[RESOLU] SSLCertVerificationError suite à mise à jour 2.5.5 vers 2.6.0

[cefinformatique]

Serveur WAPT : 2.6.0.16552-49ddf2d3-amd64 (Debian 12)
Console WAPT : 2.6.0.16552-49ddf2d3 (Debian 12)
Agent WAPT : 2.6.0.16552 (Windows 11 23h2)
Édition : Enterprise

Bonjour,

J'ai effectué la mise à jour de mon serveur (et de la console) de la version 2.5.5 à 2.6.0 mais après avoir recréé et déployé l'agent Windows mes clients présentent tous une erreur de vérification de certificat :

Code : Tout sélectionner

2024-12-04 10:01:11,942 [waptcore WaptTaskManager 3356] ERROR Certificate check failed for https://wapt.mondomaine.fr/wapt/Packages and verify_cert True
2024-12-04 10:01:11,942 [waptcore WaptTaskManager 3356] CRITICAL Error merging Packages from wapt into db: HTTPSConnectionPool(host='wapt.mondomaine.fr', port=443): Max retries exceeded with url: /wapt/Packages (Caused by SSLError(SSLCertVerificationError(1, '[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self-signed certificate in certificate chain (_ssl.c:1147)')))
2024-12-04 10:01:11,973 [waptcore WaptTaskManager 3356] CRITICAL Error merging Packages from wapt-host into db: HTTPSConnectionPool(host='wapt.mondomaine.fr', port=443): Max retries exceeded with url: /wapt-host/avw-adminwin.mondomaine.fr.wapt (Caused by SSLError(SSLCertVerificationError(1, '[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self-signed certificate in certificate chain (_ssl.c:1147)')))
2024-12-04 10:01:12,129 [wapttasks WaptTaskManager 3356] INFO Running task Installation de avw-adminwin.mondomaine.fr(=6) (t che #10) created by console
HTTPSConnectionPool(host='wapt.mondomaine.fr', port=443): Max retries exceeded with url: /wapt-host/avw-adminwin.mondomaine.fr.wapt (Caused by SSLError(SSLCertVerificationError(1, '[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self-signed certificate in certificate chain (_ssl.c:1147)')))

Mon autorité de certification reste la même et est déployée dans le magasin de chaque client Windows comme autorité de certification racine de confiance.

J'ai tenté une installation manuelle de l'agent 2.6.0 mais le résultat reste le même.

Voici le contenu de wapt-get.ini sur un client windows :

Code : Tout sélectionner

[global]
repo_url=https://wapt.mondomaine.fr/wapt
wapt_server=https://wapt.mondomaine.fr
verify_cert=1
use_repo_rules=1
use_kerberos=1
use_fqdn_as_uuid=1
use_ad_groups=1
allow_remote_reboot=1
allow_remote_shutdown=1
include_dmi_inventory=1
include_wmi_inventory=1
use_hostpackages=1
peercache_enable=0
max_gpo_script_wait=180
pre_shutdown_timeout=180
hiberboot_enabled=0

[waptwua]
enabled=1
default_allow=1
install_delay=3
download_scheduling=12h
install_scheduling=1d
install_at_shutdown=1
direct_download=False
include_potentially_superseded_updates=True

[fschelfaut]

Bonjour,

Depuis la version 2.6 de WAPT, nous n'utilisons plus directement le magasin de certificats Windows.
Désormais, nous nous basons sur le fichier cacert.pem, situé dans le répertoire suivant :
C:\Program Files (x86)\wapt\lib\site-packages\certifi

De plus, si vous utilisé une CA interne, il faut alors la précisé lors de la génération de l'agent

De votre côté, il faut vérifier dans le fichier /opt/wapt/waptserver/ssl/cert.pem sur votre serveur WAPT qu'il contient bien la fullchain.
Cela signifie qu'il doit inclure trois sections distinctes commençant par :
-----BEGIN CERTIFICATE-----
Si ce n'est pas le cas, cela expliquerais votre problème de certificat SSL

Flavien,

[cefinformatique]

Bonjour,

OK le problème est résolu en ajoutant ma CA dans le fichier C:\Program Files (x86)\wapt\lib\site-packages\certifi\cacert.pem

Je vais copier ce fichier et le déployer par GPO sur tous mes postes pour les reconnecter à WAPT.

Merci !

[fschelfaut]

Bonjour,

A noté que la modification de ce fichier C:\Program Files (x86)\wapt\lib\site-packages\certifi\cacert.pem doit être temporaire !

Car à chaque nouvelle version de WAPT, ce fichier peut être réécrit et donc supprimé vos changements.

Le mieux serait de générer un agent et de mettre Vérification du certificat du serveur sur Récupérer le certificat depuis le serveur comme cela l'agent vas récupérer la fullchain du serveur WAPT. Si tout vos agents son déja en dernière version alors il faut utiliser un paquet de configuration dynamique.

Dépot privé -> Générer un modèle de paquet -> Configuration Dynamique de l'agent
Ensuite Vérification du certificat du serveur sur Récupérer le certificat depuis le serveur

conf_dynamique_agent.PNG (17.25 Kio) Vu 993 fois

De votre côté, il faut absolument vérifier dans le fichier /opt/wapt/waptserver/ssl/cert.pem sur votre serveur WAPT qu'il contient bien la fullchain (3 Certificats)

Flavien