Mais non. C'est trop compliqué pour l'utilisateur qui veut héberger son blog sur un système distribué et redondant pour avoir une haute disponibilité. Or ça, excuse-moi mais c'est tout sauf un utilisateur lambda. Et accessoirement, ce n'est pas de l'auto-hébergement, à moins d'avoir plusieurs maisons.
Le problème apparaît aussi avec un seul serveur dans une seule maison ... J'ai déjà pas mal galéré et j'ai pas encore réussi a automatiser let's encrypt (je suis fort probablement noob sur ce point, mais les gens que j'aide a monter leur owncloud sont encore plus noob que moi donc encore plus largué).
Cas de figure :
Utilisateur simple, tu as ton petiot VHOST simple (port 80 et 443 ouvert et un seul certificat TLS, celui de Let's Encrypt) pour ton owncloud. Admettons que tu veuilles faire ton montage DAVFS2 :
Depuis l'extérieur (de chez toi) :
- https://www.monDomaine.be ça fonctionne (note que j'ai pas vérifié si ça continue de fonctionner après un renouvellement)
Depuis l'Intérieur (LAN)
- tu retentes comme en WAN avec https://www.monDomaine.be mais la le routeur de ton FAI a beaucoup de chance de ne pas être compatible hairpinning, si tu peux le changer par un autre (ce qui n'est pas mon cas!), t'as bien de la chance
-donc tu veux que sa fonctionne quand même alors tu passe par https://adresseIPDuServeur mais comme le certificat n'est pas prévu pour ce hostname, il est traité par le logiciel comme un auto-signé (quand il va changer dans 90 jours, faudra tout recommencer)
Depuis Tor
- comme pour le lan, ton certificat n'étant pas prévu pour ce hostname, il est traité comme un auto signé, quand il changera hop tu peux tout recommencer.
Donc pour que ton montage DAVFS2 fonctionne sans devoir le refaire tout les nonantes jours, t'es obligé de repasser sur un auto signé ou de passer par http sans TLS (se qui, par sécurité, nécessite de remplacer par autre chose (Tor Hidden Service, SSH tunneling))
On pourrait rétorquer : t'as qu'a utiliser un auto signé pour tout sauf pour le WAN mais ca signifie complexifier le VHOST puis autant utiliser de l'auto signé partout a ce moment là.
Faut retenir qu'un serveur chez OVH c'est facile a gérer : un seul hostname, DMZ; un serveur auto-hébergé est face a plein de contraintes (multi hostname, hairpinning, NAT, IPv4/IPv6).
Je ne devais pas être au courant de ce détail, c'est pour ça que j'ai pu réussir à l'utiliser. Et sans problème, je dois dire.
Quel est donc ta solution donc pour que mon montage DAVFS2 ne casse pas à chaque renouvellement ? Je suis ouvert à toute astuce.
Décidément, c'est une manie...
Firefox, safari, chrome: ils empêchent tous l'utilisateur moyen d'avoir une expérience correct sur un site auto-hébergé utilisant des certificats auto signés. En auto signé je me fais souvent harceler par des users qui disent "ne pas savoir accéder" à mon site (ils trouvent pas le bouton habilement dissimulé par les navigateurs et ne comprennent pas le principe de l'exception de sécu).
Envoyer mes users harceler mozzila sur facebook/twitter n'a pas encore d'effet (ils sont pas assez nombreux) donc je me fais imposer soit la censure, soit Let's Encrypt.
Note : je rajouterai que TLS utilise un mécanisme très similaire a SSH, et que SSH ne force pas à renouveler ses clés tout les 90 jours (si non ca cassera pas mal d'automate et de montage)
[^] # Re: L’automatisation, c’est bon, mangez-en
Posté par EauFroide . En réponse au message Let's Encrypt en prod en entreprise. Évalué à -1. Dernière modification le 23 septembre 2016 à 14:10.
Le problème apparaît aussi avec un seul serveur dans une seule maison ... J'ai déjà pas mal galéré et j'ai pas encore réussi a automatiser let's encrypt (je suis fort probablement noob sur ce point, mais les gens que j'aide a monter leur owncloud sont encore plus noob que moi donc encore plus largué).
Cas de figure :
Utilisateur simple, tu as ton petiot VHOST simple (port 80 et 443 ouvert et un seul certificat TLS, celui de Let's Encrypt) pour ton owncloud. Admettons que tu veuilles faire ton montage DAVFS2 :
Depuis l'extérieur (de chez toi) :
- https://www.monDomaine.be ça fonctionne (note que j'ai pas vérifié si ça continue de fonctionner après un renouvellement)
Depuis l'Intérieur (LAN)
- tu retentes comme en WAN avec https://www.monDomaine.be mais la le routeur de ton FAI a beaucoup de chance de ne pas être compatible hairpinning, si tu peux le changer par un autre (ce qui n'est pas mon cas!), t'as bien de la chance
-donc tu veux que sa fonctionne quand même alors tu passe par https://adresseIPDuServeur mais comme le certificat n'est pas prévu pour ce hostname, il est traité par le logiciel comme un auto-signé (quand il va changer dans 90 jours, faudra tout recommencer)
Depuis Tor
- comme pour le lan, ton certificat n'étant pas prévu pour ce hostname, il est traité comme un auto signé, quand il changera hop tu peux tout recommencer.
Donc pour que ton montage DAVFS2 fonctionne sans devoir le refaire tout les nonantes jours, t'es obligé de repasser sur un auto signé ou de passer par http sans TLS (se qui, par sécurité, nécessite de remplacer par autre chose (Tor Hidden Service, SSH tunneling))
On pourrait rétorquer : t'as qu'a utiliser un auto signé pour tout sauf pour le WAN mais ca signifie complexifier le VHOST puis autant utiliser de l'auto signé partout a ce moment là.
Faut retenir qu'un serveur chez OVH c'est facile a gérer : un seul hostname, DMZ; un serveur auto-hébergé est face a plein de contraintes (multi hostname, hairpinning, NAT, IPv4/IPv6).
Quel est donc ta solution donc pour que mon montage DAVFS2 ne casse pas à chaque renouvellement ? Je suis ouvert à toute astuce.
Firefox, safari, chrome: ils empêchent tous l'utilisateur moyen d'avoir une expérience correct sur un site auto-hébergé utilisant des certificats auto signés. En auto signé je me fais souvent harceler par des users qui disent "ne pas savoir accéder" à mon site (ils trouvent pas le bouton habilement dissimulé par les navigateurs et ne comprennent pas le principe de l'exception de sécu).
Envoyer mes users harceler mozzila sur facebook/twitter n'a pas encore d'effet (ils sont pas assez nombreux) donc je me fais imposer soit la censure, soit Let's Encrypt.
Note : je rajouterai que TLS utilise un mécanisme très similaire a SSH, et que SSH ne force pas à renouveler ses clés tout les 90 jours (si non ca cassera pas mal d'automate et de montage)
Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat