Let's Encrypt und haproxy ab 17.1.1

[pingus]

Hallo miteinander

System 17.1.1, XenServer 7, Zotac Zbox CI323 nano, os_xen, os-acme-client und os-haproxy installiert

Ich habe auf 17.1.1 aktualisiert nachdem ich die ersten Versuche mit haproxy und Let's Encrypt gestartet habe (siehe auch: https://forum.opnsense.org/index.php?topic=4465.msg16989#msg16989)

Erste Frage: Gibt es bereits eine Doku für haproxy und Let's Encrypt ab 17.1.1?

Da ich noch ein haproxy Neuling bin hier ein paar generelle Fragen (verwende haproxy als reverse proxy):

Wenn ich mich richtig eingelesen habe, dann macht man 1x Frontend für http und 1x Frontend für https. Angenommen ich habe verschiedene interne Server, einen für webmail.example.com und einen für www.example.com. Ich erstelle dann zwei backend Server und füge beide dem einen Frontend zu. Wenn ich LB machen will, dann sind in einem backend mehrer Server eingetragen? Ist das soweit korrekt?

Was muss ich für den neuen acme_challenge_backend machen? Muss ich hier auch den backend Eintrag einem normalen *:80er frontend Eintrag hinzufügen oder braucht es da einen speziellen frontend Eintrag machen oder regelt das das Let's Encrypt Plugin? Falls nicht: Wie weiss der frontend Server das bei ausstellen eines Zertifikats jetzt Let's Encrypt Zeugs kommt?

Ich habe mal probehalber versucht ein Zertifikat auszustellen. Ich bekomme dann folgende Fehlermeldung:

An API exception occured. Error at /usr/local/opnsense/mvc/app/controllers/OPNsense/AcmeClient/Api/SettingsController.php:331 - Trying to get property of non-object (errno=8)

Und im Dashboard meldet es mir noch Fehler:

[11-Feb-2017 00:00:29 Europe/Zurich] PHP Warning:  cert_action_validator(): Node no longer exists in /usr/local/opnsense/scripts/OPNsense/AcmeClient/certhelper.php on line 176
[11-Feb-2017 00:00:29 Europe/Zurich] PHP Warning:  cert_action_validator(): Node no longer exists in /usr/local/opnsense/scripts/OPNsense/AcmeClient/certhelper.php on line 243
[11-Feb-2017 00:00:29 Europe/Zurich] PHP Warning:  cert_action_validator(): Node no longer exists in /usr/local/opnsense/scripts/OPNsense/AcmeClient/certhelper.php on line 123
[11-Feb-2017 10:13:35 Europe/Zurich] Exception: Error at /usr/local/opnsense/mvc/app/controllers/OPNsense/AcmeClient/Api/SettingsController.php:331 - Trying to get property of non-object (errno=8) in /usr/local/opnsense/mvc/app/controllers/OPNsense/Base/ApiControllerBase.php:84
Stack trace:
#0 /usr/local/opnsense/mvc/app/controllers/OPNsense/AcmeClient/Api/SettingsController.php(331): OPNsense\Base\ApiControllerBase->APIErrorHandler(8, 'Trying to get p...', '/usr/local/opns...', 331, Array)
#1 [internal function]: OPNsense\AcmeClient\Api\SettingsController->fetchHAProxyIntegrationAction()
#2 [internal function]: Phalcon\Dispatcher->callActionMethod(Object(OPNsense\AcmeClient\Api\SettingsController), 'fetchHAProxyInt...', Array)
#3 [internal function]: Phalcon\Dispatcher->_dispatch()
#4 [internal function]: Phalcon\Dispatcher->dispatch()
#5 /usr/local/opnsense/www/api.php(26): Phalcon\Mvc\Application->handle()
#6 {main}
[11-Feb-2017 10:14:10 Europe/Zurich] Exception: Error at /usr/local/opnsense/mvc/app/controllers/OPNsense/AcmeClient/Api/SettingsController.php:331 - Trying to get property of non-object (errno=8) in /usr/local/opnsense/mvc/app/controllers/OPNsense/Base/ApiControllerBase.php:84
Stack trace:
#0 /usr/local/opnsense/mvc/app/controllers/OPNsense/AcmeClient/Api/SettingsController.php(331): OPNsense\Base\ApiControllerBase->APIErrorHandler(8, 'Trying to get p...', '/usr/local/opns...', 331, Array)
#1 [internal function]: OPNsense\AcmeClient\Api\SettingsController->fetchHAProxyIntegrationAction()
#2 [internal function]: Phalcon\Dispatcher->callActionMethod(Object(OPNsense\AcmeClient\Api\SettingsController), 'fetchHAProxyInt...', Array)
#3 [internal function]: Phalcon\Dispatcher->_dispatch()
#4 [internal function]: Phalcon\Dispatcher->dispatch()
#5 /usr/local/opnsense/www/api.php(26): Phalcon\Mvc\Application->handle()
#6 {main}
[11-Feb-2017 10:17:20 Europe/Zurich] Exception: Error at /usr/local/opnsense/mvc/app/controllers/OPNsense/AcmeClient/Api/SettingsController.php:331 - Trying to get property of non-object (errno=8) in /usr/local/opnsense/mvc/app/controllers/OPNsense/Base/ApiControllerBase.php:84
Stack trace:
#0 /usr/local/opnsense/mvc/app/controllers/OPNsense/AcmeClient/Api/SettingsController.php(331): OPNsense\Base\ApiControllerBase->APIErrorHandler(8, 'Trying to get p...', '/usr/local/opns...', 331, Array)
#1 [internal function]: OPNsense\AcmeClient\Api\SettingsController->fetchHAProxyIntegrationAction()
#2 [internal function]: Phalcon\Dispatcher->callActionMethod(Object(OPNsense\AcmeClient\Api\SettingsController), 'fetchHAProxyInt...', Array)
#3 [internal function]: Phalcon\Dispatcher->_dispatch()
#4 [internal function]: Phalcon\Dispatcher->dispatch()
#5 /usr/local/opnsense/www/api.php(26): Phalcon\Mvc\Application->handle()
#6 {main}
[11-Feb-2017 11:29:31 Europe/Zurich] Exception: Error at /usr/local/opnsense/mvc/app/controllers/OPNsense/AcmeClient/Api/SettingsController.php:331 - Trying to get property of non-object (errno=8) in /usr/local/opnsense/mvc/app/controllers/OPNsense/Base/ApiControllerBase.php:84
Stack trace:
#0 /usr/local/opnsense/mvc/app/controllers/OPNsense/AcmeClient/Api/SettingsController.php(331): OPNsense\Base\ApiControllerBase->APIErrorHandler(8, 'Trying to get p...', '/usr/local/opns...', 331, Array)
#1 [internal function]: OPNsense\AcmeClient\Api\SettingsController->fetchHAProxyIntegrationAction()
#2 [internal function]: Phalcon\Dispatcher->callActionMethod(Object(OPNsense\AcmeClient\Api\SettingsController), 'fetchHAProxyInt...', Array)
#3 [internal function]: Phalcon\Dispatcher->_dispatch()
#4 [internal function]: Phalcon\Dispatcher->dispatch()
#5 /usr/local/opnsense/www/api.php(26): Phalcon\Mvc\Application->handle()
#6 {main}

Vielen Dank für Eure Hilfe!

[franco]

Der Author ist leider in den Ferien in der kommenden Woche soweit ich weiß, aber erst einmal die vorläufigen Dokumentationen:

https://github.com/opnsense/plugins/pull/66 (erste Version von Let's Encrypt)
https://github.com/opnsense/plugins/pull/71 (zweite Version von Let's Encrypt mit HAproxy Integration)


Grüsse
Franco

[pingus]

Danke für die Info. Leider ist mir die Firewall inzwischen abgestürzt nachdem ein dyndns Update gelaufen ist.

Hab die Firewall wieder aus dem produktiven Betrieb genommen und warte mal noch ein paar Updates ab.