OPNsense Forum

International Forums => German - Deutsch => Topic started by: PiMas on March 09, 2021, 08:30:13 pm

Title: [GELÖST] Let's Encrypt Renew - Verify error
Post by: PiMas on March 09, 2021, 08:30:13 pm
Hallo

Ich habe Nextcloud via HAProxy mit LE am laufen. Jetzt ist das Zertifikat zum ersten mal abgelaufen und der automatische Renew hat nicht funktioniert. Das Log meint:
Code: [Select]
Verify error:Fetching https://nc.meine.domain:444/.well-known/acme-challenge/xyz123: Invalid port in redirect target. Only ports 80 and 443 are supported, not 444
Port 444 ist das Webinterface von OpnSense.

Als ich das letzten Dezember eingerichtet habe, konnte das Zertifikat auch problemlos erstellt werden.
Was könnte mein Problem sein?

lg
Title: Re: Let's Encrypt Renew - Verify error
Post by: lfirewall1243 on March 09, 2021, 08:54:25 pm
Zeig uns Mal deine LE config (screenshots)
Title: Re: Let's Encrypt Renew - Verify error
Post by: PiMas on March 09, 2021, 09:23:37 pm
Die Einrichtung habe ich 1:1 von hier übernommen: https://schulnetzkonzept.de/opnsense (https://schulnetzkonzept.de/opnsense) (Abschnitt Reverse-Proxy)

lg
Title: Re: Let's Encrypt Renew - Verify error
Post by: PiMas on March 10, 2021, 10:27:50 am
Gibt es eine Möglichkeit das Zertifikat auf einem alternativen Weg zu generieren und in Opnsene zu hinterlegen?
Title: Re: Let's Encrypt Renew - Verify error
Post by: Patrick M. Hausen on March 10, 2021, 11:39:44 am
Für das HTTP-Challenge-Response-Verfahren darf kein Redirect ausgelöst werden. /.well-known/acme-challenge muss auf Port 80 bedient werden.
Title: Re: Let's Encrypt Renew - Verify error
Post by: PiMas on March 10, 2021, 03:54:30 pm
Verstehe, wo aber könnte der Redirect eingestellt sein? Das einzige wo ich finde, ist die Port-Forward Regel, welche den 80er auf den IP Alias für HAProxy weiterleitet, ebenfalls auf 80.

Was ich auch nicht begreife: Ich habe das im letzten Dezember eingerichtet und seither keine Veränderung diesbezüglich gemacht. Damals konnte ich das Zertifikat mit den aktuellen Einstellungen auf Anhieb generieren.

Kann es sein, dass zwischenzeitlich mit einem Firmware Update beim LE-Plugin was geändert wurde? Zb kam mit 20.7.7 os-acme-client 2.2.

Ich komme gerade nicht weiter  :'(
Title: Re: Let's Encrypt Renew - Verify error
Post by: lenny on March 11, 2021, 10:15:41 am
Diese Fehler habe ich ständig, es geht... viele Tage... Dann ohne Änderung nicht mehr.
Betrifft bei mir aber nur die Erneuerung über HA-Proxy.
Über Lets Encrypt funktioniert es, zumindest über tcp/80.
Welche Variante nutzt du?
Ist deine Sense aus dem Internet über tcp/80 erreichbar?

Title: Re: Let's Encrypt Renew - Verify error
Post by: PiMas on March 11, 2021, 10:48:39 am
Quote from: lenny on March 11, 2021, 10:15:41 am
Welche Variante nutzt du?
80 & 443 laufen bei mir über HAProxy

Quote from: lenny on March 11, 2021, 10:15:41 am
Ist deine Sense aus dem Internet über tcp/80 erreichbar?

Beim Versuch von extern auf 80 zuzugreifen, wird auf 443 umgeleitet: HTTP Strict Transport Security (HSTS)
Title: Re: Let's Encrypt Renew - Verify error
Post by: lenny on March 11, 2021, 11:13:59 am
Welche Challange nutzt du?
HA oder Lets?
Title: Re: Let's Encrypt Renew - Verify error
Post by: PiMas on March 11, 2021, 11:24:05 am
Sieht nach HA aus (siehe Screenshots)
Title: Re: Let's Encrypt Renew - Verify error
Post by: lfirewall1243 on March 11, 2021, 11:25:13 am
Sind die Regeln, Backends, Frontends in der HA Config dafür auch aktiviert? Sowie der Haken im LE Plugin?
Title: Re: Let's Encrypt Renew - Verify error
Post by: lenny on March 11, 2021, 11:31:25 am
Joa den Fehler kenne ich. Funktioniert bei mir auch nur sporadisch.
Stell mal auf Lets Encrypt um, anstelle von HA Proxy... Dann wirds gehen
Title: Re: Let's Encrypt Renew - Verify error
Post by: PiMas on March 11, 2021, 11:45:40 am
Quote from: lfirewall1243 on March 11, 2021, 11:25:13 am
Sind die Regeln, Backends, Frontends in der HA Config dafür auch aktiviert? Sowie der Haken im LE Plugin?
Ja, denke schon (siehe Screenshots)

Quote from: lenny on March 11, 2021, 11:31:25 am
Joa den Fehler kenne ich. Funktioniert bei mir auch nur sporadisch.
Stell mal auf Lets Encrypt um, anstelle von HA Proxy... Dann wirds gehen
Wo muss ich das umstellen? Habe beim Challenge Type nur noch DNS-01 zur Auswahl
Title: Re: Let's Encrypt Renew - Verify error
Post by: lenny on March 11, 2021, 11:51:30 am
Lets encrypt. challange type, dort lets encrypt anstelle ha proxy
Title: Re: Let's Encrypt Renew - Verify error
Post by: PiMas on March 11, 2021, 11:59:16 am
Meinst du den Hacken "HAProxyIntegration" (siehe Screenshot)?
Title: Re: Let's Encrypt Renew - Verify error
Post by: PiMas on March 11, 2021, 12:00:09 pm
Quote from: lenny on March 11, 2021, 11:51:30 am
Lets encrypt. challange type, dort lets encrypt anstelle ha proxy

Diese Auswahl finde ich nirgends
Title: Re: Let's Encrypt Renew - Verify error
Post by: PiMas on March 11, 2021, 02:08:13 pm
Ich habe nun unter Services / Let's Encrypt / Challenge Types den HTTP Service: auf "OPNsense Web erver (automatic port forward)" gewechselt.

Jetzt konnte ich das Zertifikat erstellen  :D

@lenny: Danke für den Tipp. Wie machst du das bei dir: stellst du den Service nur für den Renew um und dann wieder zurück?
Title: Re: Let's Encrypt Renew - Verify error
Post by: lenny on March 11, 2021, 02:33:17 pm
ich stell es meist zurück. Habe dir Erfahrung gemacht, dass es nach dem Renew eine unbestimmte Zeit funktioniert...bis wieder die Überprüfung fehlschlägt
Title: Re: Let's Encrypt Renew - Verify error
Post by: PiMas on March 11, 2021, 02:44:31 pm
Danke für deine Hilfe, werde das mal beobachten

lg