Tls
guest@6admin.io:~$ ls ~/tags/tls
Une sonde IDS ne voit pas le TLS
Les labs Suricata montés sur du HTTP en clair sont excellents pour la pédagogie, mais ils cachent un angle mort majeur une fois en production : le chiffrement. Une sonde en mode promiscuous voit du TLS et ne peut rien inspecter. Où poser alors l'inspection.
Faire de l'ACME en interne sans supplier l'équipe AD CS
Step-ca, acme2certifier ou OpenBao ? Trois familles et le choix dépend d'abord de ce que vous faites déjà tourner, ensuite de qui doit rester l'émetteur.
Un reverse proxy devant Perforce ou pas : le pour et le contre
Quatre façons de mettre du TLS devant un serveur Perforce et ce qu'on gagne ou perd à chacune: terminaison nginx en niveau 4, TLS natif de p4d, passthrough SNI et les outils maison P4Broker et P4P. Avec le piège de l'IP client que tout le monde oublie.
Nginx devant Perforce : terminaison TLS en niveau 4 et le protocole P4
Mettre nginx en terminaison TLS devant un serveur Perforce: pourquoi le module stream et non un proxy HTTP, ce que le protocole P4 impose et le tuning keepalive et timeout sans lequel les sessions longues se coupent sur des sync de plusieurs heures.
Le trafic entrant : exposer moins et garder ce qui reste
Sécuriser le trafic entrant: pare-feu, exposition minimale, reverse proxy et terminaison TLS propre.
Haproxy : le reverse proxy qui a pris la suite de Pound
Après Pound (l'article de 2008), l'étage au-dessus: haproxy 1.3, les modes TCP et HTTP, les ACL, les backends et health checks, la page de stats. Ce qu'un reverse proxy doit savoir faire avant d'être crédible.
Pound : un reverse proxy très light
Pound, le reverse proxy qui dépose le TLS et balance vers un pool, avant que haproxy ne prenne le relais.
SSLH : ssh et https sur le même port
Un mémo de 2007: sslh multiplexe ssh et https sur le port 443, le port unique des pare-feux paranoïaques. Comment ça marche, ce que ça permet et pourquoi (edit 2026) on ne le mettrait plus en prod de nos jours.