Messages

On multiple occasions I've been observing that even thought a certificate has been renewed, the previous version is still being serviced.
I then manually trigger the HAProxy restart action directly from the "Run automations" symbol under Services>ACME Client>Certificates>Certificate Entry>Commands .
The certificate being served then becomes correct, but some time later I get the old one back.

I now find that 2 certificates listed as "Update Certificates" under Services>HAProxy>Maintenance>SSL Certificates.
There is an entry for 1_HTTPS_frontend and on that line under Commands, an "Apply Changes" icon is available.
Clicking that and confirming the operation also gets rid of the use of the old certificate.  Hopefully this stays permanent, now I only need to find a way to automate this after a certificate renewal as restarting the HAProxy does not seem to permanently affect this.

EDIT:
It is possible to create another automation (Service>ACME>Automations) for this.  When selecting "System or Plugin Command" under "Run command", "Sync SSL certificate changes into running HAProxy service" can be selected as a system command.  I think this is the permanent fix.

EDIT2:
Tested the automation on a 2nd setup where 5 was shown under "Update certificates".  Running the automations that now include the sync commande made that go away ;-).

Do you use now both automations or only the new one to snyc only haproxy certificate without restart haproxy ?

Is it possible to use haproxy if the opnsense is behind or after a fritzbox router ? I have tried a setup but without success

Yes its possible and fairly common. Just setup the opnsense in the fritzbox as exposed host.

i will try it but opening port 80 and 443 for the opnsense is not enough ?

Is it possible to use haproxy if the opnsense is behind or after a fritzbox router ? I have tried a setup but without success

hmm, also ich stehe auf dem schlauch.
zu nat reflexion in der fritzbox finde ich nix, nur rebind schutz oder exposed host was aber nicht gemeint ist.
läßt sich ein reverse proxy wie caddy oder haproxy nicht auf einer opnsense hinter einer fritzbox einrichten?
auf der fritzbox sind die ports 80 und 443 an die opnsense freigegeben.
mit split dns gehts ja mit deaktivierten adblocker aber reverse proxy bisher nicht.

Wenn die Fritzebox die externe IP hat dann muss die Fritzbox NAT Reflektion machen. Der Proxy löst nur alle Probleme automagisch wenn der Router (OPNsense) die einzige Routing Instanz im Netzwerk ist, mit der öffentlichen und privaten IPs.

Ansonsten muss man wieder Split DNS benutzen.

ok, aber nur so zum verständniß.
die fritzbox gibt doch durch die geöffneten ports (80,443) die öffentliche ip an die opnsense weiter.
in der nextcloud (hinter der opnsense mit weiter geleiteten ports) kann ich die öffentliche ip sehen. muß ich mir das dann so vorstellen wie ein langes reihenhaus mit vielen türen zur strasse und durch die geöffneten türen nr. 80 und 443 kann ich die strasse (öffentliche ip) sehen ?

den dyndns account habe ich in der fritzbox eingetragen sowie die ports freigegeben und in der opnsense weiter geleitet. funzt einwandfrei.

d.h ich brauche diese dann nicht in caddy eintragen ?
müssen die ports dann noch für die cloud freigegeben werden oder nur für das caddy plugin ?

@ Patrick M. Hausen

Alternative:

Immer auf die externe IP-Adresse auflösen und dort, statt sich mit NAT Reflection herum zu ärgern einfach einen Reverse Proxy aufsetzen. Der kann dann auch gleich den SSL-Kram für den offiziellen FQDN erledigen.

Z.B. mit dem Caddy Plugin.

Mache ich hier inzwischen für alles. Tatsächlich waren meine persönlichen Beiträge zum Plugin alle Lösungen für spezielle Anwendungen hier bei mir, z.B. Apache Guacamole.

Nochmal vielen lieben Dank an unser @Monviech für ein geniales Plugin!

Das mit dem caddy plugin habe ich bisher nicht zum laufen gebracht. Mein dyndns Account ist von do.de die auch ein api für lets entcrypt anbieten aber do.de ist nicht in den settings verfügbar und es soll zwar manuell möglich sein den hinzuzufügen aber hinbekommen habe ich es nicht. Caddyfile ? Wo und wie anpassen? Oder json anpassen aber wo, wie und was eintragen?

Das wäre aber die wohl beste Lösung

Der tipp mit dem dns auf dem eigenen Handy war gut. Der adblocker war das Problem.

hi,

das habe ich zuerst probiert (dienste-unboud-überschreibung) aber das hat keinen effekt. der traffic geht weiter über extern und zurück.

auf windows geht das über die host datei problemlos

keiner eine idee ?

hallo,
ich habe hier eine nextcloud an einem mikrotik switch an der opnsense laufen. das ganze funktioniert auch über dyndns mit nextcloud.xxx von extern. wenn ich nun mit dem handy per wlan mit der dyndns adresse auf diese zugreife kann ich sehen wie der traffic von intern nach draußen und dann wieder nach innen auf die nextcloud läuft. in der firewall-nat-portweiterleitung habe ich den port 443 für nat reflexion aktiviert. nun läuft der traffic auch wie gewünscht vom wlan direkt zur nextcloud. so weit so gut, aber dann geht kein weiterer internet verkehr mehr. kein wlan oder lan oder zugriff auf den switch etc nur noch wlan zur nextcloud. deaktiviere ich nat reflexion wieder geht wieder alles wie gehabt.

kann mir jemand sagen was ich falsch mache ?
ziel ist es vom handy etc mit der dyndns adresse nextcloud.xxx auf die nextcloud zugreifen zu können ohne das der traffic über das internet geht sondern intern bleibt.

Hallo,
ich habe hier eine Opnsense auf einem Odroid h4 + Netcard und somit 6 2.5 GBe nics.
Davon ist noch eine frei. Nun bin ich dabei den Odroid per Lagg mit dem Mikrotik Switch zu (Routeros) verbinden und darauf dann mit dem Unifi 6 lite das Wlan + Gast Wlan einzurichten. Den Unifi Controller habe ich auf einem Sbc laufen (bei Bedarf)

Nun bin ich schon am rumlesen aber noch ist mir nicht klar wie ich dabei vorgehen soll. Auf dem Switch habe ich eine bridge (Cloud) laufen inkls Backup Sbc was auch gut funktioniert. Eine 2. Bridge (Wlan) sollte ja kein Problem sein aber wie geht man dabei weiter vor ?

Du sollst sie ja auch in ein und dasselbe Netz hinter der OPßnsense hängen. Wenn du keinen Switch, aber eine Firewall-Appliance mit mehr als zwei Ports hast, kannst du alles außer WAN zu einer Bridge zusammenfassen. Ist dann wie bei jedem Consumer-Router.

https://docs.opnsense.org/manual/how-tos/lan_bridge.html

Dass du lang laufende rsync Jobs zwingend mit SSH Public Key Authentifizierung einrichten musst, hast du schon berücksichtigt? Bei Authentifizierung mit Passwort bricht der Job zwangsläufig irgendwann ab.

bridge werde ich mir als nächstes ansehen. bin davon ausgegangen das die geschwindigkeit (2.5gb) zu stark einbricht. ansonsten eben einen switch...
mit ssh keys ist klar und läuft auch schon.
eigentlich sollte das backup automatisiert laufen aber wenn bis auf wol die verbindung steht werde ich evtl ansonsten den rechner manuel starten. wol per plugin über gui geht aber nicht als cron ...

Weil dann kein stabiles rsync möglich ist wenn das durch die opnsense läuft. Hatte ich zuerst probiert aber anscheinend macht rsync zwischen zwei netzen probleme und die Verbindung hängt sich früher oder später auf

Meinst du mit denselben netz eine brücke ?

Das die neue vebindung steht und Datenübertragung möglich ist aber wol auf dem backup rechner nicht funktioniert. Wenn ich mich also über nic 1 per ssh verbinde kann ich nicht von der nextcloud aus über die neue verbindung per nic 2 den backup rechner starten.

Nic 1 — opnsense ~ backup  = wol geht
Nic 2 — nextcloud ~ backup.   = kein wol


Der backup rechner ist mit seiner anderen nic mit der opnsense verbunden