Fehler beim Abruf von Lets Entcrypt Zertifikaten [Self check is unable to access token uri] [GELÖST]

[florianholtgrefe]

Hallo liebe Community,

ich habe ein selbiges / ähnliches Problem wie schon in den beiden Threads beschrieben:
search.php?keywords=+a+lets+encrypt+error
viewtopic.php?f=6&t=8103&p=16753&hilit= ... ror#p16753

Das Abrufen eines Lets Entcrypt schlägt beim Self Check fehl. DNS wird korrekt vom Sever aufgelöst, oder sind hier die DNS Server von Lets Entcrypt entscheiden (Wenn ja: Welche sind dies?). Folgend einmal das Log:

Code: Select all

[12-Jul-2019 19:59:07] DEBUG --> Apache: request for domain "www.safija-holtgrefe.de"
[12-Jul-2019 19:59:07] DEBUG --> Using certificate authority "https://acme-v01.api.letsencrypt.org".
[12-Jul-2019 19:59:07] DEBUG --> Using terms of service "https://letsencrypt.org/documents/LE-SA-v1.2-November-15-2017.pdf".
[12-Jul-2019 19:59:07] DEBUG --> Account already registered. Continue.
[12-Jul-2019 19:59:07] DEBUG --> Start certificate generation process for domains.
[12-Jul-2019 19:59:07] DEBUG --> Request callenge for "www.safija-holtgrefe.de".
[12-Jul-2019 19:59:07] DEBUG --> Sending signed request to "/acme/new-authz".
[12-Jul-2019 19:59:08] DEBUG --> Got challenge token for  "www.safija-holtgrefe.de".
[12-Jul-2019 19:59:08] DEBUG --> Token stored at "/home/keyhelp/www/.well-known/acme-challenge/TxfYzQZiDTku-cXDnkJJzWk-WQP99hOEVSgivazWzhE".
[12-Jul-2019 19:59:08] DEBUG --> Token should be available at "http://www.safija-holtgrefe.de/.well-known/acme-challenge/TxfYzQZiDTku-cXDnkJJzWk-WQP99hOEVSgivazWzhE".
[12-Jul-2019 19:59:08] ERROR --> Apache: a lets encrypt error occurred: Self check is unable to access token uri "http://www.safija-holtgrefe.de/.well-known/acme-challenge/TxfYzQZiDTku-cXDnkJJzWk-WQP99hOEVSgivazWzhE"

Das der Self check an dieser Stelle fehl schlägt kann ich nachvollziehen, da der Token samt Ordnerstruktur nicht auf dem Dateisystem angelegt wird, oder zumindest nicht an der richtigen Stelle (siehe Screenshot). Ich kann leider nur nicht nachvollziehen warum, gibt es hier ggf. ein Log was mir Hinweise dazu geben kann?

Irritierend ist auch, dass der Zeitstempel des Logs zwei Stunden zu früh ist, obwohl die Serverzeit korrekt ist, kann es damit zusammen liegen?

Ich freue mich auf Euer Feedback und wie immer vielen Dank!

[florianholtgrefe]

Hallöchen nochmal,

Logs lesen zu dieser Stunde kann manchmal schwer sein, Fehler gefunden: Er schreibt den Token in folgendes Verzeichnis:

Code: Select all

/home/keyhelp/www/.well-known/acme-challenge/

Dabei müsste er das für den User in folgendes Verzeichnis schreiben:

Code: Select all

/home/users/safijaholtgrefe/www/safijaholtgrefe_wp/.well-known/acme-challenge/

Sprich darauf, worauf auch der vhost zeigt? Das macht er auch, wenn ich die Domain Aufrufe sehe ich meine WP Installation, nur schreibt er den Token (fälschlicherweise) nicht in das Verzeichnis. Warum?

[Enigma]

In der Datei /etc/apache2/conf-available/ wird der Pfad quasi global zur Verfügung gestellt:

Code: Select all

#
# KeyHelp webserver config file for Apache 2.4
#

Alias "/.well-known/acme-challenge" "/home/keyhelp/www/.well-known/acme-challenge"
<Directory "/home/keyhelp/www/.well-known/acme-challenge">
    Require all granted
</Directory>

Der Speicherort ist also korrekt. Nimmst Du irgendeine Art der Umleitung vor, z. B. in einer .htaccess?

Gruß
Jan

[florianholtgrefe]

Hallo,

vielen Dank für deine Rückmeldung! Nein, es handelt sich um einen frischen vhost und es wurden lediglich die WP Dateien hochgeladen. Es war zuvor lediglich die Option "Sichere Verbindung erzwingen" für die Domain in KeyHelp aktiviert.

[Enigma]

Ich kann auf die genannte URL im Browser auch zugreifen, ebenfalls per wget von meinem Server aus. Hast Du es mal per wget von Deinem Server aus versucht, wie auch im von Dir verlinkten Thread beschrieben?

Gruß
Jan

[Tobi]

Irgendetwas stimmt nicht.
Der tracert aus Amerika schlägt fehl.

http://www.slac.stanford.edu/cgi-bin/np ... traceroute

Meiner Erfahrung nach funktioniert LE immer erst dann zu 100% wenn der obige Check aus Stanford korrekte Werte anzeigt.

Überprüfe bitte nochmals deine Nameservereinträge.

[florianholtgrefe]

Fehler gefunden!

Der Server steht bei mir hinter einer Firewall mit einer privaten Adresse. Für den self check braucht er offenbar zur Auflösung die private IP-Adresse und nicht die Öffentliche.

DNS Eintrag in der Firewall hinzugefügt und taaadaaa Zertifikat ist da!

Vielen Dank für Eure Unterstützung!