu comme non fonctionnel vu de l’extérieur alors qu’il fonctionnerait encore parfaitement en IPv6 ; - racheter toutes les adresses IPv4 encore disponibles pour faire flamber les prix et forcer à l’adoption massive d’IPv6 par tout le monde. Ça risque de marcher pour les 10 premières adresses, mais si les prix flambent comme mon projet le demande, je n’aurai pas assez de toute ma fortune personnelle pour contraindre financièrement le monde entier, la vie est injuste ; - utiliser plusieurs certificats pour un même nom de domaine (donc des certificats différents en IPv6 et en IPv4), ce serait l’idéal. Est-ce que ça se fait, y a-t-il des précautions à prendre ? Mes certificats actuels sont émis par Let’s Encrypt, y a-t-il un moyen de lui demander de faire la validation en IPv4 pour une machine et en IPv6 pour l’autre, sachant que le nom de domaine aurait des enregistrements A et AAAA qui pointeraient sur des machines différentes ? Merci de votre aide face à cette épineuse question !