mis à jour le 22 décembre 2024
Ce tutoriel concerne le paramétrage de l'installation de Rufus pour permettre son accès via internet sur un serveur MySQL version 5.7 ou ultérieure.
Pour les versions précédentes, il y a quelques différences, notamment en ce qui concerne l'emplacement du fichier my.cnf.
De plus, la commande service mysql restart ne fonctionne pas dans MySQL 5.7.
En cas de difficulté, reportez-vous à la page web http://www.it-connect.fr/configurer-le-ssl-pour-securiser-mysql/.

La connexion d'un poste client Rufus à un serveur MySQL par internet se fait via un protocole de cryptage openSSL sur 2048 bits, inviolable sans moyens démesurés.
Une fois installée, cette connexion cryptée est totalement transparente pour l'utilisateur.
Un poste peut être paramétré pour avoir plusieurs accès possibles. C'est le cas par exemple pour un ordinateur portable qui pourra se connecter selon les cas par internet (accès au serveur depuis un cabinet secondaire, la clinique ou le domicile) ou directement au réseau local quand on s'en sert au cabinet.
Dans ce cas, au démarrage de Rufus, un choix est proposé en fonction de la façon dont le poste a été paramétré dans Rufus

Dans ce tutoriel, il est supposé que Rufus est déjà installé et opérationnel sur le poste que vous voulez paramétrer.
La manipulation consiste à:
  • paramétrer le serveur pour qu'il crypte les données en cas d'accès internet et pas en cas d'accès réseau local.
  • paramétrer le client pour qu'il adopte le même comportement.
Le cryptage des données impose la génération de clés de cryptages complémentaires. Ces clés de cryptage sont en fait des fichiers que l'on répartit entre le serveur et les clients.

Ce tuto est long et un peu complexe mais à la portée de n'importe qui un peu motivé.

+++ Quelques précisions
Il y a de nombreuses instructions en ligne de commande. Plutôt que de les retaper, il est beaucoup plus rapide et sûr de faire à chaque fois un copier-coller de la ligne à taper depuis ce document vers le terminal pour éliminer les risques d'erreur (Command-C pour copier – Command-V pour coller).
!Attention! Vous devez être administrateur du système pour pouvoir faire cette installation. Vérifiez vos droits dans Pomme/Préférences Système/Utilisateurs et groupes. La case Autoriser l'administration de cet ordinateur doit être cochée.
​A plusieurs reprises, le terminal du mac vous demandera votre mot de passe. 
Quand vous tapez un mot de passe dans le terminal, il n'y a aucun « echo » à votre frappe, ce qui est normal.
Attention aussi aux espaces dans les lignes de commande du terminal. On les oublie souvent
Enfin, chaque ligne de commande à taper est bien entendu suivie par la touche Enter
par exemple :
cd (Enter)
nano .bash_profile (Enter)
1. Paramétrage d'une adresse IP statique pour le serveur
Les postes clients se connectent au serveur par le biais de son adresse IP sur le réseau. L'adresse IP d'un poste lui est en général attribuée par la box à chaque allumage du poste et elle peut donc varier d'une mise en route à l'autre. Pour que les postes clients puissent retrouver le serveur à chaque fois, celui-ci doit donc se voir attribuer une adresse IP fixe, qui ne varie pas.
  • Sur le serveur, aller dans Pomme, Paramètres système/Réseau
  • Choisir le réseau actif (en vert) et cliquer sur Avancé en bas à droite. Puis sur l'onglet TCP/IP. Vous obtenez l'écran suivant.
  • Notez consciencieusement l'adresse IP de la machine, ici 192.168.1.61
  • Cliquez sur la liste déroulante « Configurer Ipv4 » et choisir « Manuellement ». Recopier l'adresse 192.168.1.61 dans Adresses Ipv4.
  • Valider en cliquant sur OK. Votre serveur a maintenant une adresse IP fixe qui ne changera pas même s'il est rallumé.
2. Paramétrage de la box
Votre box internet doit être paramétrée pour:
→ ne pas attribuer d'IP à un appareil autre que le serveur quand celui-ci est éteint. C'est le paramètre du DHCP.
→ débloquer son pare-feu pour le port 3306
→ laisser passer les requêtes SQL et les rediriger vers le serveur sur lequel vous avez installé MySQL. C'est ce qu'on appelle la redirection de port ou translation de port qui se fait donc par le port 3306 pour MySQL.
Pour atteindre ces réglages, il faut se connecter au serveur web interne de la box.
  • Ouvrir un navigateur internet du réseau (Safari, Firefox, Chrome...) et taper dans la barre d'adresse directement l'adresse IP de la box qui est en général 192.168.1.1 ou freebox/ pour free
  • Une fenêtre s'ouvre alors vous demandant soit d'entrer un mot de passe soit de débloquer la box en appuyant sur son bouton principal pendant plusieurs secondes.
  • Il faut paramétrer la box pour lui interdire d'attribuer elle-même des plages d'adresses IP que vous vous réservez pour les IP fixes, au cas où votre serveur étant éteint, la box attribuerait son adresse à un autre appareil, ce qui provoquerait un conflit à l'allumage du serveur.
Paramètres le DHCP
 trouver l'onglet de paramétrage du DHCP (le DHCP est le protocole qui permet à la box d'attribuer des adresses IP) et refaire le réglage. Sur les anciennes box SFR, l'écran qui permettait de faire ça était le suivant
Dans ce cas, on voit que le DHCP n'est compris que pour les adresses entre 192.168.1.20 et 192.168.1.30. Choisissez une plage nettement plus large pour le DHCP. L'IP statique de votre serveur ne doit bien entendu pas figurer dans cette plage.
Débloquer le pare-feu pour le port 3306
  • Une fois cette étape franchie, il faut naviguer dans les différents onglets du serveur et trouver le réglage du pare-feu s'il y en a un pour laisser ouvert le port 3306. Cette étape est un peu complexe : toutes les boxes n'incorporent pas de pare-feu et l'endroit où trouver le pare-feu quand il y en a un varie d'une box à l'autre.
Rediriger le port 3306 vers le serveur
3. Génération des clés SSL
  • Récupération des clés SSL fournies avec le serveur MySQL
Dans certains cas, on peut trouver des clés SSL générées par le serveur.
  • Ces clés se trouvent
    • ​sous MacOS, dans le dossier /usr/local/mysql/data
    • sous Ubuntu, dans le dossier /var/lib/mysql 
    • sous Windows, dans le dossier /ProgramData/MySQL/MySQL Server 8.0/Data
  • qu'on va nommer ce dossier dans les lignes suivantes
  • créer sur une clé USB un dossier /mysql/certs dans un dossier quelconque et recopier toutes ces clés dans ce sous dossier
++++ attention à l'espace entre le nom du fichier et le nom du dossier de destination -> sudo cp cedossier/ca-cert.pem (espace) /USB/mysql/certs
sudo mkdir -p /USB/mysql/certs
sudo cp /cedossier/ca-key.pem /cleUSB/mysql/certs
sudo cp /cedossier/ca.pem /cleUSB/mysql/certs
sudo cp /cedossier/client-cert.pem /cleUSB/mysql/certs
sudo cp /cedossier/client-key.pem /cleUSB/mysql/certs
sudo cp /cedossier/private_key.pem /cleUSB/mysql/certs
sudo cp /cedossier/public_key.pem /cleUSB/mysql/certs
sudo cp /cedossier/server-cert.pem /cleUSB/mysql/certs
sudo cp /cedossier/server-key.pem /cleUSB/mysql/certs

  • Génération des clés SSL
​Mais souvent, vous devrez générer ces clé vous même
  • ​Sous MacOS ou Linux​
Dans le terminal, exécuter la succession de commandes suivantes, en répondant aux questions à chaque fois
les lignes commençant par # sont des commentaires et ne doivent pas être tapées
d'après la page dev.mysql.com/doc/refman/8.4/en/creating-ssl-files-using-openssl.html

​# Create clean environment
rm -rf newcerts
mkdir newcerts && cd newcerts
# Create CA certificate
openssl genrsa 2048 > ca-key.pem
openssl req -new -x509 -nodes -days 3600 \ -key ca-key.pem -out ca.pem
# Create server certificate, remove passphrase, and sign it
# server-cert.pem = public key, server-key.pem = private key
openssl req -newkey rsa:2048 -days 3600 \ -nodes -keyout server-key.pem -out server-req.pem
openssl rsa -in server-key.pem -out server-key.pem
openssl x509 -req -in server-req.pem -days 3600 \ -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem
# Create client certificate, remove passphrase, and sign it
# client-cert.pem = public key, client-key.pem = private key
openssl req -newkey rsa:2048 -days 3600 \ -nodes -keyout client-key.pem -out client-req.pem
openssl rsa -in client-key.pem -out client-key.pem
openssl x509 -req -in client-req.pem -days 3600 \ -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem

​Vérifier les clés par la commande
openssl verify -CAfile ca.pem server-cert.pem client-cert.pem

Vous devez obtenir une réponse de ce genre
server-cert.pem: OK
client-cert.pem: OK​
  • ​Sous Windows
avec Google traduction
se référer à la page dev.mysql.com/doc/refman/8.4/en/creating-ssl-files-using-openssl.html

Téléchargez OpenSSL pour Windows s'il n'est pas installé sur votre système. Vous trouverez ici un aperçu des packages disponibles :
www.slproweb.com/products/Win32OpenSSL.html
Choisissez le package Win32 OpenSSL Light ou Win64 OpenSSL Light, selon votre architecture (32 bits ou 64 bits).
L'emplacement d'installation par défaut est C:\OpenSSL-Win32 ou C:\OpenSSL-Win64, selon le package que vous avez téléchargé.
Les instructions suivantes supposent un emplacement par défaut de C:\OpenSSL-Win32.
Modifiez ceci si nécessaire si vous utilisez le package 64 bits.

Si un message s'affiche pendant l'installation indiquant « ... composant critique manquant : Microsoft Visual C++ 2019 Redistributables », annulez l'installation et téléchargez également l'un des packages suivants, toujours en fonction de votre architecture (32 bits ou 64 bits) :
Après avoir installé le package supplémentaire, redémarrez la procédure d'installation d'OpenSSL.
Pendant l'installation, conservez le chemin d'installation par défaut C:\OpenSSL-Win32 et laissez également l'option par défaut « Copier les fichiers DLL OpenSSL dans le répertoire système Windows » sélectionnée.
Une fois l'installation terminée, ajoutez C:\OpenSSL-Win32\bin à la variable Windows System Path de votre serveur (selon votre version de Windows, les instructions de définition de chemin d'accès suivantes peuvent différer légèrement) :
  1. Sur le bureau Windows, cliquez avec le bouton droit sur l’icône Poste de travail et sélectionnez Propriétés.
  2. Sélectionnez l'onglet Avancé dans le menu Propriétés système qui apparaît, puis cliquez sur le bouton Variables d'environnement.
  3. Sous Variables système, sélectionnez Chemin, puis cliquez sur le bouton Modifier. La boîte de dialogue Modifier la variable système doit apparaître.
  4. Ajoutez « ;C:\OpenSSL-Win32\bin » à la fin (notez le point-virgule).
  5. Appuyez sur OK 3 fois.
  6. Vérifiez qu'OpenSSL a été correctement intégré dans la variable Chemin en ouvrant une nouvelle console de commande (Démarrer > Exécuter > cmd.exe) et en vérifiant qu'OpenSSL est disponible :
Microsoft Windows [Version ...] Copyright (c) 2006 Microsoft Corporation. Tous droits réservés
C:\Windows\system32>cd \
C:\openssl
OpenSSL>         <<< Si vous voyez l'invite OpenSSL, l'installation a réussi
exit      
C:\>
​ Une fois OpenSSL installé, utilisez des instructions similaires à celles de l'exemple 1 (présentées plus haut dans cette section), avec les modifications suivantes :
  • Modifiez les commandes Unix suivantes :
    # Create clean environment rm -rf newcerts mkdir newcerts && cd newcertsOn Windows, use these commands instead:
    # Create clean environment md c:\newcerts cd c:\newcerts
  • Lorsqu'un caractère « \ » est affiché à la fin d'une ligne de commande, ce caractère « \ » doit être supprimé et les lignes de commande saisies toutes sur une seule ligne.
# Create clean environment
md c:\newcerts
cd c:\newcerts
# Create CA certificate
openssl genrsa 2048 > ca-key.pem
openssl req -new -x509 -nodes -days 3600 -key ca-key.pem -out ca.pem
# Create server certificate, remove passphrase, and sign it
# server-cert.pem = public key, server-key.pem = private key
openssl req -newkey rsa:2048 -days 3600 -nodes -keyout server-key.pem -out server-req.pem
openssl rsa -in server-key.pem -out server-key.pem
openssl x509 -req -in server-req.pem -days 3600 -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem
# Create client certificate, remove passphrase, and sign it
# client-cert.pem = public key, client-key.pem = private key
openssl req -newkey rsa:2048 -days 3600 -nodes -keyout client-key.pem -out client-req.pem
openssl rsa -in client-key.pem -out client-key.pem
openssl x509 -req -in client-req.pem -days 3600 -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem

​Vérifier les clés par la commande
openssl verify -CAfile ca.pem server-cert.pem client-cert.pem

Vous devez obtenir une réponse de ce genre
server-cert.pem: OK
client-cert.pem: OK​
​​​​4. Configuration de MySQL pour utiliser le cryptage de données SSL
d'après la page www.it-connect.fr/configurer-le-ssl-pour-securiser-mysql%EF%BB%BF/

a. Installation des clés sur le poste serveur
  • Il faut maintenant installer les clés sur le poste serveur. Ces clés sont les fichiers  ca.pem, server-cert.pem et server-key.pem et présents sur le serveur à l'emplacement àù vous les avez créés tout à l'heure /newcerts. Il vaut mieux les recopier dans un répertoire un peu plus difficile à effacer par erreur comme  /etc/mysql/SSL sous macOS ou Linux
  • avec le terminal, créez le dossier /etc/mysql/SSL ou n'importe quel autre dossier de votre choix (dans la photo de demonstration, le dossier est /private/etc/mysql/autoSSL)
sudo mkdir /etc/mysql/SSL
  • confirmez avec le mot de passe utilisateur puis copiez les clés dans ce dossier (ici, les clés sont dans /newcerts et sont copiées vers /etc/mysql/SSL)
sudo cp /newcerts/ca.pem /etc/mysql/SSL/ca.pem
sudo cp /newcerts/server-cert.pem /etc/mysql/SSL/server-cert.pem
sudo cp /newcerts/server-key.pem /etc/mysql/SSL/server-key.pem 

+++ ATTENTION à ne pas oublier l'espace entre le nom de fichier de départ et le nom du fichier de destination
​Vérifier que les clés ont correctement été copiées
ls /etc/mysql
  • La réponse du terminal doit être
   ca.pem    server-cert.pem    server-key.pem

​puis permettre à MySQL d'accéder à ces fichiers 
sudo chmod -R 755 /etc/mysql/SSL

éditer le fichier de configuration de MySQL /etc/my.cnf
sudo nano /etc/my.cnf

pour y ajouter dans la section "[mysqld]" le chemin vers l'emplacement des clés, ce qui permettra de signifier au serveur MySQL que des clés existent et que les connexions cryptées peuvent être utilisées avec ces clés :
ssl-ca=/etc/mysql/SSL/ca.pem
ssl-cert=/etc/mysql/SSL/server-cert.pem
ssl-key=/etc/mysql/SSL/server-key.pem

Vérifier que le serveur utilise bien les clés SSL
Pour cela, redémarrer le serveur en relançant la machine ou en utilisant les commandes adhoc suivant le système d'exploitation
puis se connecter à MySQL et, dans ma console MySQL, entrer la commande
show variables like '%SSL%';
​Vous devez obtenir la réponse suivante où on voit l'emplacement des clés SSL qui ont donc été reconnues
b. Installation des clés client sur le poste client
Il faut maintenant installer les clés sur les postes clients. Ces clés sont les fichiers ca.pem, client-cert.pem et client-key.pem. Ils sont présents sur le serveur à l'emplacement /etc/mysql/SSL si vous avez suivi les instructions précédentes. Il faut les recopier dans un répertoire sur le client. Le plus simple est d'utiliser une clé USB.
Copier ces 3 fichiers depuis votre clé USB
sur le client, par le terminal, créez le dossier /etc/mysql/SSL ou n'importe quel autre dossier de votre choix (dans la photo de demonstration, le dossier est /private/etc/mysql/autoSSL)
sudo mkdir /etc/mysql/SSL
confirmez avec le mot de passe utilisateur puis copiez les 3 clés dans ce dossier en remplaçant cleUSB par l'emplacement de votre clé USB
sudo cp /cleUSB/ca.pem /etc/mysql/SSL/ca.pem 
sudo cp /cleUSB/client-cert.pem /etc/mysql/SSL/client-cert.pem 
sudo cp /cleUSB/cient-key.pem /etc/mysql/SSL/client-key.pem 
+++ ATTENTION à ne pas oublier l'espace entre le nom de fichier de départ et le nom du fichier de destination
​Vérifier que les clés ont correctement été copiées
ls /etc/mysql
La réponse du terminal doit être
ca.pem    client-cert.pem    client-key.pem

​puis permettre à Rufus d'accéder à ces fichiers 
sudo chmod -R 755 /etc/mysql/SSL

retirer l'attribut exécutable de ces fichiers qui peut parfois être resté pour d'obscures raisons
sudo chmod -x /etc/mysql/SSL/client-cert.pem
sudo chmod -x /etc/mysql/SSL/client-key.pem
​sudo chmod -x /etc/mysql/SSL/ca.pem
6. Obtention de votre adresse IP
Votre box a 2 adresses IP. Une sur le réseau local (en général 192.168.1.1) et une sur le réseau internet. Si vous voulez vous connecter à votre serveur depuis internet, c'est cette dernière que vous allez utiliser.
Comment connaître l'adresse IP de mon réseau?
Une simple recherche sur un moteur de recherche avec la question "what is my ip" vous orientera vers des centaines de sites qui vous donneront la réponse en vous demandant s'ils peuvent déposer plein de cookies sur votre ordinateur.
Le site Ipchicken semble rester cool de ce point de vue.
Aller sur le site www.ipchicken.com
Votre adresse IP apparait immédiatement
7. Paramétrage de Rufus pour utiliser la connexion par Internet
​Relancer Rufus
Ouvrir la fenêtre de paramètres. Menu Edition/Paramètres
Aller sur l'onglet ce poste
Déverrouiller la fenêtre en cliquant sur le cadenas en bas à droite et en entrant le mot de passe administrateur ("bob" par défaut s'il n'a pas été modifié)
Cliquer sur l'onglet Accès distant
Cocher la case Cet appareil peut se connecter à un serveur distant
Renseigner l'adresse du serveur dans la case Emplacement (ici 92.92.169.67), sous forme d'adresse IP ou d'IP dynamique si vous en utilisez une.
​Renseigner l'emplacement des clés clients SSL (/etc/mysql/SSL si vous avez suivi cette procédure, /private/etc/mysql/autoSSL dans l'image exemple) en cliquant sur le bouton situé à côté de la ligne Emplacement des clés client SSL
Renseigner de la même façon l'emplacement du dossier de copie des originaux des fichiers image importé depuis ce poste (facultatif)​
  • Relancer Rufus.
  • Au démarrage, Rufus vous propose maintenant de vous connecter soit à la base de données présente sur ce poste, soit à celle distante par internet.
  • Choisissez Distante, par internet.​
  • Il ne reste plus qu'à vous identifier comme pour un démarrage normal et, après un petit temps d'attente, le programme démarre.
  • Avec un accès rapide (fibre, 5G), le programme est à peine ralenti par rapport à un accès direct sur la machine ou sur le réseau local. Avec un accès 4G ou ADSL, c'est logiquement un peu plus lent mais ça reste exploitable au quotidien.

En haut de l'écran, dans la bannière, l'affichage « accès distant – connexion cryptée (SSL) » confirme que tout marche.
Les données qui circulent sur Internet entre votre poste Rufus et le serveur sont devenues
indéchiffrables pour qui ne possède pas les clés

Projet Rufus

Points clés
Notions de base
Installer Rufus
Télécharger

Support

Contact
FAQ
licence GNU/GPL
Dr Serge Lainé
ophtalmologiste
développeur de Rufus
​[email protected]
© COPYRIGHT 2015. ALL RIGHTS RESERVED.
UA-111017251-1