Fehler bei ACME-Challenge an Server hinter nginx-reverse-proxy mit CNAME-Eintrag

[mm2023]

Hallo zusammen,

ich habe einen Acme-Challenge-Fehler (Timeout der well-known-Adresse) bei der Aktualisierung eines Zertifikats.

Folgender Aufbau:

Subdomain sub.domain.tld verweist per CNAME-Record auf andere.zweitdomain.tld.

Der Server hinter andere.zweitdomain.tld liegt hinter einer OPNsense.
Auf der OPNsense ist nginx aktiviert und eingerichtet. Der Server ist erreichbar und funktioniert ordnungsgemäß.
Der Server selbst ist ein Docker-Container.

Bei der Aktualisierung des Zeritifikats wird nun ein Timeout beim Abruf der well-known-Adresse festgestellt.

Konfiguration ACME-Client: HTTP-01 auf Schnittstelle WAN.

Konfiguration NGINX-Eintrag:

• Position
  - URL-Pattern: /
  - Match Type: Don't check REGEX
  - HTTPS erzwingen: ja
  - HTTP/2-Preloading: ja
  
  
• HTTP-Server
  -  Enable Let's Encrypt Plugin Support: ja
  - HTTPS only: ja
  

Aktuell weiß ich nicht, warum die Ausgabe der Zertifikats beim ersten Mal funktioniert hat und warum die Erneuerung nun nicht funktioniert. Ich habe schon verschiedenes ausprobiert. Mir gehen langsam die Ideen aus. Hat jemand von euch eine Idee?[/list]

[mm2023]

Hat niemand eine Idee?

Ich vermute, dass es evtl. am Port 80 bzw. an der Portweiterleitung liegt.
Wenn ich im ACME-Plugin den Debug-Modus schalte und dann die im Log aufgelistete http-Adresse manuell aufrufe, erhalte ich die Datei als Download, da sie bei Abbruch vom ACME-Modul nicht gelöscht wird.
Insofern scheint es also mit der Portweiterleitung, die ja nur temporär für die Dauer der Aktualisierung gesetzt werden soll, nicht zu funktionieren. Ich frage mich nur, woran das liegen kann und was ich ggf. ändern muss.

Evtl. hilfreich:

Den Verwaltungsport habe ich auf einen anderen Port als 443 gesetzt, da die 443-Portweiterleitung für nginx gebraucht wird.
Die Anti-Aussperrregel ist im LAN auf Port 80 und dem neuen Verwaltungsport für https aktiv.
Diese Einstellungen waren allerdings auch schon so, als das Zertifikat das erste Mal gesetzt wurde.

Mir ist im Log außerdem aufgefallen, dass das Skript nur bis 5/30 zählt, bis es abbricht. Es werden also nicht 30 Sekunden (?) abgewartet.

Grüße