Zertifikat abgelaufen

weltenlaefer

Hallo,
ich bekomme seit gestern die Meldung auf meinem IPhone das das Zertifikat abgelaufen ist.

Im Log steht aber doch das mail.xyz.de okay ist, oder sehe ich das falsch ?

D4niel

weltenlaefer Im Log steht aber doch das mail.xyz.de okay ist, oder sehe ich das falsch ?

Also ich lese da “HTTP validation failed” und “Cannot validate any hostnames, skipping Let’s Encrypt”.

Leider hast du ja alles geschwärzt, aber mir kommt es so vor, als würde oben bei “Detecting IP addresses” eine andere IPv6 stehen als unten bei “Confirmed AAAA record with IP…”. Die oben 2a01:4… und unten 2a01:0…

Mailerinoo

Teste mal die Ablaufdaten der Zertifikate mit ./helper-scripts/expiry-dates.sh im Ordner /opt/mailcow-dockerized

weltenlaefer

Mailerinoo

Da bekomme ich folgende Meldung

root@mail:~# cd /opt/mailcow-dockerized
root@mail:/opt/mailcow-dockerized# ./helper-scripts/expiry-dates.sh
-bash: ./helper-scripts/expiry-dates.sh: Permission denied

weltenlaefer

D4niel die Adressen sind okay:

Initializing, please wait…
mailcowdockerized-acme-mailcow-1 | Wed May 17 08:09:04 CEST 2023 - Using existing domain rsa key /var/lib/acme/acme/key.pem
mailcowdockerized-acme-mailcow-1 | Wed May 17 08:09:04 CEST 2023 - Using existing Lets Encrypt account key /var/lib/acme/acme/account.pem
mailcowdockerized-acme-mailcow-1 | Wed May 17 08:09:04 CEST 2023 - Detecting IP addresses…
mailcowdockerized-acme-mailcow-1 | Wed May 17 08:09:04 CEST 2023 - OK: 88.–.–.122, 2a01:4f8:1c0c:—e::1
mailcowdockerized-acme-mailcow-1 | Wed May 17 08:09:04 CEST 2023 - No A or AAAA record found for hostname autodiscover.it-okay.de
mailcowdockerized-acme-mailcow-1 | Wed May 17 08:09:04 CEST 2023 - No A or AAAA record found for hostname autoconfig.it-okay.de
mailcowdockerized-acme-mailcow-1 | Wed May 17 08:09:04 CEST 2023 - No A or AAAA record found for hostname autodiscover.keil-datenklick.de
mailcowdockerized-acme-mailcow-1 | Wed May 17 08:09:04 CEST 2023 - No A or AAAA record found for hostname autoconfig.keil-datenklick.de
mailcowdockerized-acme-mailcow-1 | Wed May 17 08:09:04 CEST 2023 - Found AAAA record for mail.it-okay.de: 2a01:4f8:1c0c:755e::1 - skipping A record check
mailcowdockerized-acme-mailcow-1 | Wed May 17 08:09:05 CEST 2023 - Confirmed AAAA record with IP 2a01:04f8:1c0c:—e:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1 | Wed May 17 08:09:05 CEST 2023 - Cannot validate any hostnames, skipping Let’s Encrypt for 1 hour.
mailcowdockerized-acme-mailcow-1 | Wed May 17 08:09:05 CEST 2023 - Use SKIP_LETS_ENCRYPT=y in mailcow.conf to skip it permanently.

Das heißt doch jetzt das die Abgelaufen sind, oder?
TLS expiry dates:
Postfix: May 11 07:28:14 2023 GMT
Dovecot: May 11 07:28:14 2023 GMT
Nginx: May 11 07:28:14 2023 GMT

weltenlaefer

War Gedanklich gerade wo anders :-)

root@mail:/opt/mailcow-dockerized/helper-scripts# ./expiry-dates.sh
TLS expiry dates:
Postfix: May 11 07:28:14 2023 GMT
Dovecot: May 11 07:28:14 2023 GMT
Nginx: May 11 07:28:14 2023 GMT
root@mail:/opt/mailcow-dockerized/helper-scripts#

D4niel

Du hast einen AAAA-Record für deine Domain, aber dein Webserver antwortet gar nicht auf IPv6.

soupdiver

Ich habe seit gestern exakt das gleiche Problem.
Nach Ewigkeiten ohne Problem sind meine Zertifikate gestern auf einmal abgelaufen.
Ich bekomme einen Fehler, dass ich von LE rate limited bin und bereits zu viele Zertifikate für eine Domain habe.
Interessanterweise scheint sich diese Domain vor kurzem irgendwie automatisch geändert zu haben.
Ich habe meinen Server bei Hetzner und jeder server hat nen static hostname auf your-server.de. Auf einmal möchte mein LE für diese Domain ein Cert haben aber und nicht mehr für meine eigentliche Domain (mail.xxx.xxx).

Vielleicht geht es bei dir ja in eine ähnliche Richtung

"Cannot validate any hostnames, skipping Let’s Encrypt” tauchte bei mir nämlich auch auf einmal auf auf in den logs… vorher war dies glaub immer mail.xxx.yy.y. aber es scheint sich ohne mein zutun geändert zu haben

weltenlaefer

soupdiver

ich habe mittlerweile mailcow den Rücken gekehrt. War ein nettes Projekt für ein Jahr, aber das ein Zertifikat so extrem schwer zu verlängern bzw. zu erneuern ist, ist ein no go!
Warum geht das nicht über die GUI.

Auch hat die Hilfestellung sehr nachgelassen, finde ich. Oder das Problem kennt keiner.

Die Domain läuft jetzt über office 365. Kostet etwas, aber läuft .

D4niel

weltenlaefer War ein nettes Projekt für ein Jahr, aber das ein Zertifikat so extrem schwer zu verlängern bzw. zu erneuern ist, ist ein no go!

Ist es nicht und es scheint bei 99% auch zu klappen. Ich hab gesagt, dass das Problem an deiner IPv6-Konfiguration liegt. Wie soll Let’s Encrypt ein Zertifikat ausstellen, wenn auf die Adresse eines Webservers verwiesen wird, der gar nicht erreichbar ist?

Mailerinoo

weltenlaefer ich habe mittlerweile mailcow den Rücken gekehrt. War ein nettes Projekt für ein Jahr, aber das ein Zertifikat so extrem schwer zu verlängern bzw. zu erneuern ist, ist ein no go!

Wenn das für dich so ein “No go” ist, wobei ich hier auch auf Layer 8 Fehler tippe, hol dir doch einfach ein kostenpflichtiges SSL-Zertifikat und deine Probleme mit dem ACME wären gelöst….

esackbauer

Auch ein Klassiker ist, auf der Firewall den http Port 80 nicht auf den Mailcow Host weiterzuleiten.