Я унаследовал веб-сервер, который использует letsencrypt с certbot. Сначала я думал, что это кажется простым, но запустить certbot-auto Renew не удалось. Затем я сделал certbot-auto certonly --apache, и он отлично загрузил сертификат (который затем снова запускает обновление, и даже говорит, что его новое обновление не требует обновления). Не уверен, что мне не хватает или что мне еще предстоит узнать, но некоторые из сообщений об ошибках: (имена изменены, чтобы защитить невиновных)
Saving debug log to /var/log/letsencrypt/letsencrypt.log
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Processing /etc/letsencrypt/renewal/xyx.someaddress.com-0004.conf
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Cert is due for renewal, auto-renewing...
Plugins selected: Authenticator webroot, Installer None
Renewing an existing certificate
Performing the following challenges:
http-01 challenge for xyx.someaddress.com
Waiting for verification...
Challenge failed for domain xyx.someaddress.com
Cleaning up challenges
Attempting to renew cert (xyx.someaddress.com-0004) from /etc/letsencrypt/renewal/xyx.someaddress.com-0004.conf produced an unexpected error: Some challenges have failed.. Skipping.
All renewal attempts failed. The following certs could not be renewed:
/etc/letsencrypt/live/xyx.someaddress.com-0004/fullchain.pem (failure)
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
IMPORTANT NOTES:
- The following errors were reported by the server:
1 renew failure(s), 0 parse failure(s)
Domain: xyx.someaddress.com
Type: unauthorized
Detail: Invalid response from
https://xyx.someaddress.com/.well-known/acme-challenge/oMvZoCPBM8qZjYcIOlSHs0SLophprew9-c9zASc9d1s
[192.41.211.157]: "<!DOCTYPE HTML PUBLIC \"-//IETF//DTD HTML
2.0//EN\">\n<html><head>\n<title>404 Not
Found</title>\n</head><body>\n<h1>Not Found</h1>\n<p"
To fix these errors, please make sure that your domain name was
entered correctly and the DNS A/AAAA record(s) for that domain
contain(s) the right IP address.
Итак, самое главное - я вижу «исправить эти ошибки», но что это значит, что доменное имя было введено правильно ... где? а DNS A / AAA - правильный IP-адрес? Нет идеи, где я это проверю. В файле conf есть много (опущенных) доменных имен, но он выглядит так:
[renewalparams]
authenticator = webroot
account = ******************
server = https://acme-v02.api.letsencrypt.org/directory
[[webroot_map]]
xyx.someaddress.com = /var/www/html
www.xyx.someaddress.com = /var/www/html
Запуск стандартного certbot-auto с certonly для apache создал новую папку в:
/etc/letsencrypt/live
и в этой папке были последние файлы .pem, поэтому я пошел туда, где единственное место, где я видел, где изменить SSLCertificateFile который был в:
/ etc / httpd / extra / ssl-certs, а также / etc / httpd / extra / ssl-certs-proxy.
Файлы, которые у меня есть, теперь указывают на новое расположение файлов .pem (которые связаны символическими ссылками из живой папки).
Запуск openssl для этих файлов pem кажется, что срок их действия истекает правильно, но когда я иду:
https://www.ssllabs.com/ssltest
вставьте мой сайт, который работает, он говорит, что сертификат был действителен с указанием даты вчера и что срок его действия истек. Я не могу понять, где мой apache настаивает на использовании старых сертификатов. Есть ли кеш, который нужно очистить?
Также следует отметить, /etc/httpd/logs ssl_error_log дает много таких предупреждений:
[Mon Sep 02 06: 43: 22.246692 2019] [ssl: warn] [pid 4478] AH01909: сертификат RSA, настроенный для веб-сервера. Xxx.yyy.zzz: 443 НЕ включает идентификатор, который соответствует имени сервера (не уверен если это актуально)
Я действительно удостоверился, что .well-known / acme-Challenge доступен для записи (просто сделал chmod 777, чтобы он был утроен, чтобы убедиться, что он не останется таким, конечно). Хотя, опять же, у меня есть все новые сертификаты (отказ от возможности продления), и apache по-прежнему их не использует.
Вы проверили этот путь "https://xyx.someaddress.com/.well-known/acme-challenge/"существует и apache / httpd имеет разрешение на этот путь?"
Создайте этот путь и предоставьте разрешение apache / httpd.
https://community.letsencrypt.org/t/renewal-attempts-http01-challenge-failed-for-all-domains/89891