opnsense mit ACME Client auf Proxmox VM / SSL Zertifikat Problem

[BassT23]

Hi @ll

ich habe auf meinem Proxmox eine opnsense mit ACME Client und HAProxy installiert.
HAProxy ist vorübergehend deaktiviert.
Angeschlossen an einem Trunk Port.

WAN -> 192.168.0.x
LAN -> 192.168.3.x
OPT1 -> 192.168.5.x
 
Firewall:
Regeln:
Port 80/443 komplett offen
NAT:
Port 443 an LXC (Nextcloud) durchgereicht

Nextcloud hat Port 80 Weiterleitung auf https in apache2

Erreichbar ist die Nextcloud via URL, aber mit SSL Fehler. (Weil altes abgelaufenes Zertifikat)
Bisher habe ich die Weiterleitung und Zertifikat mit nginx Proxy Manager gemacht (auch SSL Zert). Das funktioniert auch soweit.

Ports sind in der Fritzbox aktuell geändert, von nginx(alt) auf opnsense (neu)

Jetzt möchte ich aber die Firewall zusammen mit HAProxy, alles zentral an einem "Ort" absichern.
Nextcloud ist nicht der einzige online Dienst, weitere werden auch noch umziehen "dürfen".

Jetzt zum Problem:
Ich bekomme kein SSL Zertifikat.
Fehlermeldung:

[Fri Feb 2 16:10:17 CET 2024] Invalid status, cloud.foobar.de:Verify error detail:XX.XX.XX.XX: Fetching http://cloud.foobar.de/.well-known/acme-challenge/-zTHYZPggWICWnvdIInCv9lp3r8DrJD-1mggc8ocJ4Q: Timeout during connect (likely firewall problem)


/usr/local/opnsense/scripts/OPNsense/AcmeClient/lecert.php: AcmeClient: The shell command returned exit code '1': '/usr/local/sbin/acme.sh --issue --syslog 6 --log-level 1 --server 'letsencrypt' --webroot /var/etc/acme-client/challenges --home '/var/etc/acme-client/home' --cert-home '/var/etc/acme-client/cert-home/65bc05d9b529e5.48171601' --certpath '/var/etc/acme-client/certs/65bc05d9b529e5.48171601/cert.pem' --keypath '/var/etc/acme-client/keys/65bc05d9b529e5.48171601/private.key' --capath '/var/etc/acme-client/certs/65bc05d9b529e5.48171601/chain.pem' --fullchainpath '/var/etc/acme-client/certs/65bc05d9b529e5.48171601/fullchain.pem' --domain 'cloud.foobar.de' --days '1' --force --keylength 'ec-384' --accountconf '/var/etc/acme-client/accounts/65bc04db36f048.46625748_prod/account.conf''
 
- Konto ist auf OK(registriert)
- Challenge ist HTTP-01 / HTTP-Dienst ist OPNsense Webdienst / Schnittstelle WAN

Seit 3 Tagen bin ich am rumprobieren und komme jetzt nicht mehr weiter.
Bitte um input

[budy]

Müsstest du nicht auch Port 80 per NAT an die NC weiterleiten? Ohne das kann ja die challenge nicht gelesen werden.