Livebox portforwarding

[thomasbert]

Bonjour, comment faire du portforwading par api sur une LB V5 svp ?
dans l’idée, je cherche à ouvrir le port 80 de ma box lorsque j’active certbox une fois tous les 3 mois.

note: je n’ai pas possibilité de faire du dns challenge via changeip compte gratuit, pas possible d’avoir une entrée txt dns gratuitement. Donc seul moyen que j’ai trouvé, ouvrir le port 80 et le fermer ensuite.

…si vous avez une autre idée ;je suis prenneur

thanks

[Mips]

Bonjour,

Il suffit de laisser le port ouvert

[thomasbert]

euh oui mais non

[echo]

Bonjour

Sur ma box Free, sur Jeedom je fait le cerbot renew aussi tous les 3 mois en ouvrant manuellement le port 80.
J’utilise le port 80 pour Nexcloud.

Je sais qu’il est possible d’installer un proxy reverse qui gère aussi les certificats, c’est en projet je dois m’y mettre.

Cordialement

[Mips]

Cela n’a rien de pas sécurisé…
comme beaucoup vous n’avez probablement pas compris le but d’un certificat ssl qui ne protège absolument pas votre serveur (jeedom ou autre)

[ngrataloup]

Pourquoi non, qu’est-ce qui vous fait dire qu’il ne faut pas le faire ?

[thomasbert]

c’est vrai qu’en tant que responsable en ingénierie réseau (Master1) j’ai un peu de mal avec les notions de réseau et de cryptographie asymétrique

[thomasbert]

yup j’ai déjà fait un POC avec un RP car j’en utilise au taf pour mes flux webpubliés (bon c’est des RP hardware de type F5 Big IP) et je n’ai pas eu le temps de finaliser. j’avais challengé le RP logiciel HAProxy avec NGINX mais c’était plus pour des besoins liées à du loadbalancing que de la conf pour gérer le cycle de vie de mes certifs. Tu comptes utiliser quoi, Traefik / caddy ?

[Bison]

Hello,

Du coup on va pouvoir en savoir plus et apprendre de ton expérience.

certbot a besoin du port 80 ouvert pour faire un challenge http et s’assurer que le serveur gère le nom de domaine qu’il souhaite déclarer.

En dehors de ce processus qui, à ma connaissance, ne peux pas tellement poser problème, la réelle problématique du protocole http est que les paquets qui circulent sont en clair et qu’en conséquence, s’ils sont sniffés, l’attaquant récupère les identifiants (entre autre…)

Maintenant si tu n’utilises jamais ce protocole pour te connecter à Jeedom et que tu utilises toujours le protocole https qui crypte les données (avec ou sans certificat signé avec une autorité de certification d’ailleurs), à quel moment est-ce qu’un attaquant pourrait récupérer les données qui véhiculent entre un navigateur et ton serveur Jeedom ?

Je pense que c’est un peu pour ça que Mips indique que ça ne pose pas de problème particulier mais du coup on fait peut-être une grosse erreur et on reste dans l’attente de ton explication.

[echo]

Je ne suis pas un pro de docker donc cela va être difficile pour Traefik. Je m’orienterais plus sur Nginx en reverse. Mais il y a du travail à faire comme je veux tout comprendre, je n’aime pas recopier bêtement du paramétrage.

[thomasbert]

re, bon j’ai fini par trouver, je partage à toutes fins utiles

j’ai installé sysbus

pip install sysbus
sysbus -config -password <pwd-box>[ -url http://<IP-box>/ ] [ -lversion lb4 ]

Ensuite j’ai testé la connexion avec mes creds

sysbus
     SoftwareVersion : SGFI-fr-G06.R01.C08_06

résultat OK (il me retourne bien la version du software installé).

du coup, j’ai ajouté une règle via l’ihm de la LB puis export des règles NAT/PAT via sysbus:

sysbus -export_natpat cfg_port80_ouvert.json

Je retrouve bien ma règle

Ensuite, il ne me reste plus qu’à créer un fichier json nommé cfg_port80_ferme.json au sein duquel j’ai viré le bloc lié à ma règle puis

sysbus -import_natpat cfg_port80_ferme.json

la règle a disparu de l’ihm.

voilà si ça peut aider qqun, je partage