Auteur Sujet: Let's encrypt en anycast  (Lu 2089 fois)

0 Membres et 1 Invité sur ce sujet

PhilippeMarques

  • Expert
  • *
  • Messages: 853
  • SomeWhere
Let's encrypt en anycast
« Réponse #12 le: 04 février 2017 à 21:43:16 »
De toute manière, dans ce cas, tu utilises le challenge DNS, non ?
C'est le plus fiable et le plus simple à mettre en oeuvre.
La méthode de kgersen est techniquement viable aussi, mais je vois déjà d’ici, les bot à la recherche de "/.well-known/acme-challenge/..." apparaître.

corrector

  • Invité
Let's encrypt en anycast
« Réponse #13 le: 05 février 2017 à 03:12:17 »
Ne sachant forcèment pas quel serveur va être interrogé, il faut bien sûr pousser la config sur tous ceux qui sont susceptibles de l'être, ce qui de toute façon va être automatisé, puisque ces serveurs sont censés être substituables les uns aux autres.
La config = ensembles de fichiers du serveur Web y compris contenus statiques et config Apache pour les redirections...

La problématique en anycast, en supposant que tu as des serveurs sur plusieurs continents, c'est que le challenge pour renouveler les certificats va échouer, vu que Let's encrypt vérifie que le serveur est joint depuis plusieurs endroits dans le monde et que un seul échec compromet le certificat.
Je voulais dire qu'un serveur en anycast correctement configuré doit déjà avoir les moyens de fournir un contenu strictement identique depuis partout, y compris ce que tu appelles bizarrement le "challenge" (le témoin, ou cookie).

Si il y a un site en partie dynamique, c'est plus compliqué évidemment! Le problème est ici que ce système risque à lui seul de rendre le site "dynamique".

Il y a deux manière de voir le "challenge" :
- c'est un élèment dynamique
- c'est un élèment statique modifié

Un élèment dynamique est comme un compte courriel, je dois pouvoir accéder via le Webmail depuis le monde entier donc il faut que tous les serveurs frontaux soient capables de trouver le serveur en charge de mon compte.

Un élèment statique est comme la date et la météo d'aujourd'hui, il suffit d'un script pour synchroniser à chaque modification.

Toute personne ayant une infra répliquée doit bien avoir déjà prévu le moyen de synchroniser les modifications de façon efficace, incrèmentale, automatique.

Hugues

  • AS57199 MilkyWan
  • Expert
  • *
  • Messages: 5 875
  • Lyon & Paris
    • MilkyWan
Let's encrypt en anycast
« Réponse #14 le: 05 février 2017 à 10:48:35 »
Toute personne ayant une infra répliquée doit bien avoir déjà prévu le moyen de synchroniser les modifications de façon efficace, incrèmentale, automatique.

Exactement !

 

Mobile View