🚧 Serveur PKI – Autorité de Certification interne¶

Informations générales¶

• Nom : PKI interne
• IP : 192.168.1.xxx (à préciser si tu crées un LXC dédié)
• Type : LXC Debian ou VM
• Rôle : Gestion de l’infrastructure à clés publiques (AC interne)

Services installés¶

• OpenSSL / Easy-RSA ou Dogtag/step-ca (selon choix)
• Génération et signature de certificats pour :
• Sites web internes (reverse proxy Nginx 207, Nextcloud 202, Jellyfin 205, etc.)
• Services Samba (209)
• Supervision Nagios (210)
• VPN WireGuard (208)
• Possibilité d’export des certificats pour usage sur clients/serveurs

Structure de l’AC¶

• CA racine (ca.crt, ca.key)
• CA intermédiaire (optionnel, recommandé pour cloisonner)
• Certificats serveurs (.crt + .key)
• CRL (Certificate Revocation List)`
• OCSP responder (optionnel)

Répertoires typiques (Easy-RSA)¶

• /etc/pki/ ou /etc/ssl/myCA/ → répertoire racine
• ca.crt – certificat racine à distribuer
• ca.key – clé privée racine (sécurisée, offline si possible)
• issued/ – certificats émis
• private/ – clés privées (chmod 600)
• crl.pem – liste de révocation

Commandes utiles¶

Générer un certificat serveur¶

# Créer une clé + CSR
openssl req -new -newkey rsa:4096 -nodes -keyout server.key -out server.csr

# Signer avec l’autorité interne
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial \
  -out server.crt -days 825 -sha256

Vérifier un certificat¶

openssl x509 -in server.crt -text -noout

Vérifier correspondance clé/certificat¶

openssl x509 -noout -modulus -in server.crt | openssl md5
openssl rsa -noout -modulus -in server.key | openssl md5

Intégration dans ton infra¶

• Reverse Proxy (207) → utilisation du certificat AC interne pour HTTPS
• WireGuard (208) → possibilité de certifier les clés des pairs (optionnel)
• Nagios (210) → interface web sécurisée avec certificat interne
• Nextcloud (202) → certificat signé par CA interne
• Clients (PC, mobiles) → ajout du certificat ca.crt dans les autorités de confiance

Sauvegarde¶

• Sauvegarder obligatoirement :

• ca.key (clé privée racine)

• ca.crt (certificat racine)
• index.txt (suivi des certificats émis)
• serial (numéro de série en cours)
• 🔒 Garder la clé privée racine offline si possible (clé USB chiffrée, coffre-fort)

Notes¶

• Tu peux migrer facilement :

• Debian ↔ Windows (ADCS) : exporter le ca.crt et le ca.key puis recréer la hiérarchie

• Penser à la CRL et au renouvellement des certificats avant expiration
• Une autorité interne est suffisante si tous tes appareils sont gérés → sinon, utiliser Let’s Encrypt pour la partie publique.