Probleme installe letsencrypt

[samourai47]

Hello
J'ai un rpi3 qui tourne parfaitement avec letsencrypt et nginx installé. RAS
Je viens de m'équiper du rpi zero2w et souhaite faire le meme genre d'installation pour mettre sur un deuxieme appartement
Probleme
J'installe letsencrypt en suivant la doc officielle, j'ai pas de message d'erreur mais a priori il manque au moins deux fichiers par rapport à l'install du rp3. le letsencrypt-auto et certbot-auto
Je ne comprends pas pourquoi ces fichiers n'ont pas été installés, car du coup je ne peut pas aller plus loin
Un coup de main?
Merci
Le fait d'etre pour le moment sur le meme reseau peut il expliquer? J'ai un routage du port 80 et 443 vers le rp3...

[Chrominator]

En étant sur un seul réseau, tu n'as qu'une seule et unique IP publique (celle qui sera associée à ta machine sur ton domaine).
La redirection NAT que tu as peut-être fait sur ton routeur pour diriger vers ton RPI3 vaut pour toutes les communications arrivant sur ton IP publique sur le port 80 utilisé par certbot.

On ne sait pas si tu utilises deux noms de machines différents d'un même domaine ou deux domaines distincts dans ta cible, et combien même je le saurais je ne saurais pas préconiser de solutions.

Ce qui fonctionne sur un réseau unique, c'est une redirection NAT du routeur vers un serveur proxy web (nginx fait ça très bien) qui va aiguiller les requêtes http vers la machine concernée.
Cette technique permet d'exposer plusieurs serveurs web de ton lan sur Internet en ayant qu'une seule IP publique tout en se servant uniquement des ports 80 et 443.
Mais dans ce cas, bien entendu, il n'y a qu'un seul certificat généré et il est au minimum destiné au proxy web.

A lire si ça t'inspire.

[samourai47]

merci pour toutes ces infos. Je vais en effet lire le lien.

Mais dans mon cas ce qui est etonnant c'est que l'installation de letsecrypt ne semble pas se faire completement. ceci avant meme la creation du certificat. Si je compare les deux repertoires des deux machines, dans la nouvelle il me manque au moins 2 fichiers (notés dans le 1er post) et je ne comprends pas pourquoi.
Je suis parti sur une buster legacy desktop....

[samourai47]

en fait je viens de m apercevoir d'un truc. Sur l'install du wiki domoticz ils envoient vers ce repertoire

Code : Tout sélectionner

https://github.com/letsencrypt/letsencrypt

or a l'arrivee il se transfore en

Code : Tout sélectionner

https://github.com/certbot/certbot

et effectivement en regardant le détail je n'ai pas le meme nombre de fichier que dans mon installe de rpi3 déja ancienne mais update régulierement

Ca bloque dès la 4 eme ligne puisqu'il ne trouve pas le fichier...

Code : Tout sélectionner

cd /etc
sudo git clone https://github.com/letsencrypt/letsencrypt
cd letsencrypt
sudo ./letsencrypt-auto

Du coup il faut peut etre installer différemment?......

[Chrominator]

Le mieux en ce domaine est certainement de se référer à la source et non pas à un wiki hors d'âge potentiellement obsolète.

[samourai47]

hello
Ca fait 4 jours que je cherche mais toujours pas trouvé une methode pour installer letsencrypt
Rien de tres probant a la lecture du moins. Dommage que celle du wiki ne fonctionne plus

Si vous avez un lien... Merci d avance

[samourai47]

probleme resolu
J'ai suivi un tuto pour installer cerbot. Puis celui officiel pour copier le certificat dans domoticz/www
ca a marche au premier coup
Dispo pour ceux que ca peut dépanner

Reste à tester le renouvellement automatique
merci

[lost]

Reste à tester le renouvellement automatique

Normalement, il est possible de le faire ainsi:

Code : Tout sélectionner

sudo certbot renew --dry-run

Attention car certbot impose d'ouvrir le port 80/http pour fonctionner. Il faut le faire niveau box pour l'accès à la machine ou tourne domoticz mais comme il n'est pas souhaitable de laisser cela ainsi en permanence, il faut bloquer l'accès dynamiquement à ce niveau...

Si on a en firewall installé le paquet ufw, partant d'une config par défaut "ufw default deny", il faudra ouvrir les ports d'intérêt pour son réseau local (une connection ssh active ne sera pas coupée), genre (accès https externe ouvert sur port par défaut, accès LAN seuls pour port http custom domoticz, 8080, et ssh):

Code : Tout sélectionner

 $ sudo ufw status
Status: active

To                         Action      From
--                         ------      ----
443/tcp                    ALLOW       Anywhere                  
192.168.1.31 8080/tcp      ALLOW       192.168.1.0/24            
192.168.1.31 22/tcp        ALLOW       192.168.1.0/24            

Ici, le LAN est un 192.168.1.0/24 à modifier au besoin et le PI tourne en IP statique finissant par .31 (PI, 3.1 toussa!), à modifier pour sa config.

et avoir un script pour ouvrir/fermer le http normal (80) avant/après que certbot renouvelle.

Voici le mien, logé dans un répertoire ~/scripts. Le comportement dépends du nom d'appel via les liens symboliques en pre/post côté letsencrypt, cf commentaires script:

Code : Tout sélectionner

~/scripts $ more updCertDomoticz.sh 
#!/bin/bash
# Must be linked to renewal hooks:
# sudo ln -s /home/XXX/scripts/updCertDomoticz.sh /etc/letsencrypt/renewal-hooks/post
# sudo ln -s /home/XXX/scripts/updCertDomoticz.sh /etc/letsencrypt/renewal-hooks/pre

BN=$(cd "$(dirname "$0")" && pwd)
#echo $BN
PRE_POST=${BN##*/}
#echo $PRE_POST

if [ ${PRE_POST} == 'pre' ]
then
  ufw allow http
  exit 0
fi

if [ ${PRE_POST} == 'post' ]
then
  ufw delete allow http
  cat /etc/letsencrypt/live/MON_DOMAINE.com/privkey.pem > /home/XXX/domoticz/server_cert.pem
  cat /etc/letsencrypt/live/MON_DOMAINE.com/fullchain.pem >> /home/XXX/domoticz/server_cert.pem
  cp /home/XXX/domoticz/server_cert.pem /home/XXX/domoticz/letsencrypt_server_cert.pem
  tail -n 8 /home/XXX/domoticz/server_cert.pem.org >> /home/XXX/domoticz/server_cert.pem
  /etc/init.d/domoticz.sh restart
  exit 0
fi

echo "Bad execution path : "${BN}
exit 1

Modifier le username XXX et son nom de domaine (dyndns, no-ip ou autre...) MON_DOMAINE.com

[samourai47]

merci pour ce post très interessant
je vais m 'y pencher serieusement...

[lost]

A noter que dans le script ci-dessus, le fichier:
/home/XXX/domoticz/server_cert.pem.org

est en fait une copie préalable du server_cert.pem présent d'origine avec le certificat par défaut. Une petite partie est réutilisée car sinon c'est assez long à générer sur PI. J'avais vu l'astuce dans le wiki il me semble mais c'était ici pas bien clair pour qqun qui n'aurait pas fait le rapprochement (capillotracté)!