Proxmox sÃ©curisation certificats SSL clients - Historique des versions

Frank le 20 novembre 2012 à 15:26

2012-11-20T15:26:04Z

Frank : /* Création du certificat client */

2012-10-15T15:06:41Z

‎Création du certificat client

Frank : /* Création du certificat client */

2012-10-15T15:06:13Z

‎Création du certificat client

Frank le 18 juillet 2012 à 14:14

2012-07-18T14:14:18Z

Frank le 19 octobre 2011 à 08:35

2011-10-19T08:35:50Z

Frank : /* JAVA (pour les consoles VNCviewer) */

2011-10-18T15:21:48Z

‎JAVA (pour les consoles VNCviewer)

Frank le 18 octobre 2011 à 12:29

2011-10-18T12:29:20Z

Frank le 29 septembre 2011 à 14:59

2011-09-29T14:59:56Z

Frank le 29 septembre 2011 à 14:56

2011-09-29T14:56:40Z

Frank le 29 septembre 2011 à 14:43

2011-09-29T14:43:59Z

@@ Ligne 5 : / Ligne 5 : @@
 = Installation =
 == Création du certificat client ==
-Eventuellement, modifier /usr/share/ssl-cert/ssleay.cnf pour intégrer le nom du serveur ("@HostName@" ne revoit pas toujours le hostname en question). Puis :
+Eventuellement, modifier
   cd /tmp
   mkdir ssl

@@ Ligne 5 : / Ligne 5 : @@
 = Installation =
 == Création du certificat client ==
-Eventuellement, modifier /usr/share/ssl-cert/ssleay.cnf pour intégrer le nom du serveur ("@HOSTNAME@" ne revoit pas toujours le hostname en question). Puis :
+Eventuellement, modifier /usr/share/ssl-cert/ssleay.cnf pour intégrer le nom du serveur ("@HostName@" ne revoit pas toujours le hostname en question). Puis :
   cd /tmp
   mkdir ssl

@@ Ligne 5 : / Ligne 5 : @@
 = Installation =
 == Création du certificat client ==
   cd /tmp
   mkdir ssl

@@ Ligne 3 : / Ligne 3 : @@
 Pour encore plus de sécurité, on peut forcer le serveur à n'autoriser que les clients disposant d'un certificat local. Sans ce certificat généré avec le CA du serveur, le client n'arrive pas jusqu'à la page de login et reçoit une erreur (certificat erroné, ou certificat client requis, selon les navigateurs).
 == Création du certificat client ==
   cd /tmp
@@ Ligne 25 : / Ligne 26 : @@
   /etc/init.d/apache2 reload
-== Utilisation ==
+= Utilisation =
-A partir d'un client sans certificat, vérifier que Proxmox interdit l'accès à l'interface web.
+A partir d'un client sans certificat, vérifier que Proxmox interdit l'accès à l'interface web (on doit avoir une erreur du type "connexion réinitialisée").
-=== Navigateurs ===
+== Navigateurs ==
 Télécharger le fichier p12 (par FTP, SCP, ou tout autre moyen). L'importer dans le navigateur.
 * Firefox
@@ Ligne 37 : / Ligne 38 : @@
 Une fois importé, vérifier que le navigateur accède (après validation) à la page de login
-=== JAVA (pour les consoles VNCviewer) ===
+== JAVA (pour les consoles VNCviewer) ==
 '''Problème à résoudre :''' la console VNC ne fonctionne plus avec ces certificats.
 Résolution temporaire : -> private.
-== Notes ==
+= Notes =
 * Les certificats Proxmox (pve-root-ca) étant générés à l'installation, il contiennent un nom d'hôte générique "@HostName". C'est ce nom qui apparaitra dans le gestionnaire de certificats des navigateurs pour tous les serveur Proxmox.

@@ Ligne 38 : / Ligne 38 : @@
 === JAVA (pour les consoles VNCviewer) ===
-Sur le poste client, regénérer le certificat CA à partir du fichier pksc12
+'''Problème à résoudre :''' la console VNC ne fonctionne plus avec ces certificats.
-Vérifier le keystore :
+Résolution temporaire : -> private.
 == Notes ==
 * Les certificats Proxmox (pve-root-ca) étant générés à l'installation, il contiennent un nom d'hôte générique "@HostName". C'est ce nom qui apparaitra dans le gestionnaire de certificats des navigateurs pour tous les serveur Proxmox.

@@ Ligne 41 : / Ligne 41 : @@
   openssl pkcs12 -in monserver-ca.p12 -out monserveur.txt -nokeys -clcerts
   openssl x509 -in ogg.txt -outform DER -out OggCA.der
-  keytool -import -file OggCA.der -alias monserveur -keystore mytruststore
+  keytool -import -file OggCA.der -alias monserveur -keystore ~/.keystore
 Si le keystore n'était pas créé auparavant, keytool demande d'initialiser un mot de passe
 Vérifier le keystore :
-  keytool -list -keystore mytruststore
+  keytool -list
 == Notes ==
 * Les certificats Proxmox (pve-root-ca) étant générés à l'installation, il contiennent un nom d'hôte générique "@HostName". C'est ce nom qui apparaitra dans le gestionnaire de certificats des navigateurs pour tous les serveur Proxmox.

← Version précédente		Version du 29 septembre 2011 à 14:59
Ligne 35 :		Ligne 35 :

	Une fois importé, vérifier que le navigateur accède (après validation) à la page de login		Une fois importé, vérifier que le navigateur accède (après validation) à la page de login
		+
		+	== Notes ==
		+	* Les certificats Proxmox (pve-root-ca) étant générés à l'installation, il contiennent un nom d'hôte générique "@HostName". C'est ce nom qui apparaitra dans le gestionnaire de certificats des navigateurs pour tous les serveur Proxmox.

@@ Ligne 9 : / Ligne 9 : @@
   openssl genrsa -out proxmox-cli-cert.key 2048
   openssl req -config /usr/share/ssl-cert/ssleay.cnf -new -key proxmox-cli-cert.key -out proxmox-cli-cert.req
-  openssl x509 -req -in proxmox-cli-cert.req -CA /etc/pve/pve-root-ca.pem -CAkey /etc/pve/pve-root-ca.key -set_serial 101 -days 365 -outform PEM -out proxmox-cli-cert.pem
+  openssl x509 -req -in proxmox-cli-cert.req -CA /etc/pve/pve-root-ca.pem -CAkey /etc/pve/pve-root-ca.key -set_serial 101 -days 3650 -outform PEM -out proxmox-cli-cert.pem
 Puis on exporte ce certificat dans un format lisible par les navigateurs
   openssl pkcs12 -export -inkey proxmox-cli-cert.key -in proxmox-cli-cert.pem -out proxmox-cli-cert.p12