[GELÖST] Let's Encrypt Renew - Verify error

[PiMas]

Hallo

Ich habe Nextcloud via HAProxy mit LE am laufen. Jetzt ist das Zertifikat zum ersten mal abgelaufen und der automatische Renew hat nicht funktioniert. Das Log meint:

Code: [Select]

Verify error:Fetching https://nc.meine.domain:444/.well-known/acme-challenge/xyz123: Invalid port in redirect target. Only ports 80 and 443 are supported, not 444
Port 444 ist das Webinterface von OpnSense.

Als ich das letzten Dezember eingerichtet habe, konnte das Zertifikat auch problemlos erstellt werden.
Was könnte mein Problem sein?

lg

[lfirewall1243]

Zeig uns Mal deine LE config (screenshots)

[PiMas]

Die Einrichtung habe ich 1:1 von hier übernommen: https://schulnetzkonzept.de/opnsense (Abschnitt Reverse-Proxy)

lg

[PiMas]

Gibt es eine Möglichkeit das Zertifikat auf einem alternativen Weg zu generieren und in Opnsene zu hinterlegen?

[Patrick M. Hausen]

Für das HTTP-Challenge-Response-Verfahren darf kein Redirect ausgelöst werden. /.well-known/acme-challenge muss auf Port 80 bedient werden.

[PiMas]

Verstehe, wo aber könnte der Redirect eingestellt sein? Das einzige wo ich finde, ist die Port-Forward Regel, welche den 80er auf den IP Alias für HAProxy weiterleitet, ebenfalls auf 80.

Was ich auch nicht begreife: Ich habe das im letzten Dezember eingerichtet und seither keine Veränderung diesbezüglich gemacht. Damals konnte ich das Zertifikat mit den aktuellen Einstellungen auf Anhieb generieren.

Kann es sein, dass zwischenzeitlich mit einem Firmware Update beim LE-Plugin was geändert wurde? Zb kam mit 20.7.7 os-acme-client 2.2.

Ich komme gerade nicht weiter 

[lenny]

Diese Fehler habe ich ständig, es geht... viele Tage... Dann ohne Änderung nicht mehr.
Betrifft bei mir aber nur die Erneuerung über HA-Proxy.
Über Lets Encrypt funktioniert es, zumindest über tcp/80.
Welche Variante nutzt du?
Ist deine Sense aus dem Internet über tcp/80 erreichbar?

[PiMas]

Welche Variante nutzt du?

80 & 443 laufen bei mir über HAProxy

Ist deine Sense aus dem Internet über tcp/80 erreichbar?

Beim Versuch von extern auf 80 zuzugreifen, wird auf 443 umgeleitet: HTTP Strict Transport Security (HSTS)

[lenny]

Welche Challange nutzt du?
HA oder Lets?

[PiMas]

Sieht nach HA aus (siehe Screenshots)

[lfirewall1243]

Sind die Regeln, Backends, Frontends in der HA Config dafür auch aktiviert? Sowie der Haken im LE Plugin?

[lenny]

Joa den Fehler kenne ich. Funktioniert bei mir auch nur sporadisch.
Stell mal auf Lets Encrypt um, anstelle von HA Proxy... Dann wirds gehen

[PiMas]

Sind die Regeln, Backends, Frontends in der HA Config dafür auch aktiviert? Sowie der Haken im LE Plugin?

Ja, denke schon (siehe Screenshots)

Joa den Fehler kenne ich. Funktioniert bei mir auch nur sporadisch.
Stell mal auf Lets Encrypt um, anstelle von HA Proxy... Dann wirds gehen

Wo muss ich das umstellen? Habe beim Challenge Type nur noch DNS-01 zur Auswahl

[lenny]

Lets encrypt. challange type, dort lets encrypt anstelle ha proxy

[PiMas]

Meinst du den Hacken "HAProxyIntegration" (siehe Screenshot)?