Discussion :

[lavoyech]

J'ai quelques soucis à comprendre la gestions des noms de domaines avec la mise en place de certicifats sur des serveurs.

J'ai un serveur apache qui communique avec un serveur Jboss et un serveur Arcgis.

Dans un environnement d'intégration tout ces serveur sont identifiés via leurs addresses IP.

J'ai donc créé pour chaque serveur un certificat ayant pour "Common Name" leurs adresses ip respectives et ca fonctionne. c'est crypté, la vérification CN ou exipration fonctionne.


Le problème vient dans un environnement de production ou visiblement je dois avoir des redirections avec avec alias.

Par exemple chaque serveur est défini par son adresse IP et un nom de serveur

Dans mon cas d'erreur

serveur arcgis: XXX.XX.XXX et SERVEUR-CARTO-01


à un moment un traitement redirige vers https://SERVEUR-CARTO-01/traitement au lieu de https://XXX.XX.XXX/traitement

Du coup j'ai un WARNING dans mes logs avec

The certificate authority is invalid or incorrect (WinINet ERROR_INTERNET_INVALID_CA, 12045)

L'autorité de certification étant connu je suppose que le problème est du à la différence entre SERVEUR-CARTO-01 dans la requête URL et le CN de mon certificat qui est XXX.XX.XXX.

Je ne voit pas comment le gérer.

Y a-t-il un moyen de définir un certificat qui serait valide sur plusieurs domaine? (ici XXX.XX.XXX et SERVEUR-CARTO-01.

Cordialement,
Christophe.

[silfun1]

Salut Lavoyech,

Créer des certificats ssl avec des adresses ip ou des noms de serveurs, c'est vraiement pas simple à gérer. Si ton adresse ip change et/ou ton nom de serveur, tu dois recommander un certificat et l'installer etc...
Bref, il vaut mieux créer un alias pour ton serveur et créer un certificat avec cet alias. Comme ça, tu peux le réutiliser même si ton application migre sur un autre serveur, ou si ton serveur est déplacé sur un autre réseau.

Pour ton problème, j'utiliserai les paramètres SAN (subject alternative names) du protocol x509. Cela permet de créer un certificat avec plusieurs noms. Tu aura toujours qu'un seul CN, mais d'autres noms optionnels. Comme ça tu n'aura plus d'alertes de sécurité si ton url ne colle pas avec ton CN.

Sylvain