LetsEncrypt - keine Zugriff logs mehr? [SOLVED]

[Ralph]

Ich habe sehr wahrscheinlich eine LetsEncrypt bzw. Cloudflare IP blockiert, wodurch beim renewal task ein "Timeout during connect (likely firewall problem)" verursacht wird ...
Ich wollte mir die Zugriffe seitens LetsEncrypt als Refernz anschauen, aber in den Logs ist nichts mehr auffindbar, werden die letsencrypt requests nicht mehr logged?

Code: Select all

grep acme-challenge /var/log/apache2/keyhelp/access.log
grep letsenrypt /var/log/apache2/keyhelp/access.log
grep letsdebug /var/log/apache2/keyhelp/access.log
grep letsencrypt /var/log/apache2/keyhelp/other_vhosts_access.log
...

nmap -p80,443 my.hostname.tld
PORT STATE SERVICE
80/tcp open http
443/tcp open https

PING4/6 wird beantwortet:
acme-v02.api.letsencrypt.org
172.65.32.248
2606:4700:60:0:f53d:5624:85c7:3a2c

prod.api.letsencrypt.org
172.65.32.248
2606:4700:60:0:f53d:5624:85c7:3a2c

ca80a1adb12a4fbdac5ffcbc944e9a61.pacloudflare.com
172.65.32.248
2606:4700:60:0:f53d:5624:85c7:3a2c

letsdebug.net
65.21.146.168
2a01:4f9:c012:ccd0::1

Die o.g. IPs sind auch alle whitelisted ... vermutlich ist hier eine Cloudflare oder AWS IP in dem Zusammenhang blockiert.

[Ralph]

OK, habe passende Referenzen vorhin in einem älteren Snapshot gefunden .. im ipset gelöscht und LE renewal klappt wieder.

Code: Select all

2600:3000:2710:200::85
2600:3000:2710:200::81
2600:3000:2710:200::83
2600:3000:2710:200::86
2600:3000:2710:200::82
2600:3000:2710:200::87

aber ohne die älteren v.26.0 Logs, wäre es kaum möglich gewesen, diese zu finden ...

[Tobi]

Ralph, du sperrst die IP per Firewall aus und wunderst dich, dass sie dann nicht mehr in den Apache Logs auftaucht?

Hab ich da was falsch verstanden?

[Ralph]

Ralph, du sperrst die IP per Firewall aus und wunderst dich, dass sie dann nicht mehr in den Apache Logs auftaucht?

Hab ich da was falsch verstanden?

Hallo Tobi, ich vermute bei v26.1 wird ein renewal und auch ein anlegen von LE certs nicht mehr geloggt auf Apache Basis (mit IP Adresse).
In den KH Logs erscheinen nur die Meldungenob erfolgreich odedr nicht, aber die request IPs sind verschwunden ...

[Ralph]

Ralph, du sperrst die IP per Firewall aus und wunderst dich, dass sie dann nicht mehr in den Apache Logs auftaucht?

Stimmt Tobi, mein Fehler
Ich hatte auf anderen Systemen gesucht und nichts mehr finden können, woi diese IP Adressen nicht blockiert waren ... die Tasks waren dort allerdings seit einiger Zeit bereits abgearbeitet und ich bin wohl wieder mal zu früh in Panik geraten ... es wird wird also weiterhin logged und ich nehme hiermit offiziell meine dubiose Vermutung zurück.

Code: Select all

grep acme-challenge /var/log/apache2/keyhelp/access.log

Es geht um diese LE validation u. letsdebug IPs z.b.
(compatible; Let's Encrypt validation server; +https://www.letsencrypt.org)
Deren IP Adressen bzw. ASN sind sehr unterschiedlich (rotieren), jedenfalls sind die o.g. IPs aufgrund von .env Scans hier vor einiger Zeit blockiert worden, vermutlich wurden die IP Adressen von LE kürzlich erst übernommen (oder externe Dienstleister sind im Spiel) ... aber auch andere Services in Bezug auf LE checks z.b. über AWS sind häufig auf Blacklists zu finden ... ungewollte blockings in Verbindung mit LE Services können auftreten.

[Tobi]

Ralph