Haproxy 1.5.dev25-13

[Zorgonaute84]

Idem, je n'ai pas eu d'auto update non plus, j'ai du tout comme toi desinstaller et réinstaller. En tout cas un grand merci d'avoir uploader cette nouvelle version. Elle fonctionne impec ! hormis mon soucis avec mon routeur de merde...

[Zorgonaute84]

J'ai fais une extraction de la configuration de mon nas en .xml voici ce qu'on peut y trouver. Les redirections de ports se font en 2 étapes. Une de déclaration de service et une deuxieme d'attribution du service a une machine. Voici un exemple :

<service PortEnd="0" PortStart="80" Protocol="TCP/UDP" Name="MONSERVICE"/>

<rule DeviceMACAddress="xx:xx:xx:xx:xx:xx" DeviceIPAddress="192.168.1.2" Service="MONSERVICE" Enabled="true"/>

Le truc c'est qu'ici, mes redirections (qui ne fonctionnent pas) crée en ligne de commande n'apparaisse pas ! Est-ce qu'il n'y aurai pas un moyen de modifier directement le fichier xml avec ces redirections de ports différents, puis le réinjecter dans mon routeur ?

[devildant]

PortEnd="0"?

[Zorgonaute84]

Oui je sais c'est bizarre, pourtant ce son des redirections crées avec l'interface web et le xml est également généré par le routeur. Quand il s'agit d'une plage de port, pas de soucis la syntaxe est logique, mais quand il s'agit d'un seul port tous mes services ont un port end a 0 sauf 1 ! pourtant ils fonctionnent tous. Je vous dis, il est bizarre ce routeur...

[devildant]

eu eu sinon changé de fai c'est pas une option?

[devildant]

ça ne fonctionne pas ça en telnet?

portmap add haproxy 192.168.1.100 5080 TCP

portmap add haproxy 443 192.168.1.100 5443 TCP

[Zorgonaute84]

Alors pour le changement de fai malheureusement ce n'est pas envisageable. Mon immeuble n'est pas câble et le seul fai adsl est swisscom.

En ce qui concerne les commandes telnet ce sont exactement celles que j'utilise.

[gaetan.cambier]

Je viens de tester haproxy, ca fonctionne assez facilement, par contre coté https, faudrait un peu blindé la conf par defaut :

il y a pas mal d'algorithme considérer comme "weak"

donc, pour modifie cela, on peut ajouter dans le front end :

à la ligne bind : ajouter : (version secure et rapide (priorité aux algo 128bits))

ciphers AESGCM+AES128:AES128:AESGCM+AES256:AES256:RSA+RC4+SHA:!RSA+AES:!CAMELLIA:!aECDH:!3DES:!DSS:!PSK:!SRP:!aNULL

ou version 100% secure (priorité aux algo 256bits)

ciphers AESGCM+AES256:AES256:AESGCM+AES128:AES128:RSA+RC4+SHA:!RSA+AES:!CAMELLIA:!aECDH:!3DES:!DSS:!PSK:!SRP:!aNULL

à la ligne option ajouter :

rspadd Strict-Transport-Security: max-age=31536000; includeSubDomains

faite un tour sur le site https://www.ssllabs.com/ssltest/ avant et après et vous verrez la différence !

Modifié le 21 septembre 2014 par Gaetan Cambier

[Diaoul]

Merci pour ton retour, tu peux faire une pull request pour modifier la conf par défaut? Il te faut juste te connecter à GitHub et éditer ce fichier: https://github.com/SynoCommunity/spksrc/blob/develop/spk/haproxy/src/haproxy.cfg la PR sera automatiquement crée

[Vierxa]

Merci Gaetan Cambier.

Je viens de faire les modifications que tu évoques.

Cela fonctionne parfaitement et les tests avant/après de ssllabs parlent d'eux même.

Avant :

Après :

[gaetan.cambier]

Merci pour ton retour, tu peux faire une pull request pour modifier la conf par défaut? Il te faut juste te connecter à GitHub et éditer ce fichier: https://github.com/SynoCommunity/spksrc/blob/develop/spk/haproxy/src/haproxy.cfg la PR sera automatiquement crée

merci mais malheureusement, c'était pas ce fichier là

le fichier de config est généré par un autre fichier que j'ai trouvé et modifié

en attente d'acceptation ...

[Diaoul]

Parfait merci, j'inclurai ça dans la prochaine release.

[gaetan.cambier]

Merci Gaetan Cambier.

Je viens de faire les modifications que tu évoques.

Cela fonctionne parfaitement et les tests avant/après de ssllabs parlent d'eux même.

Avant :

Après :

Par contre, c'est quand même bizarre, tu devrait avoir un A+ avec cette config, tu n'a qu'un A (ce qui est très bien deja, je connait des site public qui sont une vrai catastrophe à ce test), faudrait creuser ....

Parfait merci, j'inclurai ça dans la prochaine release.

De rien

Par contre, c'est quand même bizarre, tu devrait avoir un A+ avec cette config, tu n'a qu'un A (ce qui est très bien deja, je connait des site public qui sont une vrai catastrophe à ce test), faudrait creuser ....

J'ai creuser moi meme, j'ai trouvé :

• A+ is awarded to servers that use SHA256 certificates, but have a SHA1 intermediate. They should be given an A instead.

Ca vient du certificat en sha1 tout simplement

[Diaoul]

@Gaetan : Est-ce que la config par défaut est si catastrophique qu'il faudrait mettre à jour la config lors de l'update du SPK selon toi ? Ou est-ce que ça suffit de le faire pour les nouveaux utilisateurs ? Si je fais l'update sur les utilisateurs existants, quid de la rétrocompatibilité ?

[Vierxa]

Par contre, c'est quand même bizarre, tu devrait avoir un A+ avec cette config, tu n'a qu'un A (ce qui est très bien deja, je connait des site public qui sont une vrai catastrophe à ce test), faudrait creuser ....

De rien

J'ai creuser moi meme, j'ai trouvé :

• A+ is awarded to servers that use SHA256 certificates, but have a SHA1 intermediate. They should be given an A instead.

Ca vient du certificat en sha1 tout simplement

Merci pour l'info mais un certificat en SHA256 ce n'est pas le même prix... Pour mon usage perso, le sha1 restera suffisant... :-)

[gaetan.cambier]

Merci pour l'info mais un certificat en SHA256 ce n'est pas le même prix... Pour mon usage perso, le sha1 restera suffisant... :-)

Startssl 0€

[Vierxa]

Startssl 0€

StartSSL ne propose que du SHA1 ou du SHA2 enfin je ne trouve pas d'endroit pour en créer un en sha256.

[gaetan.cambier]

famille sha-2 = sha 256 ou 512 http://fr.wikipedia.org/wiki/SHA-2

donc startssl te le créera en sha256, c'est ce que j'utilise

Modifié le 22 septembre 2014 par Gaetan Cambier

[Vierxa]

famille sha-2 = sha 256 ou 512 http://fr.wikipedia.org/wiki/SHA-2

donc startssl te le créera en sha256, c'est ce que j'utilise

Merci pour l'info.

Je vais faire des tests alors.

[Diaoul]

@Gaetan : Est-ce que la config par défaut est si catastrophique qu'il faudrait mettre à jour la config lors de l'update du SPK selon toi ? Ou est-ce que ça suffit de le faire pour les nouveaux utilisateurs ? Si je fais l'update sur les utilisateurs existants, quid de la rétrocompatibilité ?

Je m'autoquote parce que je n'ai pas eu de réponse à cette question Merci

[gaetan.cambier]

Ben, c'est sur qu'elle était avec des cryptage totalement dépassé et donc facile a craquer pour certaines personnes. Donc ça serait bien un update pour tous de plus que peu de users vont se plonger dans les problèmes de sécurité. Pour la plupart ça fonctionne c génial. Maintenant côté comptabilité, les navigateurs supporté sont :

• Internet explorer 6 et +
• Chrome 1 et +
• Firefox 1 et +
• Opera 5 et +
• Safari 1 et +
• Android 2.3.7 et +
• Java 6u45 et +
• openssl 0.9.8y et +
• IE Mobile 7 et +

C'est les versions que je suis sur que c'est ok, une version inférieur peut fonctionner mais je n'ai pas tous ses vieux navigateurs/systeme d'exploitation chez moi donc c'est en cherchant un peu sur le net que je peux donner cette liste

Maintenant, je connait un site public qui draine des milier d'utilisateur (tous les chomeurs belges) où la sécurité est bien pire, je crois même qu'on ne saurait pas faire pire : https://www.ssllabs.com/ssltest/analyze.html?d=leforem.be

Mais le but, c'est qd même de ne pas faire comme eux

PS: désolé de pas avoir répondu avant, n'avait pas vu le message et je suis depuis mon Gsm

Modifié le 23 septembre 2014 par Gaetan Cambier

[devildant]

Bonjour,

la compatibilité avec vlc ca donne quoi?

[gaetan.cambier]

vlc 1.1.0 et +

à la fois, faut pas s'en faire, à moin d'avoir des prorammes/systeme d'exploitation + vieux que internet explorer 6, ca ne posera pas de problème

[devildant]

merci de l'info,

je viens de testé tous ça, et je ne parviens pas a aller au delà de B, la raison viens du faite que le tls1.2 n'est pas supporter, tu a ajouter une option supplémentaire?

[gaetan.cambier]

sur haproxy non, il est supporter par defaut dans la version fournie