[frenchie]

SOLUTION

http://kiteplans.info/2015/01/15/sol...re-key-id-bad/

[frenchie]

Quelqu'un peut il m'indiquer si ceci https://www.centos.org/forums/viewto...p?f=14&t=50588 a un lien avec mon problème ?

[frenchie]

quand je suis dans etc/ssl

[root@ns50xxxx ssl]# ls -l
total 0
lrwxrwxrwx 1 root root 16 Oct 28 14:03 certs -> ../pki/tls/certs

et quand je suis dans etc/pki/tls/certs

[root@ns50xxxx certs]# ls -l
total 1780
-rw-r--r-- 1 root root  786601 Jul 14  2014 ca-bundle.crt
-rw-r--r-- 1 root root 1005005 Jul 14  2014 ca-bundle.trust.crt
-rw------- 1 root root    1464 Nov 15 01:53 localhost.crt
-rwxr-xr-x 1 root root     610 Nov  6 07:36 make-dummy-cert
-rw-r--r-- 1 root root    2242 Nov  6 07:36 Makefile
-rwxr-xr-x 1 root root     829 Nov  6 07:36 renew-dummy-cert

[nowwhat]

Bonjour,
@nowwhat visiblement la R3 est pas d’accord avec toi :

[root@ns50xxxx ~]# curl-config --configure
-bash: curl-config: command not found

Frenchie a exécuté

curl -I -v https://google.com

puis il trouve dans le résultat:

.....
* Initializing NSS with certpath: sql:/etc/pki/nssdb ( ???? )
.....
curl: (77) Problem with the SSL CA cert (path? access rights?)
......

Je conseille de trouver le chemin ou il trouve ces certificats (le fichier ca-certificats.crt il y est).
Puis, exécuter

curl --capath /etc/ssl/certs -I -v -o out https://www.google.com

Ça me donne pour moi:

* About to connect() to www.google.fr port 443 (#0)
*   Trying 2a00:1450:4007:80b::2003...
* connected
* Connected to www.google.fr (2a00:1450:4007:80b::2003) port 443 (#0)
* successfully set certificate verify locations:
*   CAfile: none
  CApath: /etc/ssl/certs
* SSLv3, TLS handshake, Client hello (1):
* SSLv3, TLS handshake, Server hello (2):
* SSLv3, TLS handshake, CERT (11):
* SSLv3, TLS handshake, Server key exchange (12):
* SSLv3, TLS handshake, Server finished (14):
* SSLv3, TLS handshake, Client key exchange (16):
* SSLv3, TLS change cipher, Client hello (1):
* SSLv3, TLS handshake, Finished (20):
* SSLv3, TLS change cipher, Client hello (1):
* SSLv3, TLS handshake, Finished (20):
* SSL connection using ECDHE-RSA-AES128-GCM-SHA256
* Server certificate:
*        subject: C=US; ST=California; L=Mountain View; O=Google Inc; CN=*.google.fr
*        start date: 2014-12-10 11:50:36 GMT
*        expire date: 2015-03-10 00:00:00 GMT
*        subjectAltName: www.google.fr matched
*        issuer: C=US; O=Google Inc; CN=Google Internet Authority G2
*        SSL certificate verify ok.
> HEAD / HTTP/1.1
> User-Agent: curl/7.26.0
> Host: www.google.fr
> Accept: */*
>
* additional stuff not fine transfer.c:1037: 0 0
* HTTP 1.1 or later with persistent connection, pipelining supported
< HTTP/1.1 200 OK
HTTP/1.1 200 OK
< Date: Fri, 16 Jan 2015 18:55:13 GMT
Date: Fri, 16 Jan 2015 18:55:13 GMT
< Expires: -1
Expires: -1
< Cache-Control: private, max-age=0
Cache-Control: private, max-age=0
< Content-Type: text/html; charset=ISO-8859-1
Content-Type: text/html; charset=ISO-8859-1
< Set-Cookie: PREF=ID=b6186f6d0289c797:FF=0:TM=1421434513:LM=1421434513:S=062epuXcdHwhMUp_; expires=Sun, 15-Jan-2017 18:55:13 GMT; path=/; domain=.google.fr
Set-Cookie: PREF=ID=b6186f6d0289c797:FF=0:TM=1421434513:LM=1421434513:S=062epuXcdHwhMUp_; expires=Sun, 15-Jan-2017 18:55:13 GMT; path=/; domain=.google.fr
< Set-Cookie: NID=67=Hej1U9VK-yfKE1EaxGUDxH1eepjJU-N7MQgUmFP7I49-2A9Ux93YY2eoF0NT0XwbXoiDZQdxFckjtsompt4OzDF_X6frVlvcIZOKQAncOyWR6Lhs60SPvZxYcJBUGscE; expires=Sat, 18-Jul-2015 18:55:13 GMT; path=/; domain=.google.fr; HttpOnly
Set-Cookie: NID=67=Hej1U9VK-yfKE1EaxGUDxH1eepjJU-N7MQgUmFP7I49-2A9Ux93YY2eoF0NT0XwbXoiDZQdxFckjtsompt4OzDF_X6frVlvcIZOKQAncOyWR6Lhs60SPvZxYcJBUGscE; expires=Sat, 18-Jul-2015 18:55:13 GMT; path=/; domain=.google.fr; HttpOnly
< P3P: CP="This is not a P3P policy! See http://www.google.com/support/accoun...&answer=151657 for more info."
P3P: CP="This is not a P3P policy! See http://www.google.com/support/accoun...&answer=151657 for more info."
< Server: gws
Server: gws
< X-XSS-Protection: 1; mode=block
X-XSS-Protection: 1; mode=block
< X-Frame-Options: SAMEORIGIN
X-Frame-Options: SAMEORIGIN
< Alternate-Protocol: 443:quic,p=0.02
Alternate-Protocol: 443:quic,p=0.02
< Transfer-Encoding: chunked
Transfer-Encoding: chunked
< Accept-Ranges: none
Accept-Ranges: none
< Vary: Accept-Encoding
Vary: Accept-Encoding

<
* Connection #0 to host www.google.fr left intact
* Closing connection #0
* SSLv3, TLS alert, Client hello (1):

Encore une fois:
Le paramètre de capath => /etc/ssl/certs est valable pour moi, frenchie doit trouver l'endroit exact sur son serveur.

[frenchie]

http://virtualmin.com/node/35861

A priori ce serait bien un bug dans une release. Je vais manger un bout et me remet dessus.

[frenchie]

Merci les gars

J'ai essayé :

[root@ns50xxxx ~]# curl -I -v https://google.com
* About to connect() to google.com port 443 (#0)
*   Trying 2607:f8b0:4006:807::1005... connected
* Connected to google.com (2607:f8b0:4006:807::1005) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
* Unable to initialize NSS database
* Initializing NSS with certpath: none
* Unable to initialize NSS
* NSS error -8023
* Closing connection #0
* Problem with the SSL CA cert (path? access rights?)
curl: (77) Problem with the SSL CA cert (path? access rights?)
[root@ns50xxxx ~]# Write failed: Broken pipe

Si j'avais su ces bugs de R3, effectivement j'aurais opté pour une autre solution moins galère.

[janus57]

Bonjour,

@nowwhat visiblement la R3 est pas d’accord avec toi :

[root@ns50xxxx ~]# curl-config --configure
-bash: curl-config: command not found

Donc perso R3 je touche pas trop, et vu les problèmes/bugs qu'elle à autant la déconseiller.

Rien ne remplacera une distribution "nue" avec par dessus un bon panel open-source qui ne touche pas trop à la config du serveur.
CentOS + Webmin ou Virtualmin => oui
CentOS + Webmin + modification obscure de la part de OVH => non

Car il me semble pas que OVH à rendu le code ainsi que les modifs de la R3 publique.

Après une R3 c'est mieux que plesk (rien que pour le prix de la licence).

Cordialement, janus57

[nowwhat]

Pour revenir au sujet : ce plugin "Wordfence": il est vraiment important ?
Je présume que oui, donc, hélas, il faut savoir ce que c'est 'curl' (le plugin l'utilise).
De plus, ce 'curl', pour tester des liaisons 'https', il va utiliser une connexion 'SSL'. La contre-partie va lui offrir un 'certificat' et Curl ne va pas bêtement accepter ce certificat, il va chercher dans "la liste" s'il peut faire confiance à cet émetteur.
Et c'est là, le soucis, curl ne sais pas où on trouve ce répertoire (car curl parle bien d'un 'path') .....

La proposition de janus57 me semble pertinent:

curl-config --configure
'--build' 'x86_64-linux-gnu' '--prefix=/usr' '--mandir=/usr/share/man' '--libdir=/usr/lib/x86_64-linux-gnu' '--disable-dependency-tracking' '--enable-ipv6' '--with-lber-lib=lber' '--disable-symbol-hiding' '--enable-versioned-symbols' '--enable-manual' '--enable-debug' '--disable-curldebug' 'CFLAGS=-g -O2 -fstack-protector --param=ssp-buffer-size=4 -Wformat -Werror=format-security -D_FORTIFY_SOURCE=2' 'LDFLAGS=-Wl,-z,relro -Wl,--as-needed' '--with-gssapi=/usr' '--with-ca-bundle=/etc/ssl/certs/ca-certificates.crt' '--without-ssl' '--with-gnutls' 'build_alias=x86_64-linux-gnu'

(Mon OS est un Debian)

La solution: va voir le script PHP de "Wordfence" - il y a une partie ou curl (version PHP) est préparé et paramétré.
Ajoute le chemin vers tes certificats.
Où c'est sur un R3, j'en ai aucun idée. Quoi que, exécute ceci

locate ca-certificates.crt

[BBR]

elle a surement le même comportement je n'ai rien installé dessus, donc suffit d'installer le paquet en question et voir ce qui se passe

edit : j'avais oublié que je l'avais reformaté hier en Debian lol

[janus57]

Honnêtement, je croyais que la R3 était juste une interface admin pour le server, qui restait du coup relativement standard. Je suis dans la mouise

Bonjour,

non non, tu veux juste une interface admin qui ne "parasite" pas le serveur : Virtualmin le tout couplé avec Debian (ou CentOS) et voilà.

Sinon @frenchie tu as une licence sur WorldFence ou c'est la version gratuit ?

@BBR hum bah déjà faudra savoir si ta R3 de test est aussi touché par ce problème, car si elle n'est ps touché bah chaud pour reproduire et/ou trouver la correction :/

Cordialement, janus57

[BBR]

Honnêtement, je croyais que la R3 était juste une interface admin pour le server, qui restait du coup relativement standard. Je suis dans la mouise

justement non...

[frenchie]

Bonjour,

vous devriez essayé la mailing-list de la R3, y a le lien sur le site/forum OVH de mémoire.

Car la R3 est quand même relativement spécifique à OVH, donc vous trouverez très peu de choses sur internet qui risque de fonctionner à 100%, pire vous pouvez même éventuellement casser votre R3 (même si cela est moins vrai qu'elle st plus "ouverte" que la R2).

Cordialement, janus57

Honnêtement, je croyais que la R3 était juste une interface admin pour le server, qui restait du coup relativement standard. Je suis dans la mouise

[BBR]

et si tu as fait des ajouts/mises à jour manuels de paquets pas prévus dans la R3, tu risques bien d'avoir de gros soucis.
Janus si tu veux tester sur mon ks en R3, je t'envoie les accès, il ne craint rien.

[janus57]

Merci en tout cas, je vais continuer a chercher.

Bonjour,

vous devriez essayé la mailing-list de la R3, y a le lien sur le site/forum OVH de mémoire.

Car la R3 est quand même relativement spécifique à OVH, donc vous trouverez très peu de choses sur internet qui risque de fonctionner à 100%, pire vous pouvez même éventuellement casser votre R3 (même si cela est moins vrai qu'elle st plus "ouverte" que la R2).

Cordialement, janus57

[frenchie]

Bonjour,

du coup vu que je connais pas la R3 on va éviter de faire les même manipulation que trouvé sur google car je ne sais pas comment OVH a modifié tout ça...

En tout cas cela peu soit venir d'une MAJ (j'avais vu une MAJ de curl passé y a quelques semaines/mois sur Debian), soit je sais pas (les Mystère de la R3 quoi).

Cordialement, janus57

Merci en tout cas, je vais continuer a chercher.

[janus57]

Bonjour,

du coup vu que je connais pas la R3 on va éviter de faire les même manipulation que trouvé sur google car je ne sais pas comment OVH a modifié tout ça...

En tout cas cela peu soit venir d'une MAJ (j'avais vu une MAJ de curl passé y a quelques semaines/mois sur Debian), soit je sais pas (les Mystère de la R3 quoi).

Cordialement, janus57

[frenchie]

J'ai désactivé les MAJ auto (pour le futur);

j'ai redémarré httpd (depuis l'interface et depuis de terminal)
j'avais djà fait un hard reboot il y à une heure, toujours pareil

[janus57]

[root@ns50xxxx ~]# curl-config --configure
-bash: curl-config: command not found

Oui il s'auto patch. Comment checker les dernieres MAJ ?

Bonjour,

aucune idée pour les dernière MAJs, mais perso je dé-conseil les options qui installe tout seule les MAJs, c'est toujours mieux de les confirmer pour être sur de ce qui se met à jour.

Sinon est-ce que dans le panel de la R3 vous avez un bouton pour restart apache en entier ?
Sinon en ligne de commande sous CentO c'est soit

apachectl restart

soit

service httpd restart

Cordialement, janus57

[frenchie]

[root@ns50xxxx ~]# curl-config --configure
-bash: curl-config: command not found

Oui il s'auto patch. Comment checker les dernieres MAJ ?

[janus57]

Bonjour,

à priori de ce côté c'est bon, que renvoie cette commande :

curl-config --configure

EDIT :
info complémentaire, la R3 s'auto-patch toute seule ?
De quand date les dernières MAJs ?

Cordialement, janus57

[frenchie]

Merci de l'aide
Voila mes résultats :

[root@ns50xxxx ~]# ls -alh /etc/pki/tls/certs/ca-bundle.crt
-rw-r--r-- 1 root root 769K Jul 14  2014 /etc/pki/tls/certs/ca-bundle.crt
[root@ns50xxxx ~]# ls -alh /etc/pki/tls/certs/ca-bundle.trust.crt
-rw-r--r-- 1 root root 982K Jul 14  2014 /etc/pki/tls/certs/ca-bundle.trust.crt

[janus57]

Bonjour,

d'après google va falloir mettre les mains dans le SSH et vérifer si certains fichiers sont présent.

Normalement ces commandes devrait fonctionner :

ls -alh /etc/pki/tls/certs/ca-bundle.crt
ls -alh /etc/pki/tls/certs/ca-bundle.trust.crt

Ensuite faudrait juste nous donner le résultat.

Cordialement, janus57

[frenchie]

Bonjour,

c'est une R3 ?
Vous avez re-vérifer qu'elle est à jour ?

Cordialement, janus57

C'est une R3, elle est bien à jour.

Cdlt

[janus57]

Bonjour,

c'est une R3 ?
Vous avez re-vérifer qu'elle est à jour ?

Cordialement, janus57

[frenchie]

Je viens de verifier, effectivement c'est un KS-3. Mes excuses !

[BBR]

surement pas un ks2 avec cette mémoire :
Mémoire réelle 7.69 GB

[frenchie]

Système d'exploitation	CentOS Linux 6.6
Version de Webmin	1.680
Date et heure du système	Fri Jan 16 09:42:28 2015	
Noyau et CPU	Linux 3.10.23-xxxx-std-ipv6-64 sur x86_64
Information sur le CPU	Intel(R) Core(TM) i3-2130 CPU @ 3.40GHz, 4 cores
Mémoire réelle	7.69 GB total, 1.09 GB utilisé
Mises à jours de Paquet	All installed packages are up to date

C'est un KS-2 Il me semble.

Merci d'avance janus

[janus57]

Bonjour,

pour de l'aide va falloir détailler un peu la config de votre serveur, et surtout savoir si il est à jour ou non.

Cordialement, janus57

[frenchie]

SOLUTION EN PAGE 3

Bonjour,


Avant tout, permettez moi de vous dire que je ne suis pas admin serveur/réseau et que j'essaye la plupart du temps de gerer les problèmes de mon serveur en m'aidant de google. Mais le je sèche.

Premiers symptômes hier ou avant hier, sur mes installations Wordpress qui jusqu'a maintenant tournaient tranquillement, les plug-ins Google Analytics(GA) & Wordfence ne fonctionnent plus.

Pour GA, je ne me faisait pas de soucis, étant donné les mises à jour de Wordpress, je me suis dis que c'était un problème de compatibilité.


Mais en allant faire un tour sur des blogs non updaté, meme problème. Impossible de débuger avec les outils Wordpress, mais le plugin Wordfence m'offre un test de connectivité vers leur serveur qui m'affiche :

DNS lookup for noc1.wordfence.com returns: 69.46.36.8


STARTING CURL http CONNECTION TEST....
Curl connectivity test passed.


STARTING CURL https CONNECTION TEST....
Curl connectivity test failed with response:

Curl HTTP status: 0
Curl error code: 77
Curl Error: Problem with the SSL CA cert (path? access rights?)


Starting wp_remote_post() test
wp_remote_post() test to noc1.wordfence.com passed!

Starting wp_remote_post() test
wp_remote_post() test to noc1.wordfence.com failed! Response was: Problem with the SSL CA cert (path? access rights?)

Voila, ca me laisse perplexe puisque je n'ai aucune idée de ce que peux bien vouloir dire ceci.
Y-a-t-il eu des changements sur les serveurs Kimsufi récemment ?

Merci d'avance.

Config KS-3

Système d'exploitation	CentOS Linux 6.6
Version de Webmin	1.680
Date et heure du système	Fri Jan 16 09:42:28 2015	
Noyau et CPU	Linux 3.10.23-xxxx-std-ipv6-64 sur x86_64
Information sur le CPU	Intel(R) Core(TM) i3-2130 CPU @ 3.40GHz, 4 cores
Mémoire réelle	7.69 GB total, 1.09 GB utilisé
Mises à jours de Paquet	All installed packages are up to date