Haproxy + Livebox + Ddns Ovh

[qwrty]

Hello,

j'ai un petit soucis avec haproxy, j'avais bien réussis à le faire fonctionner, mais cela ne marche plus mnt , je ne sais pas pourquoi :cry:
enfin juste avec gateone et mon site web sur le nas

Impossible de me co au dsm, audio et video.

Voila ma conf:

frontend http
bind :5080
option http-server-close
option forwardfor
redirect scheme https

frontend https
bind :5443 ssl crt /usr/local/haproxy/var/crt/default.pem ciphers AESGCM+AES128:AES128:AESGCM+AES256:AES256:RSA+RC4+SHA:!RSA+AES:!CAMELLIA:!aECDH:!3DES:!DSS:!PSK:!SRP:!aNULL no-sslv3
option http-server-close
option forwardfor
rspirep ^Location: http://(.*)$ Location: https://1
rspadd Strict-Transport-Security: max-age=31536000; includeSubDomains
use_backend web if { path_beg /web }
use_backend gateone if { path_beg /gateone }
use_backend audio if { path_beg /audio }
use_backend video if { path_beg /video }
use_backend nas if { hdr_beg(Host) -i nas. }
default_backend nas

backend web
reqrep ^([^ :]*) /web/(.*) 1 /2
server web localhost: check

backend gateone
server gateone localhost:8271 ssl check verify none

backend audio
reqrep ^([^ :]*) /audio/(.*) 1 /2
server audio localhost:8800 check

backend video
reqrep ^([^ :]*) /video/(.*) 1 /2
server video localhost:9007 check

backend nas
server nas localhost:5000 check

nas.mondomaine.fr me renvois une page non trouvable mais me dirge bien en https://nas.mondomaine.fr/webman/index.cgi
nas.mondomaine.fr/audio/ me renvois une page plage, mais charge un truc
nas.mondomaine.fr/video/ idem.

nas.mondomaine.fr/web/ OK
nas.mondomaine.fr/gateone/ OK

Qu'est ce qui foire dans ma conf d'aprés vous ?

Merci

Modifié le 21 novembre 2014 par qwrty

[qwrty]

up

[qwrty]

Je viens au news, j'ai un peu avancer, j'ai repris toute la conf de haproxy à la mano, etape par etape.

Tout marche enfin mais...
j'ai le DynHOST de Synology.

j'ai un DynHOST chez OVH => livebox.mondomaine.fr vers mon IP.
+ 2 CNAME (entre autre) configurer dans ma zone DNS:
nas.mondomaine.fr => livebox.mondomaine.fr
www.mondomaine.fr => livebox.mondomaine.fr

Jusque là OK.

avec le dynhost de syno, tout est ok, j'accede a mes appli via le path.

avec le dynhost de ovh, tout est ok, sauf pour acceder à mon serveur web...

j'en deduis que le soucis vient de ma zone DNS chez OVH.
Mais je ne vois pas d'où, sachant qu'en plus avant j'arrivais à acceder à mon serveur web par nas.mondomaine.fr/web/ maintenant j'ai un erreur "page introuvable" renvoyer par le serveur web du synology, donc je tape bien dedant, mais pas à la bonne page alors qu'avec le dynhost de synology ca marche nikel.

Quand je tape www.mondomaine.fr je suis redirigier vers www.mondomaine.fr/web/ et la page de mon serveur s'affiche
:blink:

Modifié le 21 novembre 2014 par qwrty

[qwrty]

Ok, c'est bon j'ai trouvé mes fautes.

Tout est absolument ok à présent => il manquait un / pour le web, et j'avais une regle inutile qui foutait le bronx.

Fonctionnement =>

*tout ce qui arrive en http est automatiquement redirigé en https

*http://nas.mondomaine.fr => https://nas.mondomaine.fr => interface DSM (regle par defaut du frontend https)

*http://nas.mondomaine.fr/web/ => https://nas.mondomaine.fr/web/ => site web

idem pour gateone, audio et video.

Il ne me reste plus qua implémenté mon certifcat SSL, de chez startSSL

Voila ma conf pour les intérésé:

...

frontend http
	bind :5080
	option http-server-close
	option forwardfor
	redirect scheme https

frontend https
	bind :5443 ssl crt /usr/local/haproxy/var/crt/default.pem ciphers AESGCM+AES128:AES128:AESGCM+AES256:AES256:RSA+RC4+SHA:!RSA+AES:!CAMELLIA:!aECDH:!3DES:!DSS:!PSK:!SRP:!aNULL no-sslv3
	option http-server-close
	option forwardfor
	rspirep ^Location: http://(.*)$    Location: https://1
	rspadd Strict-Transport-Security: max-age=31536000; includeSubDomains
	use_backend gateone if { path_beg /gateone }
	use_backend audio if { path_beg /audio }
	use_backend video if { path_beg /video }
	use_backend web if { path_beg /web/ }
	default_backend dsm

backend gateone
	server gateone localhost:8271 ssl check verify none

backend dsm
	server dsm localhost:5000 check

backend audio
	reqrep ^([^ :]*) /audio/(.*)     1 /2
	server audio localhost:8800 check

backend video
	reqrep ^([^ :]*) /video/(.*)     1 /2
	server video localhost:9007 check

backend web
	reqrep ^([^ :]*) /web/(.*)     1 /2
	server web localhost: check

Modifié le 21 novembre 2014 par qwrty

[gaetan.cambier]

pour tes certificat voila :

:5443 ssl crt /usr/local/haproxy/var/crt/www.pem crt /usr/local/haproxy/var/crt/ ciphers ...

la première commande crt definit le certificat par defaut, la 2° le repertoire comma ca, tu peux utiliser autant de certificat que tu as de sous domaines

ps : il faut concatener le certificat intermédiaire, le certificat de ton sous domaine, et la clé privé dans un fichier *.pem

[qwrty]

J'ai pas fait comme ça, j'ai peu etre tord ?

J'ai directement remplacer mon certificat dans le synology (validation ok, statut certificat tiers en vert) puis j'ai regenerer le certifcat dans haproxy.

Reboot des services.

Et quand je me connecte sur nas.mondomaine.fr, j'ai bien mon certificat de OK.

edit: ton actuce concerne les personne qui on plusieur certifcat je supose en fait ?

Modifié le 21 novembre 2014 par qwrty

[gaetan.cambier]

Oui exactement ce qui peut être utile si tu utilise un sous domaine pour autre chose.

Exemple : file pour file station, ...

Modifié le 21 novembre 2014 par Gaetan Cambier

[qwrty]

ok, j'en étais bien arriver là.

Mais justement je ne veux pas m'embeter avec la gestion de plusieur certificat free ou acheter une wildcard.

d'où l'utilisation de haproxy avec les "path".

[slayerpapillon]

pour tes certificat voila :

:5443 ssl crt /usr/local/haproxy/var/crt/www.pem crt /usr/local/haproxy/var/crt/ ciphers ...

la première commande crt definit le certificat par defaut, la 2° le repertoire comma ca, tu peux utiliser autant de certificat que tu as de sous domaines

ps : il faut concatener le certificat intermédiaire, le certificat de ton sous domaine, et la clé privé dans un fichier *.pem

Bonsoir,

J'utilise HAPROXY avec plusieurs sous domaines AA.mondomaine.fr, BB.mondomaine.fr, j'ai donc crée plusieurs certificats sur StartSSL.

Comment faire du coup pour créer le fichier *.pem? Je dispose à chaque sous domaine du certificat intermédiaire (le même), le certificat du sous domaine et la clé privée.

Du coup tous les certificats de chaque sous domaines doivent êtres dans /usr/local/haproxy/var/crt/ au format *.pem?

Merci

[devildant]

Pour ca il faut soit un certificat multi domaine soit un certificat wildcard

[CHILLY996]

Du coup tous les certificats de chaque sous domaines doivent êtres dans /usr/local/haproxy/var/crt/ au format *.pem?

Merci

Oui c'est ce que j'ai fait de mémoire. Celà fonctionne bien avec les navigateurs. En revanche, celà ne fonctionne pas avec les applis mobile sous android (si on coche la case vérifier le certificat, ou je m'y suis mal pris).

[gaetan.cambier]

Faut ajouter le certificat intermédiaire pour que ça fonctionne autrement la chaîne de certification n'est pas complète

[devildant]

Oki j'ai rien dit je n'avais pas compris le problème

[CHILLY996]

Le certificat intermédiaire c'est lequel ? désolé pour la question stupide ...

[gaetan.cambier]

http://www.startssl.com/certs/class1/sha2/pem/

Celui qui sera note server

[CHILLY996]

Ok merci je teste.

[slayerpapillon]

Et donc pour créer chaque fichier *.pem par sous domaine comment fait -on?

Concaténer le certificat intermédiaire, le certificat du sous domaine et la clé privée!

Pour mettre chaque .pem dans le dossier.

Merci