Service web avec Domoticz (Raspberry)

[JC38]

Bonjour,

Je vois que mon sujet n'est pas aussi banal que cela.

Je viens de tester ceci sur mon Rpi.
Arrêt de nginx : Connexion à Dz en http ok, connexion en https ko
Je pense que cette partie de domoticz.sh explique ce fait :

Code : Tout sélectionner

PATH=/sbin:/bin:/usr/sbin:/usr/bin:/usr/local/bin
DESC="Domoticz Home Automation System"
NAME=domoticz
USERNAME=pi
DAEMON=/home/$USERNAME/domoticz/$NAME
DAEMON_ARGS="-daemon -www 8080 -log /media/usb/temp/domoticz.txt"
PIDFILE=/var/run/$NAME.pid
SCRIPTNAME=/etc/init.d/$NAME

Du coup, le https passe via nginx et il me faudrait changer le DAEMON_ARGS pour lui spécifier de démarrer avec son SSL ?

Sinon, et là, c'est plus génant, j'utilise Imperihome avec Iss-domo (avant) et maintenant avec MyDomoAtHome.
Le problème, c'est qu'ils laissent apparaitrent en clair des données sensibles, avec notamment les login/pwd des connexions aux caméras déclarées dans Dz. Il suffit de taper http://ip_wan:port_wan_paserelle/devices pour retrouver ces infos dans la liste.
Comment faire pour éviter cela proprement ?

[jackslayter]

voici la dernière version du script de démarrage
https://github.com/domoticz/domoticz/bl ... omoticz.sh

[JC38]

@jackslayter : merci, je ferai la modif ce soir, vu qu'il y a rien à l TV

Du coup, on peut supprimer la conf domoticz dans nginx ?

[rimram31]

...Du coup, le https passe via nginx et il me faudrait changer le DAEMON_ARGS pour lui spécifier de démarrer avec son SSL ?...

Préciser le paramètre -sslwww 443 (pour le port https 443 par défaut) et j'imagine (désolé pas essayé chez moi) un certificat au format PEM si j'en crois le manuel domoticz a poser dans le répertoire d'installation domoticz (/home/pi/domoticz a priori). Pour générer un PEM, j'ai l'impression que le tuto nginx créé un crt (un autre format, désolé ...), on peut avec openssl convertir, j'ai vu ça http://stackoverflow.com/questions/9917 ... -crt-files

...Sinon, et là, c'est plus génant, j'utilise Imperihome avec Iss-domo (avant) et maintenant avec MyDomoAtHome...

Là nginx aurait pu être intéressant en redirigeant deux trafic/ports en https vers des ports en http interne, 443 vers domoticz 8080 et 3443 par exemple vers le 3001 interne MyDomoAtHome mais j'ai pas l'impression qu'ImperiHome gère le https.

Une solution serait d'installer un VPN privé, chiffré avec openvpn, c'est plus couillu ... et ça demande de télécharger un client dédié pour la connexion. Là on se connecte comme si on était en local dans son réseau domicile au travers d'un "tuyau" qui sera chiffré "vu d'internet".

[JC38]

Je viens de faire la modif SSL dans domoticz.sh

Code : Tout sélectionner

  Process: 465 ExecStart=/etc/init.d/domoticz.sh start (code=exited, status=0/SUCCESS)                                                     
   CGroup: /system.slice/domoticz.service                                                                                                  
           └─616 /home/pi/domoticz/domoticz -daemon -www 8080 -sslwww 443 -log /media/usb/temp/domoticz.txt 

Je ne vois pas de différence par rapport à avant la modif.
Si nginx est arrêté, domoticz en http ok mais ko en https, en lan comme en wan.

Qu'est-ce que j'ai manqué ?

[JC38]

c'est une image de domoticz (cartes SD) ?

Désolé, j'avais pas vu ta réponse.
A la base, oui c'est une image SD qui date de plus de 2 ans maintenant. Depuis, j'ai fait qq modifs et un upgrade vers Jessie.
J'avais notamment du faire un bout de config en suivant cette page du wiki https://www.domoticz.com/wiki/Secure_Nginx_Proxy_Setup mais sur version de 2013 ou 2014.

[JC38]

oui mais dans le cas du tuto ngnix , si tu vas sur internet avec ton adresse ip publique , et ba tu peux pas te connecter car tu n'as pas installé le certificat sur ton navigateur.

je peux te passer mon ip pour voir ce que cela fait (ip dynamique)

Si tu peux me passer ton url pour domoticz, je veux bien tester.

[rimram31]

Je viens de faire la modif SSL dans domoticz.sh

Code : Tout sélectionner

  Process: 465 ExecStart=/etc/init.d/domoticz.sh start (code=exited, status=0/SUCCESS)                                                     
   CGroup: /system.slice/domoticz.service                                                                                                  
           └─616 /home/pi/domoticz/domoticz -daemon -www 8080 -sslwww 443 -log /media/usb/temp/domoticz.txt 

Je ne vois pas de différence par rapport à avant la modif.
Si nginx est arrêté, domoticz en http ok mais ko en https, en lan comme en wan.

Qu'est-ce que j'ai manqué ?

Je sais pas trop ... tente un sudo netstat -apn | grep 443 pour voir si le 443 est bien ouvert et par domoticz. Je suis surpris que tu puisses tester en parallele avec nginx car deux processus ne peuvent pas prendre le même port, seul le 1er gagne . Je viens de faire le test chez moi et domoticz répond bien a https://192.168.1.xxx/

D'ailleurs vil1driver a raison, je n'ai pas posé de certificat sous domoticz et ça "marche" en tout cas ça répond au 443.

Vérifie a deux fois tes urls.

[rimram31]

...et ça "marche" en tout cas ça répond au 443.

Je viens de comprendre, ça me tracassait ... domoticz embarque un certificat, fichier server_cert.pem, présent dans le répertoire d'installation:

Code : Tout sélectionner

# openssl x509 -in server_cert.pem -text
Certificate:
    Data:
        Version: 1 (0x0)
        Serial Number:
            98:d8:98:5a:ee:50:9b:51
        Signature Algorithm: sha256WithRSAEncryption
        Issuer: C=NL, ST=MyState, O=Domoticz, L=Domoticz, CN=*.domoticz.com, OU=Unit51/emailAddress=your@email.com
        Validity
            Not Before: May 23 06:49:02 2015 GMT
            Not After : May 20 06:49:02 2025 GMT
        Subject: C=NL, ST=MyState, O=Domoticz, L=Domoticz, CN=*.domoticz.com, OU=Unit51/emailAddress=your@email.com
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
...

Vous pouvez vous créer votre propre certificat autosigné (qui entraine l'affichage d'une page du navigateur "non securisé ... etes vous sur ..." qu'il faudra forcer pour accéder au site, justement parce qu'il est autosigné et pas "certifié" par une autorité).

[JC38]

@rimram31 : avant la modif, je n'avais pas l'option SSL activée dans la ligne de commande de domoticz.
Mais le SSL fonctionnait via Nginx car j'avais appliqué une partie de ce qui est écrit dans le wiki https://www.domoticz.com/wiki/Secure_Nginx_Proxy_Setup mais comme c'était il y a très longtemps, la page du wiki devait plutôt ressembler à cela https://www.domoticz.com/wiki/index.php ... &oldid=188 à l'époque.

Et suite au support de SSL par Domoticz, je me posais donc la question de savoir si cette page du Wiki https://www.domoticz.com/wiki/Secure_Nginx_Proxy_Setup était encore pertinente.
Il faudrait donc que je "défasse" proprement ce que j'avais fait à l'époque pour essayer de passer le SSl directement par Domoticz et non par Nginx comme c'est encore le cas pour moi aujourd'hui.