Разработчикам

Ошибка при обновлении Let's encrypt сертификата

RSS

Пользователь 6637298

Заглянувший

Сообщений: 8 Регистрация: 06.12.2022

06.12.2022 11:48:01

При запросе обновления сертификата возникает ошибка:

# INFO: Using main config file /home/bitrix/dehydrated/config
Processing my.domen
+ Checking expire date of existing cert...
+ Valid till Dec 1 22:00:27 2022 GMT (Less than 20 days). Renewing!
+ Signing domains...
+ Generating private key...
+ Generating signing request...
+ Requesting new certificate order from CA...
+ Received 1 authorizations URLs from the CA
+ Handling authorization for my.domen
+ 1 pending challenge(s)
+ Deploying challenge tokens...
+ Responding to challenge for my.domen authorization...
+ Cleaning challenge tokens...
+ Challenge validation has failed

ERROR: Challenge is invalid! (returned: invalid) (result: ["type"] "http-01"
["status"] "invalid"
["error","type"] "urn:ietf:params:acme:error:unauthorized"
["error","detail"] "275:6578:1::5c445:4569" Invalid response from https://my.domen/.well-known/acme-challenge/dUzivMQcUJ15ZYDobejVQcFroztd_YYh9Z2wd77p...: 404"
["error","status"] 403
["error"] {"type":"urn:ietf:params:acme:error:unauthorized","detail":"275:6578:1::5c445:4569: Invalid response from https://my.domen/.well-known/acme-challenge/dUziv$
["url"] "https://acme-v02.api.letsencrypt.org/acme/chall-v3/184523880117/oY249A";
["token"] "dassdhgfhDobsdfoztd_YYh9Z2wfghmo"
["validationRecord",0,"url"] "http://my.domen/.well-known/acme-challenge/dUzivMQcUJgfhobejVQcFroztd_YYh9Z2wd77pP...;
["validationRecord",0,"hostname"] my.domen
["validationRecord",0,"port"] "80"
["validationRecord",0,"addressesResolved",0] "*.*.*.*"
["validationRecord",0,"addressesResolved",1] "275:6578:1::5c445:4569"
["validationRecord",0,"addressesResolved"] [ "*.*.*.*","275:6578:1::5c445:4569"]
["validationRecord",0,"addressUsed"] "275:6578:1::5c445:4569"
["validationRecord",0] {"url":"http://my.domen/.well-known/acme-challenge/dUzivMQcUJfhodfhVQcFroztd_YYh9Z2wd77pP...$
["validationRecord",1,"url"] "https://my.domen.well-known/acme-challenge/dUzivMQcUJ1hfghfejVQcFroztd_YYh9Z2wd77p...;
["validationRecord",1,"hostname"] my.domen
["validationRecord",1,"port"] "443"
["validationRecord",1,"addressesResolved",0] "*.*.*.*"
["validationRecord",1,"addressesResolved",1] "275:6578:1::5c445:4569"
["validationRecord",1,"addressesResolved"] [" "*.*.*.*","275:6578:1::5c445:4569"]
["validationRecord",1,"addressUsed"] "275:6578:1::5c445:4569"
["validationRecord",1] {"url":"https://my.domen/.well-known/acme-challenge/dUzivMQcUJ15ZYDobejfhztd_YYh9Z2wd77p...$
https://my.domen/.well-known/acme-challenge/dUzivMQcUJ15gfhhfghfhvnroztd_YYh9Z2wd77p... [{"url":"http://my.domen/.well-known/acme-c$
["validated"] "2022-12-06T07:03:22Z")

Порт 80 открыт.
Выполняю через Manage pool web servers
Так и командой /home/bitrix/dehydrated/dehydrated -c . Причем ранее сертификаты обновлялись нормально. Помогите пожалуйста разобраться.

Пользователь 1329903 Эксперт Сообщений: 308 Баллов: 73 Регистрация: 15.08.2017	#2 06.12.2022 11:53:26 В логе ipv6-адрес. Убедитесь, что в днс корректная АААА-запись.

Пользователь 6637298 Заглянувший Сообщений: 8 Регистрация: 06.12.2022	#3 06.12.2022 16:50:58 Запись АААА, корректна.

Пользователь 1329903

Эксперт

Сообщений: 308 Баллов: 73 Регистрация: 15.08.2017

06.12.2022 17:15:03

Код
["error","status"] 403

Попробуйте создать .well-known/acme-challenge/dUzivMQcUJfhodfhVQcFroztd_YYh9Z2wd77pP вручную и открыть в браузере.
Если тоже ошибка 403, то смотреть в конфигах nginx в чём причина.

Также в логе nginx можно поискать ip с которых идут обращения от let's encrypt и убедиться, что эти ip не заблокированы в nginx / fail2ban / bitrix или ещё где.

Также можно попробовать сменить dehydrated на acme.sh или certbot

Пользователь 6637298 Заглянувший Сообщений: 8 Регистрация: 06.12.2022	#5 06.12.2022 17:24:59 Правильно ли я понял: "https://my.domen.well-known/acme-challenge/dUzivMQcUJ1hfghfejVQcFroztd_YYh9Z2wd77p ?

Пользователь 1329903

Эксперт

Сообщений: 308 Баллов: 73 Регистрация: 15.08.2017

06.12.2022 17:28:23

Цитата
Денис М написал: Правильно ли я понял: " https:// my.domen .well-known/acme-challenge/dUzivMQcUJ1hfghfejVQcFroztd_YYh9Z2wd77p ?

Верно. Видны сразу две проблемы.
У вас просрочен сертификат, при этом есть редирект в http на https
При попытке запросить указанный файл, выводится базовая авторизация (требуются логин/пароль) — это причина ошибки 403.

Пользователь 6637298 Заглянувший Сообщений: 8 Регистрация: 06.12.2022	#7 06.12.2022 17:31:08 Создал, перехожу, запрашивает логин и пароль. Авторизуюсь под админом

Пользователь 6637298 Заглянувший Сообщений: 8 Регистрация: 06.12.2022	#8 06.12.2022 17:31:32 логин и пароль, должен запрашивать?

Пользователь 1329903

Эксперт

Сообщений: 308 Баллов: 73 Регистрация: 15.08.2017

06.12.2022 17:40:00

Цитата
Денис М написал: логин и пароль, должен запрашивать?

Нет конечно
Вы директорию .well-known/acme-challenge/ создали в /var/www/dehydrated ?
Если у вас сертификат создан через меню bitrix-env, то директория указана в nginx в letsencrypt-challenge-tokens.conf

Пользователь 6637298

Заглянувший

Сообщений: 8 Регистрация: 06.12.2022

#10

07.12.2022 11:23:32

Цитата
написал: Вы директорию .well-known/acme-challenge/ создали в /var/www/dehydrated ?

Да.

Цитата
написал: Если у вас сертификат создан через меню bitrix-env

Да, запрашивал сертификат через меню bitrix-env.

В файле конфигурации nginx нет такого letsencrypt-challenge-tokens.conf. Или я не туда смотрю (/etc/nginx/nginx.conf)?

Пользователь 1329903

Эксперт

Сообщений: 308 Баллов: 73 Регистрация: 15.08.2017

#11

07.12.2022 12:32:42

Цитата
Денис М написал: нет такого letsencrypt-challenge-tokens.conf.

Смотреть нужно в конфигурацию сайта, например /etc/nginx/bx/site_enabled/ssl.s1.conf

Код
# Include parameters common to all websites include bx/conf/letsencrypt-challenge-tokens.conf;

Код
>cat /etc/nginx/bx/conf/letsencrypt-challenge-tokens.conf location /.well-known/acme-challenge { alias /var/www/dehydrated; default_type "text/plain"; }

Попробуйте дописать allow all; auth_basic off;

Код
location /.well-known/acme-challenge { alias /var/www/dehydrated; default_type "text/plain"; allow all; auth_basic off; }

Изучите весь конфиг, чтобы найти откуда возникает базовая авторизация в вашем случае.
Под все конфигом подразумевается вся директория /etc/nginx/

Пользователь 6637298

Заглянувший

Сообщений: 8 Регистрация: 06.12.2022

#12

07.12.2022 13:26:28

Дописал allow all; auth_basic off; перезапустил nginx, но все то же самое.

+ Challenge validation has failed

ERROR: Challenge is invalid! (returned: invalid) (result: ["type"] "http-01"
["status"] "invalid"
["error","type"] "urn:ietf:params:acme:error:unauthorized"
["error","detail"] "2a03:6f00:1::5c35:6029: Invalid response from https://dch-bit24.berkut-pcn.com/.well-known/acme-challenge/vUVxQvuypyRuj9RrVo36P5oiMefPiJBn1KUVjx0G...: 404"
["error","status"] 403

Пользователь 1329903

Эксперт

Сообщений: 308 Баллов: 73 Регистрация: 15.08.2017

#13

07.12.2022 13:32:31

В ответе сервера видно:

Код
www-authenticate: Basic realm="Bitrix CalDAV/CardDAV/GroupDAV server" x-dav-powered-by: Bitrix CalDAV/CardDAV/GroupDAV server

Видимо запрос передаётся в битрикс, а не отдаётся напрямую через nginx, как должно быть.
Возможно проблема в порядке подключаемых локаций.
Документация может в этом помочь.
https://nginx.org/ru/docs/http/ngx_http_core_module.html#location

Пользователь 6637298 Заглянувший Сообщений: 8 Регистрация: 06.12.2022	#14 07.12.2022 13:36:59 Предыдущие сертификаты получались нормально. и сам битрикс не обновлялся.

Пользователь 1329903

Эксперт

Сообщений: 308 Баллов: 73 Регистрация: 15.08.2017

#15

07.12.2022 13:57:52

Попробуйте добавить ^~

Код
location ^~ /.well-known/acme-challenge/ { alias /var/www/dehydrated; default_type "text/plain"; allow all; auth_basic off; }

Не пользуюсь меню для сертификатов, так что ничего больше не смогу придумать.

Ошибка при обновлении Let's encrypt сертификата

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером