LE cert renewal - JWS has an invalid anti-replay nonce

For topics beyond KeyHelp. / Für Themen jenseits von KeyHelp.
Post Reply
User avatar
Ralph
Posts: 1340
Joined: Mon 30. Mar 2020, 16:14

LE cert renewal - JWS has an invalid anti-replay nonce

Post by Ralph »

kennt das jemand?

Code: Select all

Failed to aquire a Let's Encrypt certificate for domain.tld.
Verification ended with an error.
Details: JWS has an invalid anti-replay nonce: "WDMSYcqSZ-TIMTlMntC5ON5qd0w3vUOAX2inr3wTWNqvjfsrUyA"
Type: urn:ietf:params:acme:error:badNonce
Full response: {"type":"urn:ietf:params:acme:error:badNonce","detail":"JWS has an invalid anti-replay nonce: \"WDMSYcqSZ-TIMTlMntC5ON5qd0w3vUOAX2inr3wTWNqvjfsrUyA\"","status":400}
das cert ist noch gültig bis 23. Juli, im event log zeigt KH einen Fehler ...
könnte es sein das der renewal Task (versuch) zu früh ausgeführt wurde?

Code: Select all

Allgemeiner Name (CN)	R3
Organisation (O)	Let's Encrypt
Organisationseinheit (OU)	<Gehört nicht zum Zertifikat>
Ausgestellt am	Mittwoch, 24. April 2024 um 10:41:15
Gültig bis	Dienstag, 23. Juli 2024 um 10:41:14
Zertifikat	559d1f68311419cd89b316ff6a9aba09035a20e0765592186349cb1e4ea799da
Öffentlicher Schlüssel	c940bd781118cc13541a7f5ce583b591213dc21e74c25cd6a8e7038664cb7e2c
User avatar
Jolinar
Community Moderator
Posts: 4112
Joined: Sat 30. Jan 2016, 07:11
Location: Weimar (Thüringen)
Contact:

Re: LE cert renewal - JWS has an invalid anti-replay nonce

Post by Jolinar »

Code: Select all

JWS has an invalid anti-replay nonce: "WDMSYcqSZ-TIMTlMntC5ON5qd0w3vUOAX2inr3wTWNqvjfsrUyA"
Der Nonce wurde schon einmal verwendet, deswegen der Fehler.
Möglicherweise dauerte die Anfrage bei LE auch zu lange und wurde deswegen abgebrochen.

Was passiert, wenn du den Cert Cron manuell anschubst (normalerweise sollte der Nonce dann neu erstellt werden)?
Wenn jemand inkompetent ist, dann kann er nicht wissen, daß er inkompetent ist. (David Dunning)

Data Collector für Community Support
___
Ich verwende zwei verschiedene Schriftfarben in meinen Beiträgen /
I use two different font colors in my posts:
  • In dieser Farbe schreibe ich als Moderator und gebe moderative Hinweise oder begründe moderative Eingriffe /
    In this color, I write as a moderator and provide moderative guidance or justify moderative interventions
  • In dieser Farbe schreibe ich als Community Mitglied und teile meine private Meinung und persönlichen Ansichten mit /
    In this color, I write as a community member and share my personal opinions and views
User avatar
24unix
Posts: 2083
Joined: Sun 21. Jun 2020, 17:16
Location: Kollmar
Contact:

Re: LE cert renewal - JWS has an invalid anti-replay nonce

Post by 24unix »

Die Nonce hat eine sehr begrenzte Lebensdauer, aber sollte schon lange genug gültig sein.

Der erste Treffer bei Google führt zu einem Thread, beim dem die ein Problem bei den IPv6 Adressen vermuten.

Bei Dir gehe ich einfach mal davon aus, dass Du bei einem Server keine Privacy Extensions verwendest.

Auf jeden Fall wird aber die IP zur Generierung der Nonce herangezogen.

Benutzt Du EUI-64 oder SLAAC zur Konfig der Adressen?
Cheers Micha
--
A backend dev walks into a bar, orders 1 beer.
Then orders 100 beers.
Then orders -1 beers.
Then orders “a lizard”.
Then explodes.

The bartender says: “You really should validate your input.”
User avatar
Ralph
Posts: 1340
Joined: Mon 30. Mar 2020, 16:14

Re: LE cert renewal - JWS has an invalid anti-replay nonce

Post by Ralph »

beim manuellen ausführen des Tasks erscheint keine Fehlermeldung mehr

Code: Select all

Maintenance task ssl-maintenance (#8) triggered.
SNI configuration updated.
Habe das bisher noch nie auf einem KH System gesehen, läuft ja schon einige Zeit auch mit IP6 ...
Ich tippe auch eher auf ein kurzfristiges Verbindungsproblem Seitens LE

----
P.S.
Momantan ist aber auch fast überall der Wurm drin :lol:
Ubuntu kommt mir nuh auch nicht mehr in die Tüte, schon gelesen?
https://bugs.launchpad.net/ubuntu/+sour ... ug/2055114

https://support.plesk.com/hc/en-us/arti ... d-asynchat
User avatar
24unix
Posts: 2083
Joined: Sun 21. Jun 2020, 17:16
Location: Kollmar
Contact:

Re: LE cert renewal - JWS has an invalid anti-replay nonce

Post by 24unix »

Ralph wrote: Mon 24. Jun 2024, 19:32 beim manuellen ausführen des Tasks erscheint keine Fehlermeldung mehr

Code: Select all

Maintenance task ssl-maintenance (#8) triggered.
SNI configuration updated.
Habe das bisher noch nie auf einem KH System gesehen, läuft ja schon einige Zeit auch mit IP6 ...
Ich tippe auch eher auf ein kurzfristiges Verbindungsproblem Seitens LE

----
P.S.
Momantan ist aber auch fast überall der Wurm drin :lol:
Ubuntu kommt mir nuh auch nicht mehr in die Tüte, schon gelesen?
https://bugs.launchpad.net/ubuntu/+sour ... ug/2055114

https://support.plesk.com/hc/en-us/arti ... d-asynchat
Ich wüsste eh keinen Grund, warum man Ubuntu nehmen sollte, ausser man nutzt es auf dem Desktop auch.

Ich habe es auf einer Kiste, weil ich MySQL brauche, und es dafür keine Arm64 Pakete bei Debian gibt.

Root reparieren, snapd löschen, und es ist wie ein normales Debian :-)
Cheers Micha
--
A backend dev walks into a bar, orders 1 beer.
Then orders 100 beers.
Then orders -1 beers.
Then orders “a lizard”.
Then explodes.

The bartender says: “You really should validate your input.”
User avatar
Jolinar
Community Moderator
Posts: 4112
Joined: Sat 30. Jan 2016, 07:11
Location: Weimar (Thüringen)
Contact:

Re: LE cert renewal - JWS has an invalid anti-replay nonce

Post by Jolinar »

Ralph wrote: Mon 24. Jun 2024, 19:32 Ubuntu kommt mir nuh auch nicht mehr in die Tüte
Jaja...ich weiß schon, warum ich damit nix zu tun haben will (auch wenn meine Beweggründe eher mit Canonical selbst zu tun haben^^).
Aber schön, daß du lernfähig bist :lol: :lol: :lol:
Wenn jemand inkompetent ist, dann kann er nicht wissen, daß er inkompetent ist. (David Dunning)

Data Collector für Community Support
___
Ich verwende zwei verschiedene Schriftfarben in meinen Beiträgen /
I use two different font colors in my posts:
  • In dieser Farbe schreibe ich als Moderator und gebe moderative Hinweise oder begründe moderative Eingriffe /
    In this color, I write as a moderator and provide moderative guidance or justify moderative interventions
  • In dieser Farbe schreibe ich als Community Mitglied und teile meine private Meinung und persönlichen Ansichten mit /
    In this color, I write as a community member and share my personal opinions and views
User avatar
Ralph
Posts: 1340
Joined: Mon 30. Mar 2020, 16:14

Re: LE cert renewal - JWS has an invalid anti-replay nonce

Post by Ralph »

Ich sehe das genau so, furchtbar ... da lässt man besser ganz die Finger weg :mrgreen:
Ein Kundenwunsch sollte damit erfüllt werden ...
User avatar
Jolinar
Community Moderator
Posts: 4112
Joined: Sat 30. Jan 2016, 07:11
Location: Weimar (Thüringen)
Contact:

Re: LE cert renewal - JWS has an invalid anti-replay nonce

Post by Jolinar »

Ralph wrote: Mon 24. Jun 2024, 19:46 Ein Kundenwunsch sollte damit erfüllt werden ...
Verwende Debian und fälsche die Ausgabe bei der Abfrage des OS :lol: :lol: :lol:

24unix wrote: Mon 24. Jun 2024, 19:38 Ich habe es auf einer Kiste, weil ich MySQL brauche, und es dafür keine Arm64 Pakete bei Debian gibt.
Warum nimmst du nicht trotzdem Debian und ziehst dir das MySQL Paket aus einem Ubuntu Repo?
Wenn jemand inkompetent ist, dann kann er nicht wissen, daß er inkompetent ist. (David Dunning)

Data Collector für Community Support
___
Ich verwende zwei verschiedene Schriftfarben in meinen Beiträgen /
I use two different font colors in my posts:
  • In dieser Farbe schreibe ich als Moderator und gebe moderative Hinweise oder begründe moderative Eingriffe /
    In this color, I write as a moderator and provide moderative guidance or justify moderative interventions
  • In dieser Farbe schreibe ich als Community Mitglied und teile meine private Meinung und persönlichen Ansichten mit /
    In this color, I write as a community member and share my personal opinions and views
User avatar
Ralph
Posts: 1340
Joined: Mon 30. Mar 2020, 16:14

Re: LE cert renewal - JWS has an invalid anti-replay nonce

Post by Ralph »

Jolinar wrote: Mon 24. Jun 2024, 19:48 Warum nimmst du nicht trotzdem Debian und ziehst dir das MySQL Paket aus einem Ubuntu Repo?
Genau, werde ich dem Herrn dann mal mit Nachdruck vorschlagen :mrgreen:
So ein Gefummel via PIP und später passt wieder nichts richtig zusammen ...

Die Releases werden derweil auf Teufel komm raus viel zu früh als stable rausgehauen ohne vorher mal ordentlich zu testen
Jetz hab ich mich aber wieder in Rage geredet ... :lol: :lol: :lol:
User avatar
24unix
Posts: 2083
Joined: Sun 21. Jun 2020, 17:16
Location: Kollmar
Contact:

Re: LE cert renewal - JWS has an invalid anti-replay nonce

Post by 24unix »

Jolinar wrote: Mon 24. Jun 2024, 19:48
Ralph wrote: Mon 24. Jun 2024, 19:46 Ein Kundenwunsch sollte damit erfüllt werden ...
Verwende Debian und fälsche die Ausgabe bei der Abfrage des OS :lol: :lol: :lol:

24unix wrote: Mon 24. Jun 2024, 19:38 Ich habe es auf einer Kiste, weil ich MySQL brauche, und es dafür keine Arm64 Pakete bei Debian gibt.
Warum nimmst du nicht trotzdem Debian und ziehst dir das MySQL Paket aus einem Ubuntu Repo?
Ja, warum mache ich das nicht?

Code: Select all

❯ ldd /usr/sbin/mysqld
	linux-vdso.so.1 (0x00007fff6f5b8000)
	libpcre2-8.so.0 => /lib/x86_64-linux-gnu/libpcre2-8.so.0 (0x00007f9099566000)
	libcrypt.so.1 => /lib/x86_64-linux-gnu/libcrypt.so.1 (0x00007f909b7b1000)
	liburing.so.2 => /lib/x86_64-linux-gnu/liburing.so.2 (0x00007f909b7aa000)
	libpmem.so.1 => /lib/x86_64-linux-gnu/libpmem.so.1 (0x00007f9099511000)
	libnuma.so.1 => /lib/x86_64-linux-gnu/libnuma.so.1 (0x00007f909b79d000)
	libsystemd.so.0 => /lib/x86_64-linux-gnu/libsystemd.so.0 (0x00007f9099441000)
	libz.so.1 => /lib/x86_64-linux-gnu/libz.so.1 (0x00007f909b77c000)
	libssl.so.3 => /lib/x86_64-linux-gnu/libssl.so.3 (0x00007f9099397000)
	libcrypto.so.3 => /lib/x86_64-linux-gnu/libcrypto.so.3 (0x00007f9098e00000)
	libstdc++.so.6 => /lib/x86_64-linux-gnu/libstdc++.so.6 (0x00007f9098a00000)
	libm.so.6 => /lib/x86_64-linux-gnu/libm.so.6 (0x00007f90992b8000)
	libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f9098c1f000)
	/lib64/ld-linux-x86-64.so.2 (0x00007f909b7f8000)
	libndctl.so.6 => /lib/x86_64-linux-gnu/libndctl.so.6 (0x00007f909928c000)
	libdaxctl.so.1 => /lib/x86_64-linux-gnu/libdaxctl.so.1 (0x00007f90989f3000)
	libcap.so.2 => /lib/x86_64-linux-gnu/libcap.so.2 (0x00007f90989e7000)
	libgcrypt.so.20 => /lib/x86_64-linux-gnu/libgcrypt.so.20 (0x00007f90988a0000)
	liblzma.so.5 => /lib/x86_64-linux-gnu/liblzma.so.5 (0x00007f9098871000)
	libzstd.so.1 => /lib/x86_64-linux-gnu/libzstd.so.1 (0x00007f90987b5000)
	liblz4.so.1 => /lib/x86_64-linux-gnu/liblz4.so.1 (0x00007f909878f000)
	libgcc_s.so.1 => /lib/x86_64-linux-gnu/libgcc_s.so.1 (0x00007f909876f000)
	libudev.so.1 => /lib/x86_64-linux-gnu/libudev.so.1 (0x00007f9098741000)
	libuuid.so.1 => /lib/x86_64-linux-gnu/libuuid.so.1 (0x00007f9099282000)
	libkmod.so.2 => /lib/x86_64-linux-gnu/libkmod.so.2 (0x00007f9098724000)
	libgpg-error.so.0 => /lib/x86_64-linux-gnu/libgpg-error.so.0 (0x00007f90986fc000)

Code: Select all

❯ ldd /usr/sbin/mysqld
	linux-vdso.so.1 (0x0000e5249fef9000)
	libicuuc.so.74 => /lib/aarch64-linux-gnu/libicuuc.so.74 (0x0000e5249c200000)
	libicui18n.so.74 => /lib/aarch64-linux-gnu/libicui18n.so.74 (0x0000e5249be00000)
	libevent_core-2.1.so.7 => /lib/aarch64-linux-gnu/libevent_core-2.1.so.7 (0x0000e5249c5a0000)
	libevent_pthreads-2.1.so.7 => /lib/aarch64-linux-gnu/libevent_pthreads-2.1.so.7 (0x0000e5249c570000)
	libssl.so.3 => /lib/aarch64-linux-gnu/libssl.so.3 (0x0000e5249c4a0000)
	libcrypto.so.3 => /lib/aarch64-linux-gnu/libcrypto.so.3 (0x0000e5249b800000)
	libzstd.so.1 => /lib/aarch64-linux-gnu/libzstd.so.1 (0x0000e5249bd40000)
	libprotobuf-lite.so.32 => /lib/aarch64-linux-gnu/libprotobuf-lite.so.32 (0x0000e5249b710000)
	libz.so.1 => /lib/aarch64-linux-gnu/libz.so.1 (0x0000e5249c460000)
	liblz4.so.1 => /lib/aarch64-linux-gnu/liblz4.so.1 (0x0000e5249c1c0000)
	libaio.so.1t64 => /lib/aarch64-linux-gnu/libaio.so.1t64 (0x0000e5249c190000)
	libnuma.so.1 => /lib/aarch64-linux-gnu/libnuma.so.1 (0x0000e5249bd10000)
	libstdc++.so.6 => /lib/aarch64-linux-gnu/libstdc++.so.6 (0x0000e5249b400000)
	libm.so.6 => /lib/aarch64-linux-gnu/libm.so.6 (0x0000e5249b350000)
	libgcc_s.so.1 => /lib/aarch64-linux-gnu/libgcc_s.so.1 (0x0000e5249bcd0000)
	libc.so.6 => /lib/aarch64-linux-gnu/libc.so.6 (0x0000e5249b190000)
	/lib/ld-linux-aarch64.so.1 (0x0000e5249febc000)
	libicudata.so.74 => /lib/aarch64-linux-gnu/libicudata.so.74 (0x0000e52499400000)

Code: Select all

❯ diff debian.txt ubuntu.txt
2,27c2,20
< 	linux-vdso.so.1 (0x00007fff6f5b8000)
< 	libpcre2-8.so.0 => /lib/x86_64-linux-gnu/libpcre2-8.so.0 (0x00007f9099566000)
< 	libcrypt.so.1 => /lib/x86_64-linux-gnu/libcrypt.so.1 (0x00007f909b7b1000)
< 	liburing.so.2 => /lib/x86_64-linux-gnu/liburing.so.2 (0x00007f909b7aa000)
< 	libpmem.so.1 => /lib/x86_64-linux-gnu/libpmem.so.1 (0x00007f9099511000)
< 	libnuma.so.1 => /lib/x86_64-linux-gnu/libnuma.so.1 (0x00007f909b79d000)
< 	libsystemd.so.0 => /lib/x86_64-linux-gnu/libsystemd.so.0 (0x00007f9099441000)
< 	libz.so.1 => /lib/x86_64-linux-gnu/libz.so.1 (0x00007f909b77c000)
< 	libssl.so.3 => /lib/x86_64-linux-gnu/libssl.so.3 (0x00007f9099397000)
< 	libcrypto.so.3 => /lib/x86_64-linux-gnu/libcrypto.so.3 (0x00007f9098e00000)
< 	libstdc++.so.6 => /lib/x86_64-linux-gnu/libstdc++.so.6 (0x00007f9098a00000)
< 	libm.so.6 => /lib/x86_64-linux-gnu/libm.so.6 (0x00007f90992b8000)
< 	libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f9098c1f000)
< 	/lib64/ld-linux-x86-64.so.2 (0x00007f909b7f8000)
< 	libndctl.so.6 => /lib/x86_64-linux-gnu/libndctl.so.6 (0x00007f909928c000)
< 	libdaxctl.so.1 => /lib/x86_64-linux-gnu/libdaxctl.so.1 (0x00007f90989f3000)
< 	libcap.so.2 => /lib/x86_64-linux-gnu/libcap.so.2 (0x00007f90989e7000)
< 	libgcrypt.so.20 => /lib/x86_64-linux-gnu/libgcrypt.so.20 (0x00007f90988a0000)
< 	liblzma.so.5 => /lib/x86_64-linux-gnu/liblzma.so.5 (0x00007f9098871000)
< 	libzstd.so.1 => /lib/x86_64-linux-gnu/libzstd.so.1 (0x00007f90987b5000)
< 	liblz4.so.1 => /lib/x86_64-linux-gnu/liblz4.so.1 (0x00007f909878f000)
< 	libgcc_s.so.1 => /lib/x86_64-linux-gnu/libgcc_s.so.1 (0x00007f909876f000)
< 	libudev.so.1 => /lib/x86_64-linux-gnu/libudev.so.1 (0x00007f9098741000)
< 	libuuid.so.1 => /lib/x86_64-linux-gnu/libuuid.so.1 (0x00007f9099282000)
< 	libkmod.so.2 => /lib/x86_64-linux-gnu/libkmod.so.2 (0x00007f9098724000)
< 	libgpg-error.so.0 => /lib/x86_64-linux-gnu/libgpg-error.so.0 (0x00007f90986fc000)
---
> 	linux-vdso.so.1 (0x0000e5249fef9000)
> 	libicuuc.so.74 => /lib/aarch64-linux-gnu/libicuuc.so.74 (0x0000e5249c200000)
> 	libicui18n.so.74 => /lib/aarch64-linux-gnu/libicui18n.so.74 (0x0000e5249be00000)
> 	libevent_core-2.1.so.7 => /lib/aarch64-linux-gnu/libevent_core-2.1.so.7 (0x0000e5249c5a0000)
> 	libevent_pthreads-2.1.so.7 => /lib/aarch64-linux-gnu/libevent_pthreads-2.1.so.7 (0x0000e5249c570000)
> 	libssl.so.3 => /lib/aarch64-linux-gnu/libssl.so.3 (0x0000e5249c4a0000)
> 	libcrypto.so.3 => /lib/aarch64-linux-gnu/libcrypto.so.3 (0x0000e5249b800000)
> 	libzstd.so.1 => /lib/aarch64-linux-gnu/libzstd.so.1 (0x0000e5249bd40000)
> 	libprotobuf-lite.so.32 => /lib/aarch64-linux-gnu/libprotobuf-lite.so.32 (0x0000e5249b710000)
> 	libz.so.1 => /lib/aarch64-linux-gnu/libz.so.1 (0x0000e5249c460000)
> 	liblz4.so.1 => /lib/aarch64-linux-gnu/liblz4.so.1 (0x0000e5249c1c0000)
> 	libaio.so.1t64 => /lib/aarch64-linux-gnu/libaio.so.1t64 (0x0000e5249c190000)
> 	libnuma.so.1 => /lib/aarch64-linux-gnu/libnuma.so.1 (0x0000e5249bd10000)
> 	libstdc++.so.6 => /lib/aarch64-linux-gnu/libstdc++.so.6 (0x0000e5249b400000)
> 	libm.so.6 => /lib/aarch64-linux-gnu/libm.so.6 (0x0000e5249b350000)
> 	libgcc_s.so.1 => /lib/aarch64-linux-gnu/libgcc_s.so.1 (0x0000e5249bcd0000)
> 	libc.so.6 => /lib/aarch64-linux-gnu/libc.so.6 (0x0000e5249b190000)
> 	/lib/ld-linux-aarch64.so.1 (0x0000e5249febc000)
> 	libicudata.so.74 => /lib/aarch64-linux-gnu/libicudata.so.74 (0x0000e52499400000)

Da sie unterschiedliche Versionen releasen wird das nicht "so eben" mal was, das habe ich lieber diese Laus im Pelz.
Cheers Micha
--
A backend dev walks into a bar, orders 1 beer.
Then orders 100 beers.
Then orders -1 beers.
Then orders “a lizard”.
Then explodes.

The bartender says: “You really should validate your input.”
User avatar
Jolinar
Community Moderator
Posts: 4112
Joined: Sat 30. Jan 2016, 07:11
Location: Weimar (Thüringen)
Contact:

Re: LE cert renewal - JWS has an invalid anti-replay nonce

Post by Jolinar »

Und das ist der Grund, warum ich mich von ARM (im Moment noch) fernhalte...Alles noch nicht wirklich ausgereift :lol:
Wenn jemand inkompetent ist, dann kann er nicht wissen, daß er inkompetent ist. (David Dunning)

Data Collector für Community Support
___
Ich verwende zwei verschiedene Schriftfarben in meinen Beiträgen /
I use two different font colors in my posts:
  • In dieser Farbe schreibe ich als Moderator und gebe moderative Hinweise oder begründe moderative Eingriffe /
    In this color, I write as a moderator and provide moderative guidance or justify moderative interventions
  • In dieser Farbe schreibe ich als Community Mitglied und teile meine private Meinung und persönlichen Ansichten mit /
    In this color, I write as a community member and share my personal opinions and views
User avatar
24unix
Posts: 2083
Joined: Sun 21. Jun 2020, 17:16
Location: Kollmar
Contact:

Re: LE cert renewal - JWS has an invalid anti-replay nonce

Post by 24unix »

Jolinar wrote: Mon 24. Jun 2024, 20:18 Und das ist der Grund, warum ich mich von ARM (im Moment noch) fernhalte...Alles noch nicht wirklich ausgereift :lol:
Merkwürdige Schlussfolgerung.

Den Raspi gibt es seit 2012.

Debian funktioniert einwandfrei auf dem RasPi, einzig, Oracle hat keine aarm64 binaries für MySQL.

Und wir haben exakt eine Query, die verhindert, MariaDb zu nutzen.

Code: Select all

This is caused by one SQL-Query:
Debian Bullseye, MariaDB server 10.5
[..]
1 row in set (5 min 15.626 sec)

Ubuntu Focal Fossa:
[..}
1 row in set (0.02 sec)
Cheers Micha
--
A backend dev walks into a bar, orders 1 beer.
Then orders 100 beers.
Then orders -1 beers.
Then orders “a lizard”.
Then explodes.

The bartender says: “You really should validate your input.”
Post Reply