QNAP MaJ Certif Let's Encrypt inop [Résolu]

[zypos]

Pour ma part le certificat arrivant à expiration le 15 de ce mois , j'ai fais une mise à jour manuelle sans pb
A noter que ce matin il y a une mise à jour de QTS qui est en cours chez moi ;

 

[corbisier]

Hello oui exactement le même, mais depuis le passage à la version 5. Pour le fichier oui copie sans erreur à partir du compte admin que j'ai du réactiver justement. j'ai redemarrer le serveur mais cela n'a rien changer. Sauf que le certificat à complétement disparu.

Mais je viens de voir qu'il y avait une mise à jour. Je vais la faire et voir si cela résoud le problème. Je reviens pour vous dire si il y a un changement.

Bon MAJ ok avec DA drive analyser enfin présent sur mon NAS. Par contre voici maintenant le message pour le certif. SSL. Snif

 

[Chon]

Salut à tous,
3 mois plus tard, je me retrouve avec mon certif qui ne se met pas à jour avec le même message demandant de vérifier le port 80. ?
J'ai bien vérifié les ouvertures de ports et je ne vois pas où ça cloche :





Les ports sont bien sûr ouverts sur la box.

Est-ce que "Restaurer les paramètres par défaut" pourrait résoudre le pb selon vous ?

 

[ghost207]

edit:
qui affiche le message d'erreur du certificat?
je n'ai pas se problème quand je me connecte a ton nas
certificat :
cree le Sat, 04 Dec 2021 10:54:24 GMT
valide jusqu'a Fri, 04 Mar 2022 10:54:23 GMT
ATTENTION : je n’afficherai pas mon nom myqnapcloud en public. surtout si tu as ouvert les ports 80, 8081 et 443.
tu as un serveur web?

 

[Chon]

Salut et merci pour ton aide.

qui affiche le message d'erreur du certificat?

C'est un pb de renouvellement de certificat et non un pb du certificat lui-même. Le message est celui-ci :
Voir la pièce jointe 4538

je n'ai pas se problème quand je me connecte a ton nas
certificat :
cree le Sat, 04 Dec 2021 10:54:24 GMT
valide jusqu'a Fri, 04 Mar 2022 10:54:23 GMT

Oui, le certificat est valable jusqu'à vendredi.

ATTENTION : je n’afficherai pas mon nom myqnapcloud en public. surtout si tu as ouvert les ports 80, 8081 et 443.

À part le port 80, mes ports sont changés. J'ai remis les ports par défaut pour voir si ça changeait quelque chose et pour les visuels.

tu as un serveur web?

Non mais pour avoir le port 80 actif, je ne suis pas obligé d'activer le serveur web ? Vu le message d'erreur, je me suis dit qu'il devait être activé mais je peux me tromper et d'ailleurs, je pense que mon erreur vient de là. En parallèle, je suis en discussion avec le forum LE à qui j'ai montré les mêmes screens, pour eux, il y a un conflit entre les ports 443 et 8081 et du coup, le 80 ne saurait plus vers qui rediriger. Et je ne peux pas changer la valeur 8081 par 443 dans la config serveur web, le système me le refuse.
J'ai forcément modifié quelque chose sans me rendre compte des conséquences. Mais quand et quoi ????
Donc, selon vous, que dois-je activer/désactiver et avec quelles valeurs ?

 

[ghost207]

pour moi le service serveur web tu peux le désactiver, et virer la regle 80 dans ton routeur. en plus il permet de recuperer le port HTPPS personnaliser. 443**
tu as personnalisé ip de ton nas ? tu as mis quoi comme DNS?
tu a ce popup d'erreur quand tu clique sur renouvellement de certificat?
ca donne l'impression que ton nas n'a pas accès a internet

 

[EVO]

Salut,

Je pense que ce ta façon de configurer avec l'exposition de la page d'admin qui pose probleme.

Ici le serveur Web devrai exposé 80 et 443 et non 80 et 8081.
S'il refuse de mettre 443 en HTTPS, c'est surement parque tu l'utilise deja pour l'interface d'administration.

Ici il faut modifier le port 443 afin de le libérer pour le serveur Web. Ensuite il te faudra en HTTPS préciser le port choisi dans ton adresse pour acceder a l'interface du NAS, sans port cela sera la page web par defaut de ton serveur web. Cela est le fonctionnement normal.

Ensuite pour "cacher" ce port d'administration, il faut utiliser le reverse proxy et un sous domaine. Par exemple si le port HTTPS d'administration est 4443, au lieu de chon.myqnapcloud.fr:4443, tu peut configurer le reverse pour avoir une adresse en admin.chon.myqnapcloud.fr
Dans ce cas, il faut configurer le reverse pour rediriger admin.chon.myqnapcloud.fr vers l'adresse ip local de ton nas + port HTTP

Le mieux encore étant de ne pas exposer du tout une interface d'administration d'un NAS. par exemple avec l'utilisation d'un VPN.

 

[Chon]

Salut à tous et merci pour vos réponses.

pour moi le service serveur web tu peux le désactiver, et virer la regle 80 dans ton routeur.

Tu es sûr qu'il ne faut pas nécessairement activer le serveur web pour gérer la redirection du 80 vers le 443 ?
Tout le monde est-il d'accord avec cette info ?

en plus il permet de recuperer le port HTPPS personnaliser. 443**

Pas sûr d'avoir tout saisi là...

tu as personnalisé ip de ton nas ? tu as mis quoi comme DNS?

Si tu parles de l'IP LAN, oui, adresse réservée sur la box.
Comme DNS, j'ai l'IP de ma box et 1.1.1.2

tu a ce popup d'erreur quand tu clique sur renouvellement de certificat?

Oui

ca donne l'impression que ton nas n'a pas accès a internet

Si, si, il a accès, je m'y connecte en WAN, à QTS ou en VPN et les MaJ du malware remover se font sans souci.

Je pense que ce ta façon de configurer avec l'exposition de la page d'admin qui pose probleme.

Ok mais c'est un paramètre de base de QTS et ça fonctionnait avec ces paramètres depuis des années.
Mais je suis d'accord, il doit y avoir un conflit de ports quelque part.
Comment faudrait-il que je la configure selon toi ?

Ici le serveur Web devrai exposé 80 et 443 et non 80 et 8081.
S'il refuse de mettre 443 en HTTPS, c'est surement parque tu l'utilise deja pour l'interface d'administration.

Ok mais je tourne en rond là parce que l'interface QTS est sur le port XXXXX et non sur le 443.
J'ai essayé d'activer/désactiver le serveur web avec ports 80 et 443, changer le port pour QTS, redémarrer le NAS...

Ici il faut modifier le port 443 afin de le libérer pour le serveur Web. Ensuite il te faudra en HTTPS préciser le port choisi dans ton adresse pour acceder a l'interface du NAS, sans port cela sera la page web par defaut de ton serveur web. Cela est le fonctionnement normal.

Quand j'ai fait mes screens, j'étais en phase de tests mais c'est bien comme tu décris que je fonctionne normalement.
Sur la box, pas besoin d'ouvrir les ports 80 et 443 pour le NAS ? J'ai essayé ouvert et non ouvert sans changement.

Ensuite pour "cacher" ce port d'administration, il faut utiliser le reverse proxy et un sous domaine. Par exemple si le port HTTPS d'administration est 4443, au lieu de chon.myqnapcloud.fr:4443, tu peut configurer le reverse pour avoir une adresse en admin.chon.myqnapcloud.fr
Dans ce cas, il faut configurer le reverse pour rediriger admin.chon.myqnapcloud.fr vers l'adresse ip local de ton nas + port HTTP

Hélas, pas de reverse proxy sur QTS 4.3.4 et je n'ai pas l'intention d'installer Docker sur cette vieille machine.

Le mieux encore étant de ne pas exposer du tout une interface d'administration d'un NAS. par exemple avec l'utilisation d'un VPN.

Intéressant. Quelle est la manip exacte, faut que j'essaie.

Encore un grand merci à vous.

 

[EVO]

Sur la box, pas besoin d'ouvrir les ports 80 et 443 pour le NAS ?

Sur la box et le NAS oui.

Intéressant. Quelle est la manip exacte, faut que j'essaie.

QNAP doit bien proposer un serveur VPN non ?

 

[Chon]

Salut à tous,
Merci à toi EVOTk.

Sur la box et le NAS oui.

J'ai un doute sur ce que je dois comprendre, ouvert ou fermé ? ?

QNAP doit bien proposer un serveur VPN non ?

Là, c'est moi qui me suis mal fait comprendre. J'ai bien un serveur VPN en place qui fonctionne très bien. D'où la question qui, du coup, était plutôt de savoir comment couper proprement l'accès WAN à QTS ?

 

[corbisier]

Bonjour

Moi j'ai fini par acheter un certificat chez qnap. Plus de problème, car malgré toutes les solutions, je n'arrivais pas à le résoudre.

 

[EVO]

J'ai un doute sur ce que je dois comprendre, ouvert ou fermé ?

80 et 443 doivent etre ouvert et redirigé sur le nas

D'où la question qui, du coup, était plutôt de savoir comment couper proprement l'accès WAN à QTS ?

ne pas lui ouvrir de port dans la box, et verifier que l'upnp ne la pas fait pour toi ! UPnP : un ami qui vous veut du bien… ou pas !

 

[Chon]

Salut à tous,
J'ai enfin réussi à revalider mon certif pour 3 mois.
Pour ce faire, comme il y a 3 mois, il a fallu que je remplace /etc/ssl/certs/rootca.pem mais en allant cette fois le chercher directement sur le site de QNAP.
Cela résout-il le pb définitivement ??? Réponse dans 3 mois...
J'ai adoré les échanges en anglais avec les gens de Let's Encrypt pour qui le pb ne pouvait venir que d'une mauvaise configuration de ma part évidemment.

Question : Visiblement, si j'ai bien compris, le serveur web doit être actif pour la MaJ du certificat. Hormis cette MaJ, je n'utilise pas le serveur web. Je suppose donc que je peux le désactiver jusqu'à la prochaine MaJ. Du coup, serait-il possible d'automatiser l'activation/désactivation du serveur web autour de la date anniversaire du renouvellement du certif ? Histoire de ne pas oublier...

 

[EVO]

Visiblement, si j'ai bien compris, le serveur web doit être actif pour la MaJ du certificat.

Oui.

 

[ghost207]

je viens de tester
ça dépend de la version de QTS

ts-431p
version 4.3.6.0979
port 80 et 8081 non ouvert dans la box
serveur web désactivé
certificat let's encrypt NOK
avec message d'erreur port 80


ts-431p2
version 5.0.0.1891
port 80 et 8081 non ouvert dans la box
serveur web désactivé
certificat let's encrypt OK