Sécuriser votre installation ISPConfig 3 avec un certificat SSL Class1 gratuit de StartSSL - Page 2

4 Interface ISPConfig (Apache2)

Si vous utilisez ISPConfig 3 avec Apache, ouvrez /etc/apache2/sites-available/ispconfig.vhost…

vi /etc/apache2/sites-available/ispconfig.vhost

… et ajoutez la ligne SSLCertificateChainFile /usr/local/ispconfig/interface/ssl/startssl.sub.class1.server.ca.crt à la section # Configuration SSL (veuillez noter que vous devez réajouter cette ligne chaque fois que vous mettez à jour ISPConfig !) :

| [...] # Configuration SSL SSLEngine On SSLCertificateFile /usr/local/ispconfig/interface/ssl/ispserver.crt SSLCertificateKeyFile /usr/local/ispconfig/interface/ssl/ispserver.key ## doit être réajouté après une mise à jour d'ISPConfig !!! SSLCertificateChainFile /usr/local/ispconfig/interface/ssl/startssl.sub.class1.server.ca.crt [...] |

(Ajustez cela si vous utilisez un certificat Class2.)

Redémarrez Apache ensuite :

/etc/init.d/apache2 restart

5 Interface ISPConfig (nginx)

Sur nginx, tout ce que vous avez à faire est d’ajouter le certificat intermédiaire au fichier ispserver.crt (veuillez ajuster cela si vous utilisez un certificat Class2)…

cat /usr/local/ispconfig/interface/ssl/startssl.sub.class1.server.ca.crt >> /usr/local/ispconfig/interface/ssl/ispserver.crt

… et rechargez nginx :

/etc/init.d/nginx reload

6 Postfix

Pour Postfix, nous faisons des sauvegardes de /etc/postfix/smtpd.cert et /etc/postfix/smtpd.key et créons des liens symboliques vers /usr/local/ispconfig/interface/ssl/ispserver.crt et /usr/local/ispconfig/interface/ssl/ispserver.key :

cd /etc/postfix  
mv smtpd.cert smtpd.cert_bak  
mv smtpd.key smtpd.key_bak  
ln -s /usr/local/ispconfig/interface/ssl/ispserver.crt smtpd.cert  
ln -s /usr/local/ispconfig/interface/ssl/ispserver.key smtpd.key

Ensuite, nous ajoutons la directive smtpd_tls_CAfile à /etc/postfix/main.cf…

postconf -e 'smtpd_tls_CAfile = /usr/local/ispconfig/interface/ssl/startssl.chain.class1.server.crt'

(Veuillez ajuster cela si vous utilisez un certificat Class2.)

… et redémarrez Postfix :

/etc/init.d/postfix restart

7 Dovecot

Ouvrez /etc/dovecot/dovecot.conf…

vi /etc/dovecot/dovecot.conf

Pour Dovecot 1.x :

… et ajoutez la ligne ssl_ca_file = /usr/local/ispconfig/interface/ssl/startssl.chain.class1.server.crt (veuillez noter que vous devez réajouter cette ligne chaque fois que vous mettez à jour ISPConfig !) :

| [...] ssl_cert_file = /etc/postfix/smtpd.cert ssl_key_file = /etc/postfix/smtpd.key ## doit être réajouté après une mise à jour d'ISPConfig !!! ssl_ca_file = /usr/local/ispconfig/interface/ssl/startssl.chain.class1.server.crt [...] |

(Ajustez cela si vous utilisez un certificat Class2.)

Pour Dovecot 2.x :

… et ajoutez la ligne ssl_ca_file = /usr/local/ispconfig/interface/ssl/startssl.chain.class1.server.crt (veuillez noter que vous devez réajouter cette ligne chaque fois que vous mettez à jour ISPConfig !) :

| [...] ssl_cert = |

(Ajustez cela si vous utilisez un certificat Class2.)

Redémarrez Dovecot ensuite :

/etc/init.d/dovecot restart

8 Courier

Créez des sauvegardes de /etc/courier/imapd.pem et /etc/courier/pop3d.pem…

mv /etc/courier/imapd.pem /etc/courier/imapd.pem.bak  
mv /etc/courier/pop3d.pem /etc/courier/pop3d.pem.bak

… puis créez des liens symboliques vers /usr/local/ispconfig/interface/ssl/ispserver.pem :

ln -s /usr/local/ispconfig/interface/ssl/ispserver.pem /etc/courier/imapd.pem  
ln -s /usr/local/ispconfig/interface/ssl/ispserver.pem /etc/courier/pop3d.pem

Redémarrez Courier ensuite :

/etc/init.d/courier-imap-ssl stop  
/etc/init.d/courier-imap-ssl start  
/etc/init.d/courier-pop-ssl stop  
/etc/init.d/courier-pop-ssl start

9 PureFTPd

Créez une sauvegarde de /etc/ssl/private/pure-ftpd.pem…

cd /etc/ssl/private/  
mv pure-ftpd.pem pure-ftpd.pem_bak

… et créez un lien symbolique vers /usr/local/ispconfig/interface/ssl/ispserver.pem :

ln -s /usr/local/ispconfig/interface/ssl/ispserver.pem pure-ftpd.pem

Redémarrez PureFTPd ensuite :

/etc/init.d/pure-ftpd-mysql restart

10 Monit

Monit ne fait pas partie des configurations “Serveur Parfait” pour ISPConfig 3, mais si vous l’avez installé et utilisez son interface web via https, voici comment vous pouvez utiliser le certificat StartSSL afin que les avertissements de certificat disparaissent.

Ouvrez /etc/monit/monitrc…

vi /etc/monit/monitrc

… et spécifiez /usr/local/ispconfig/interface/ssl/ispserver.pem dans la ligne PEMFILE, par exemple comme suit :

| [...] set httpd port 2812 and SSL ENABLE PEMFILE /usr/local/ispconfig/interface/ssl/ispserver.pem allow admin:secret [...] |

Redémarrez monit ensuite :

/etc/init.d/monit restart

11 Liens

• StartSSL: http://www.startssl.com/
• ISPConfig: http://www.ispconfig.org/

À propos de l’auteur

Falko Timme est le propriétaire de Timme Hosting (hébergement web nginx ultra-rapide). Il est le principal responsable de HowtoForge (depuis 2005) et l’un des développeurs principaux d’ISPConfig (depuis 2000). Il a également contribué au livre d’O’Reilly “Administration Système Linux”.