QNAP Renouvellement Certificat SSL

[pierre liths]

Bonjour,

J'ai un nom de domaine qui redirige vers mon NAS à la maison. Je ne parviens pas à renouveler le certificat qui provient de Let's Encrypte, celui-ci est a expiré depuis le 03 Mai dernier. J'obtiens le message d'erreur ci-dessous. Les ports 80 et 443 sont bien ouverts sur mon routeur pour rediriger vers mon NAS et cela fonctionne.
Je n'utilise pas les services de myQNAPcloud, et je ne souhaite pas les utiliser.
Avez-vous une idée de l'origine de ce problème ?

Merci pour aide

 

[QoolBox]

le port HTTPS est accessible de l'extérieur ?

 

[pierre liths]

Oui le port HTTPS est bien accessible depuis l'extérieur, j'ai un message d'avertissement comme quoi le certificat n'est plus à jour. Si on valide le message d'avertissement on accède bien au nas en https. Mais avec un certificat non validé.

 

[QoolBox]

tu ne fais pas de translation de port ?

 

[EVO]

Tu n'aurai pas un blocage géographique via ton pare-feu ? Les serveurs de validation de lets encrypt ne sont pas en France. Donc si tu filtre géographiquement les ports 80 et 443 pour les limiter par exemple a la France, cela peut etre problématique.

 

[pierre liths]

Oui j'ai un blocage géographique et très restreint à des IP spécifiques via QufireWall, je viens de le désactiver complètement le temps de relancer la procédure de renouvellement du certificat, mais j'ai le même message.

 

[EVO]

A ma connaissance, il y a une limite d'echec de renouvellement chez Lets encrypt, qui si ma mémoire est bonne est de 5 échecs par domaine sur une heure.

Si tu as fait plusieurs tentative avant de désactiver le pare-feu, n'hesite pas a recommencer plus tard, tu est peut être "blacklisté" suite a tes tentatives infructueuses.

 

[pierre liths]

ok je vais retenter cela dans quelques heures, et arrêter de tenter le renouvellement d'ici là, merci pour ces précieux conseils.

 

[pierre liths]

Pour répondre à ta question QoolBox sur les translations de ports voici ma table de redirection :

NAS :
Int->Ext
8080->5080
443->443
80->80

Un Raspberry :
80(int)->5001(ext)

J'en déduis d'après ta question que la redirection de port du Raspberry peut mettre en échec la sollicitation des serveurs de Let's Encrypt. Je la supprimerai si la désactivation de Qufirewall le temps du renouvellement du certificat ne fonctionne pas dans quelques heurs. Je vous tiens au courant.

Encore Merci

 

[pierre liths]

Après avoir désactivé Qufirewall et même supprimé la règle de ports 80->5001, j'ai toujours le même message d'erreur
Help !

 

[QoolBox]

tu es certain pour ton ports 443 ?
généralement les box ferment ce ports ou l'utilise

essaye de changer ton port 443 par un port plus élevé (19563 par exemple, ouvre le et route le sur ta box/routeur)

vérifie qu'il es bien ouvert avec :

Open Port Check Tool - Test Port Forwarding on Your Router

Port checker is a utility used to identify your external IP address and detect open ports on your connection. This tool is useful for finding out if your port forwarding is setup correctly or if your server applications are being blocked by a firewall.

www.yougetsignal.com

 

[pierre liths]

tu es certain pour ton ports 443 ?
généralement les box ferment ce ports ou l'utilise

essaye de changer ton port 443 par un port plus élevé (19563 par exemple, ouvre le et route le sur ta box/routeur)

vérifie qu'il es bien ouvert avec :

Open Port Check Tool - Test Port Forwarding on Your Router

Port checker is a utility used to identify your external IP address and detect open ports on your connection. This tool is useful for finding out if your port forwarding is setup correctly or if your server applications are being blocked by a firewall.

www.yougetsignal.com

J'ai vérifié avec YougetSignal que les ports 443 et 80 sont bien ouverts, et ils le sont. Par contre, j'ai ouvert en plus le port 19563, et il n'est pas vu ouvert par YouGetSignal.
Pour info, j'ai un Google Wifi qui est en DMZ derrière une Freebox. Tout le matériel est sur le Google wifi et j'ouvre les ports sur celui-ci. Jusque là ça marchait bien, et la création du certificat s'est fait dans cette configuration.