Wenn Du den Setup wie im HAproxy-Tutorial verwendest, dürfte in den Rules für den Public HTTP eine mit dem Namen "redirect_acme_challenges" vorhanden sein. Aktuell prüft die nur den Pfad ("/.well-known..."), Du müsstest die Regel mit UND verknüpfen mit einem Test auf Deine Domains, die hinter der OpnSense liegen.Wenn das alle betrifft, kannst Du die Regel auch im HTTP-Frontend wegnehmen, die wird automatisch angelegt, wenn Du für das ACME-Plugin die HAproxy-Integration aktivierst.Allerdings funktioniert das so pro Domain nur entweder-oder per HTTP-01, weil für die Domain eben entweder das ACME-Plugin auf der OpnSense den Request bekommt oder aber Dein Backend.Eine andere Variante wäre, die Zertifikate nicht mit HTTP-01, sondern per DNS-01 zu verifizieren, wenn Dein Backend und Dein DNS-Provider das können. Dann kann sogar jeder sein eigenes Zertifikat bekommen.Eine kleine Warnung: Dovecot und Postfix können kein OCSP-Stapling. Eine gemeinsame Nutzung eines Domain-Zertifikats für HTTPS und für STARTTLS geht dann also nur mit OCSP-Stapling "off".
Wenn er Dir sagt, dass die HTTP Validation fehlgeschlagen ist, ist die Validierungsmethode offenbar nicht DNS-01.Hast Du eventuell nur eine Aktualisierung anstelle einer Neuausstellung angefordert? Oder vergessen, den neuen Challenge Type dem Zertifikat zuzuordnen?
