Chapril » xmpp.chapril.org

Je viens de me souvenir ce qui pose problème avec la génération de certificats pour xmpp.chapril.org : c'est qu'on a besoin de ce certificat sur 2 machines différentes : celle qui héberge le site Web et celle qui héberge le service XMPP.
Actuellement le renouvellement se fait côté service XMPP et ça fonctionne. Mais maintenant je voudrais mettre ne ligne un site Web "vitrine" qui soit aussi accessible en HTTP et pour l'instant ce n'est pas possible à moins d'automatiser la copie des certificats de la machine xmpp vers la machine Web.

Une autre possibilité qui a déjà été envisagée serait de faire les modifs nécessaires côté serveurs DNS pour permettre de générer des certificats letsencrypt par challenge DNS. Ainsi les deux machines pourront créer chacune de son côté un certificat valide pour le même domaine.

J'ai commencé la mise en place du sous-domaine _acme-challenge.chapril.org pour permettre les challenges DNS mais je suis bloqué à cause des vues interne/externe dans Bind.
Le fichier zone pour _acme-challenge.chapril.org ne peut être déclaré que dans une seule des deux vues.
Or les updates dynamiques fait pas dehydrated ou certbot arriveront par la vue interne mais les serveurs Letsencrypt arriveront par la vue externe.

Je n'ai pas encore exploré toute les options de Bind donc peut-être qu'il y a un moyen propre pour m'en sortir.

Sinon en dernier recours j'envisage de créer un la zone DNS _acme-challenge.chapril.org en double, pointant sur deux fichiers différents mais qui sont en fait le même (l'un sera un symlink ou un hardlink de l'autre).

Pour l'April on a simplement la zone int à l'abandon:

zones-ext.conf: zone "acme-challenge.april.org" {
zones-ext.conf-         type master;
zones-ext.conf:         file "/etc/bind/zones/masters/acme-challenge.april.org";
zones-ext.conf-         allow-update { april_bastion; key "key-bastion"; };
zones-ext.conf- };
zones-ext.conf-
--
zones-int.conf: zone "acme-challenge.april.org" {
zones-int.conf-         type master;
zones-int.conf:         file "/etc/bind/zones/masters/acme-challenge.april.org-int";
zones-int.conf- };

# cat zones/masters/acme-challenge.april.org
$ORIGIN .
$TTL 3600    ; 1 hour
acme-challenge.april.org IN SOA    vip.april.org. hostmaster.april.org. (
                201803218  ; serial
                14400      ; refresh (4 hours)
                3600       ; retry (1 hour)
                604800     ; expire (1 week)
                3600       ; minimum (1 hour)
                )
            NS    vip.april.org.
            NS    galanga.april.org.
            A    195.154.56.24
$ORIGIN acme-challenge.april.org.
$TTL 60    ; 1 minute
_acme-challenge        TXT    "GSMiBc26ophFj9OwFUiJR8akeYK4Kk4mGiY5WE6ClTU" 
_log-challenge        TXT    "Updated the lundi 23 septembre 2019, 18:24:35 (UTC+0200)" 

# cat zones/masters/acme-challenge.april.org-int 
$TTL 1h
@    IN    SOA    vip.april.org.    hostmaster.april.org. (
        201803190    ; Serial  - YYYYMMDDnn
        4h            ; Refresh
        1h            ; Retry
        1w            ; Expire
        1h            ; Minimum
)

        NS        dns.april.org.

        A        195.154.56.24        ; vip.april.org.

_acme-challenge TXT "bling" 

Le script de challenge :

# cat /usr/local/bin/update-dns-acme-challenge.sh
#!/bin/bash

date=$(date)

SERVER="dns.cluster.april.org" 
DOMAIN="acme-challenge.april.org" 
KEY="hmac-md5:key-bastion +bling==" 
CREATE_RECORD="_acme-challenge.$DOMAIN" 
LOGING_RECORD="_log-challenge.$DOMAIN" 

nsupdate<<EOF
    key $KEY
    server $SERVER
    zone $DOMAIN in external
    update delete $CREATE_RECORD TXT
    update delete $LOGING_RECORD TXT
    update add $CREATE_RECORD 60 TXT $CERTBOT_VALIDATION
    update add $LOGING_RECORD 60 TXT "Updated the $date" 
    show
    send
    quit
EOF
sleep 1

Et tant que j'y suis à divulguer la conf april, j'avais siouxé un peu sur les clés et les vues :

named.conf.local:acl april_bastion {
named.conf.local-        172.16.0.1;
named.conf.local-};

named.conf.options:key "key-bastion" {
named.conf.options-     algorithm hmac-md5;
named.conf.options-     secret "+bling==";
named.conf.options-};

zones-ext.conf- zone "acme-challenge.april.org" {
zones-ext.conf-         type master;
zones-ext.conf-         file "/etc/bind/zones/masters/acme-challenge.april.org";
zones-ext.conf:         allow-update { april_bastion; key "key-bastion"; };
zones-ext.conf- };

zones-int.conf-view "internal" {
zones-int.conf-        match-clients {
zones-int.conf:                !key key-bastion;
zones-int.conf-                acl_internal;
zones-int.conf-        };

Le renouvellement automatique n'était pas activé... mea culpa.
Il y a maintenant une tâche cron : /etc/cron.weekly/acme-renew.

Je laisse le ticket encore en statut "résolu" pendant 2 mois au moins pour être sûr que tout marche bien comme prévu.

À revérifier fin mars

</dev/null  2>/dev/null openssl s_client -connect xmpp.chapril.org:5269 -xmpphost chapril.org -starttls xmpp-server | openssl x509 -noout -subject -dates
subject=CN = chapril.org
notBefore=Jan  8 18:45:16 2020 GMT
notAfter=Apr  7 18:45:16 2020 GMT