Utiliser le SSL Gateway

Objectif

Découvrez comment utiliser votre service SSL Gateway afin de sécuriser les connexions vers votre site web.

Prérequis

• Disposer d'un service SSL Gateway.
• Être connecté à votre espace client OVHcloud, partie Sunrise.

En pratique

Configurer le service

Connectez-vous à votre espace client OVHcloud. Cliquez ensuite sur la section Sunrise.

Cliquez ensuite sur le bouton SSL Gateway pour afficher votre service.

Sélectionnez la solution que vous souhaitez configurer.

La page qui s'affiche concerne la gestion de votre solution.

Pour plus d'informations sur le chiffrement, cliquez sur ce lien.

Configurer le nom de domaine

Le bloc suivant comprend quatre onglets :

• noms de domaine ;
• 10 000 serveurs ;
• tâches ;
• graphiques ;

L'onglet « Domaines » vous permet d'ajouter et de supprimer vos noms de domaine et sous-domaines connectés à votre SSL Gateway.

Cliquez sur + Domaine pour ajouter un domaine ou un sous-domaine.

Si vous utilisez une version Free, vous ne pourrez posséder qu'un nom de domaine, ainsi que son sous-domaine « www » et un second sous-domaine de votre choix :

Faites votre choix, puis cliquez sur Ajouter pour valider.

Si vous utilisez une solution Advanced, vous pourrez ajouter n'importe quel nom de domaine ou sous-domaine actif.

Faites votre choix, puis cliquez sur Ajouter pour valider.

L'onglet « Serveurs » vous permet de gérer les adresses IP des serveurs hébergeant votre site internet.

Cliquez sur + Serveur pour ajouter une adresse IP et le port correspondant au serveur hébergeant votre site.

• Si vous utilisez une solution Free, vous ne pourrez utiliser qu'une seule adresse IP/PORT.

• Si vous utilisez une solution Advanced, vous pourrez ajouter jusqu'à trois adresses IP/PORT pour vos noms de domaines et sous-domaines.

Faites votre choix, puis cliquez sur Ajouter pour valider.

L'onglet « Tâches » vous permet d'afficher les opérations en cours sur votre SSL Gateway.

L'onglet « Graphiques » vous permet de visualiser le nombre de connexions et de requêtes effectuées par minute sur votre SSL Gateway.

• Si vous utilisez une solution Free, vous pourrez consulter vos mesures sur une période de 24 heures.

• Si vous utilisez une solution Advanced, vous pourrez consulter vos mesures durant un mois.

Renouveler votre certificat SSL

Afin de renouveler le certificat Let's Encrypt, le nom de domaine ou le sous-domaine devra pointer vers l'adresse IP de l'offre SSL Gateway.

• Si ce n'est pas le cas, et que nos robots détectent ce fait dans un délai de sept jours avant la date de renouvellement du certificat SSL/TLS, un e-mail vous sera envoyé, vous donnant trois jours pour effectuer cette opération.

• Si cette opération n'a pas été effectuée durant ce délai, le certificat ne sera pas renouvelé. Vous devrez le regénérer manuellement à l'aide de ce bouton :

Astuces

Correction de l'adresse IP source dans les logs

Présentation

Lorsqu'un client visite votre site, il se connecte au SSL Gateway en HTTPS. Puis il suit la requête vers votre serveur après l'avoir décodée et filtrée. Toutes les requêtes adressées à votre serveur proviennent du SSL Gateway.

Afin de suivre l'adresse IP de votre visiteur, le SSL Gateway ajoute automatiquement ces en-têtes HTTP standard :

• « X-Forwarded-For et X-Remote-Ip » : adresse IP du client, telle que visualisée par le SSL Gateway ;
• « Port X-Forwarded et port X-Remote » : port source du client, tel que visualisé par le SSL Gateway.

Comme ces champs peuvent être falsifiés par un client malveillant, ils ne doivent être pris en compte que s'ils proviennent d'une source approuvée, comme le SSL Gateway. La liste des adresses IP source utilisées par le SSL Gateway se trouve dans :

• votre espace client OVHcloud, section « Sunrise » ;
• la section « SSL Gateway » ;
• le champ « IPv4 de sortie ».

À la date de rédaction de ce guide, ces adresses sont « 213.32.4.0/24 » et « ** 144.217.9.0/24** ». D'autres adresses peuvent être ajoutées ultérieurement.

Si votre serveur le gère, il peut être configuré pour prendre en compte ces informations automatiquement à la place de l'adresse IP du SSL Gateway.

Apache

Créez le fichier ci-dessous : « /etc/apache2/conf-available/remoteip.conf » Insérez les lignes suivantes :

# Trust X-Forwarded-For headers from the SSL Gateway
# See https://www.ovh.com/manager/sunrise/sslGateway/index.html#/sslGateway for an up-to-date list
RemoteIPHeader X-Forwarded-For
RemoteIPInternalProxy 213.32.4.0/24

Vous pouvez maintenant remplacer les variables `%h` par `%a` dans les directives LogFormat de la configuration Apache.

Une fois la configuration prête, il vous suffit de l'activer avec les commandes suivantes :

# Enable the module then the configuration
a2enmod remoteip
a2enconf remoteip

# Restart Apache to recognise the module (reload is sufficient for configuration)
service apache2 restart

Vous pourrez trouver plus d'informations à propos de cette fonctionnalité Apache dans la documentation officielle.

NGINX

Ouvrez le fichier de configuration correspondant au site internet à sécuriser. Il se trouve généralement dans le dossier : « /etc/nginx/sites-enabled » Insérez les lignes suivantes dans la section « Serveur » :

# Trust X-Forwarded-For headers from the SSL Gateway
# See https://www.ovh.com/manager/sunrise/sslGateway/index.html#/sslGateway for an up-to-date list
set_real_ip_from 213.32.4.0/24;
real_ip_header X-Forwarded-For;

Vous trouverez plus d'informations sur cette fonctionnalité Nginx dans la documentation officielle.

Aller plus loin

Pour des prestations spécialisées (référencement, développement, etc), contactez les partenaires OVHcloud.

Si vous souhaitez bénéficier d'une assistance à l'usage et à la configuration de vos solutions OVHcloud, nous vous proposons de consulter nos différentes offres de support.

Échangez avec notre communauté d'utilisateurs.