Telegram, Reverse Proxy et Synology

[Jérôme28]

Bonjour à tous,

Je viens demander votre aide, car je sèche complètement sur un sujet et j'en viens à me demander si une solution existe...
Tout d'abord, je tiens à dire que j'ai lu avec attention le sujet "[Café-bistrot entraide] Telegram" et ses 882 messages.

Je souhaite utiliser le plugin Telegram sans sa totalité, c'est-à-dire pouvoir utiliser les fonctions ask qui requièrent que le port 443 soit accessible.
J'utilise comme routeur une livebox. Mon DNS "jeedom.mondomaine.fr" pointe sur l'IP publique de ma livebox.
Je redirige sur cette même livebox le port 443 vers le port 5001 de mon NAS Synology.
Le NAS joue le rôle de reverse proxy.
Il me permet donc de rediriger le DNS "jeedom.mondomaine.fr" sur le port 5001 vers l'adresse IP interne de mon serveur Jeedom.

Je n'arrivai pas à ajouter des utilisateurs au plugin "Telegram". Pour que cela fonctionne, j'ai dû désactiver temporairement la redirection du port 443 vers le port 5001 de mon NAS Synology et j'ai dû ajouter une redirection du port 443 vers le port 443 de mon serveur Jeedom.

J'espère avoir été assez clair dans mes explications.

J'aimerai savoir si certains d'entre vous ont ce type de configuration et comment font-ils pour concilier Telegram et le reverse proxy.

Merci d'avance pour vos réponses.

Jérôme

[tomdom]

Bonjour,

Est-ce que tu arrives à te connecter à Jeedom de l'extérieur quand tu passes par ton reverse proxy ?

[Jérôme28]

Bonjour Tomdom,

Oui j’y arrive sans aucun problème. J’ai un certificat wildcard délivré par Let's Encrypt sur mon synology et un certificat jeedom.mondomaine.fr sur mon serveur Jeedom.
Les interfaces réseaux sont bien OK. La santé de Télégram dans Jeedom est aussi OK. J’ai reussi à ajouter les utilisateurs Telegram en désactivant temporairement mon reverse proxy.

Ce que je n’arrive pas à faire c’est d’asssurer la bonne redirection du port 443 en même temps que la gestion de mon reverse proxy.

[tomdom]

J’ai un certificat wildcard délivré par Let's Encrypt sur mon synology

Je pense que le problème est là.

cf https://core.telegram.org/bots/faq#i-39 ... h-webhooks

Wildcard certificates may not be supported.
CN must exactly match your domain

[Jérôme28]

Ok, mais dans mon cas ça fonctionne correctement, je peux envoyer des messages sans problème. Par contre, je ne peux pas effectuer des interactions qui requièrent l’utilisation du port 443.
Est ce que je me trompe en disant que le certificat n’est pas lié a ce problème de port 443 ?

[tomdom]

Justement, de mon point de vue, ton problème est lié. Quand le webhook contacte ton jeedom (pour les interactions), il reçoit un certificat wildcard dont le CN ne correspond pas à jeedom.tondomaine.fr

[Jérôme28]

Oui, mais ce que j’arrive pas a expliquer, si c’est un probleme de certificat, c’est que ca ne devrait pas fonctionner quand je modifie mon NAT pour rediriger le port 443 vers le serveur Jeedom et pourtant dans ce cas ca fonctionne.

[tomdom]

On reprend (pour voir si j'ai bien compris).

Quand tu rediriges directement vers ton Jeedom, le certificat présenté est un certificat pour jeedom.tondomaine.fr.
Quand tu rediriges vers ton Syno, le certificat présenté est un certificat wildcard pour tondomaine.fr

J'ai bon ?

[Jérôme28]

Oui tu as raison.
Je n’avais pas vu ça comme c’est exacte.
Je vais faire les modifications.

[Jérôme28]

Merci beaucoup Tomdom pour tes réponses.
Je viens de créer un certificat jeedom.mondomaine.fr sur mon Synology que j'applique uniquement au service de redirection de mon reverse proxy pour Jeedom.
Cela me permet ainsi de garder mon certificat Wildcard pour l'ensemble des autres services.
Je vais me faire un tuto pour l'ensemble de cette configuration. Ça me servira de pense-bête.
Je pense aussi le partager ici si des utilisateurs se retrouvent dans le même cas que moi.

[Jeandhom]

Je profite de ce sujet pour savoir si c'est bien utile, lorsque l'on utilise un proxy inversé, de continuer, sur le LAN, la connexion en HTTPS entre le proxy et le destinataire final. N'est-ce pas plus simple de continuer en HTTP.

Y-a-t-il des contre-indications à continuer en HTTP ?

[Jérôme28]

Bonjour Jeandhom,
Dans mon cas, je continue toutes mes connexions en HTTPS.
Je ne sais pas s'il y a des contre-indications.

[tomdom]

Bonjour,

C'est plus simple de continuer en HTTP (SSL OffLoading) ça évite de dupliquer les certificats
Il est recommandé de continuer en HTTPS quand le lien entre le reverse proxy et le serveur n'est pas sûr.

[Jeandhom]

Ok, merci tomdom.

[sseb]

Bonsoir, bonjour Jérôme,

Je suis exactement dans la même config que toi.
Malheureusement je galère depuis 3 jours sans aucun résultat.
Mon objectif est de faire fonctionner Telegram dans Jeedom.

La seule chose que j'ai réussi à faire, c'est d'avoir un certificat Let's Encrypt pour l'accès distant à mon NAS Synology en XXX.synology.me....

Je n'arrive pas à avoir de certificat jeedom.XXX.synology.me pour mon(ma ?) jeedom .....

Quelle est ta config dans le reverse-proxy pour ton jeedom ?
Quelle est ta redirection des ports pendant la demande de certificat ?
Quelle est ta redirection des ports pendant le fonctionnement normal ?

Je suis aussi avec une livebox.

Pour résumer, je suis très intéressé par ton éventuel tuto !

D'avance merci si tu peux m'aider un peu.

Seb

[Dgak10]

sseb j'ai resolu mon probleme en passant par un dns ovh, envoie moi un mp si besoin

[ccosta]

merci de votre aide

[ccosta]

bonjour,
j'ai fais plusieurs tests ...

et c'est sur la déclaration des ports que je bloque...

voici les ports que j'ai ouvert de mon routeur vers mon syno
88,443,8443 vers le port 5001 de mon syno
80 vers le port 5000 de mon syno

sur le revers proxy de mon syno
les ports 5000 et 5001 vers le port le port 80 de jeedom ...
voici mon doute...

comment avez vous déclarer tous ces ports ?

ainsi que :
désactivé le pare feu du syno ...
un certificat propre a mon jeedom...
Nom renseigné sur telegram...

Pouvez-vous m'aider ???