Failed to obtain certificate /var/lib/acme/

Leo84

Hallo,

beim abrufen des Zertifikats bekomme ich eine Fehlermeldung:

Failed to obtain certificate /var/lib/acme/mail.xyz.net/cert.pem for domains ’mail.xyz.net

Wer kann mir einen Tipp zur Fehlersuche geben?

Danke

D4niel

Da bräuchte man schon etwas mehr Logs vom Acme-Container. Ist alles eingerichtet und installiert nach der Dokumentation? https://docs.mailcow.email/de/prerequisite/prerequisite-system/ Vor allem Port 80 muss offen sein.

Leo84

Logs kann ich heute Abend liefern. Eingerichtet war es schon richtig, denn es hat schon mal funktioniert. Ich bin jetzt erst aufmerksam geworden als die bestehenden Zertifikate erneuert werden sollten. Zur Info, die Mailkuh hängt hinter einem HA Proxy (falls das relevant sein sollte.

schwaima

Evtl. hilft es ja. Ich hatte heute das gleiche Problem. Nach längerem Suchen habe ich in der mailcow.conf den Port von HTTP wieder auf 80 gestellt. Dann ging es…

Leo84

Morgen,

Port 80 ist verfügbar, habe diesen auch probeweise direkt durchgereicht.

anbei das log:

mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:02 CEST 2023 - Waiting for Docker API…
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:02 CEST 2023 - Docker API OK
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:02 CEST 2023 - Waiting for Postfix…
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:02 CEST 2023 - Postfix OK
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:02 CEST 2023 - Waiting for Dovecot…
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:02 CEST 2023 - Dovecot OK
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:02 CEST 2023 - Waiting for database…
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:02 CEST 2023 - Database OK
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:02 CEST 2023 - Waiting for Nginx…
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:02 CEST 2023 - Nginx OK
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:02 CEST 2023 - Waiting for resolver…
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:03 CEST 2023 - Resolver OK
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:03 CEST 2023 - Waiting for domain table…
mailcowdockerized-acme-mailcow-1 | OK
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:03 CEST 2023 - Initializing, please wait…
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:03 CEST 2023 - Using existing domain rsa key /var/lib/acme/acme/key.pem
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:03 CEST 2023 - Using existing Lets Encrypt account key /var/lib/acme/acme/account.pem
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:05 CEST 2023 - No A or AAAA record found for hostname autodiscover.xxxx-domain2.de
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:05 CEST 2023 - No A or AAAA record found for hostname autoconfig.xxxx-domain2.de
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:05 CEST 2023 - Found A record for autodiscover.domain1.net: 80.22.xx.xx
mailcowdockerized-acme-mailcow-1 | (skipping check, returning 0)
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:05 CEST 2023 - Confirmed A record 80.22.xx.xx
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:05 CEST 2023 - Found A record for autoconfig.domain1.net: 80.22.xx.xx
mailcowdockerized-acme-mailcow-1 | (skipping check, returning 0)
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:05 CEST 2023 - Confirmed A record 80.22.xx.xx
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:07 CEST 2023 - No A or AAAA record found for hostname autodiscover.domain.de
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:08 CEST 2023 - Found AAAA record for autoconfig.domain: 2a01:238:20xxxxxxx::1141 - skipping A record check
mailcowdockerized-acme-mailcow-1 | (skipping check, returning 0)
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:09 CEST 2023 - Confirmed AAAA record with IP 2a01:0238:020xxxxxxx:1141
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:09 CEST 2023 - Found A record for mail.domain1.net: 80.22.xx.xx
mailcowdockerized-acme-mailcow-1 | (skipping check, returning 0)
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:09 CEST 2023 - Confirmed A record 80.22.xx.xx
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:09 CEST 2023 - Certificate /var/lib/acme/mail.domain1.net/cert.pem missing or changed domains ‘mail.domain1.net autoconfig.domain1.net autoconfig.domin.de autodiscover.domain1.net’ - start obtaining
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:09 CEST 2023 - Creating backups in /var/lib/acme/backups/mail.domain1.net/2023-06-23_09_28_09 …
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:09 CEST 2023 - Checking resolver…
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:09 CEST 2023 - Resolver OK
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:28:09 CEST 2023 - Using command acme-tiny –account-key /var/lib/acme/acme/account.pem –disable-check –csr /var/lib/acme/mail.domain1.net/acme.csr –acme-dir /var/www/acme/
mailcowdockerized-acme-mailcow-1 | Parsing account key…
mailcowdockerized-acme-mailcow-1 | Parsing CSR…
mailcowdockerized-acme-mailcow-1 | Found domains: mail.domain1.net, autodiscover.domain1.net, autoconfig.domin.de, autoconfig.domain1.net
mailcowdockerized-acme-mailcow-1 | Getting directory…
mailcowdockerized-acme-mailcow-1 | Traceback (most recent call last):
mailcowdockerized-acme-mailcow-1 | File “/usr/bin/acme-tiny”, line 8, in <module>
mailcowdockerized-acme-mailcow-1 | sys.exit(main())
mailcowdockerized-acme-mailcow-1 | File “/usr/lib/python3.10/site-packages/acme_tiny.py”, line 195, in main
mailcowdockerized-acme-mailcow-1 | signed_crt = get_crt(args.account_key, args.csr, args.acme_dir, log=LOGGER, CA=args.ca, disable_check=args.disable_check, directory_url=args.directory_url, contact=args.contact, check_port=args.check_port)
mailcowdockerized-acme-mailcow-1 | File “/usr/lib/python3.10/site-packages/acme_tiny.py”, line 105, in get_crt
mailcowdockerized-acme-mailcow-1 | directory, _, _ = _do_request(directory_url, err_msg=“Error getting directory”)
mailcowdockerized-acme-mailcow-1 | File “/usr/lib/python3.10/site-packages/acme_tiny.py”, line 46, in do_request
mailcowdockerized-acme-mailcow-1 | raise ValueError(“{0}:\nUrl: {1}\nData: {2}\nResponse Code: {3}\nResponse: {4}”.format(err_msg, url, data, code, resp_data))
mailcowdockerized-acme-mailcow-1 | ValueError: Error getting directory:
mailcowdockerized-acme-mailcow-1 | Url: https://acme-v02.api.letsencrypt.org/directory
mailcowdockerized-acme-mailcow-1 | Data: None
mailcowdockerized-acme-mailcow-1 | Response Code: None
mailcowdockerized-acme-mailcow-1 | Response: <urlopen error [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: Hostname mismatch, certificate is not valid for ‘acme-v02.api.letsencrypt.org’. (ssl.c:997)>
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:29:15 CEST 2023 - Failed to obtain certificate /var/lib/acme/mail.domain1.net/cert.pem for domains ‘mail.domain1.net autoconfig.domain1.net autoconfig.domain.de autodiscover.domain1.net’
mailcowdockerized-acme-mailcow-1 | OK
mailcowdockerized-acme-mailcow-1 | Fri Jun 23 09:29:15 CEST 2023 - Some errors occurred, retrying in 30 minutes…
mailcowdockerized-acme-mailcow-1 | OK

esackbauer

https://acme-v02.api.letsencrypt.org/directory kommt was falsches. Irgendwie scheint DNS nicht zu funktionieren und du landest auf der falschen IP. Was kommt denn bei einem curl auf diese Adresse? Ausgeführt vom Host auf dem Mailcow läuft?

Leo84

esackbauer

Ein curl auf die Adresse gibt mir folgendes:

no alternative certificate subject name matches target host name ‘acme-v02.api.letsencrypt.org’
More details here: https://curl.se/docs/sslcerts.html

curl failed to verify the legitimacy of the server and therefore could not
establish a secure connection to it. To learn more about this situation and
how to fix it, please visit the web page mentioned above.

esackbauer

Leo84 Klingt für mich danach, dass der DNS Server eine falsche IP Adresse zurückgibt und du eben auf einem anderen Server als dem von Lets Encrypt landest, deshalb findet er den Namen nicht im Zertifikat.
Was kommt bei host acme-v02.api.letsencrypt.org zurück?

Leo84

esackbauer

host acme-v02.api.letsencrypt.org
acme-v02.api.letsencrypt.org is an alias for prod.api.letsencrypt.org.
prod.api.letsencrypt.org is an alias for ca80a1adb12a4fbdac5ffcbc944e9a61.pacloudflare.com.
ca80a1adb12a4fbdac5ffcbc944e9a61.pacloudflare.com has address 172.65.32.248
ca80a1adb12a4fbdac5ffcbc944e9a61.pacloudflare.com has IPv6 address 2606:4700:60:0:f53d:5624:85c7:3a2c

D4niel

Wenn es zu viele fehlgeschlagene Versuche für die Zertifikatsausstellung gibt, kann es auch vorkommen, dass LetsEncrypt IPs sperrt. Eventuell mal dort beim Support oder im Forum nachfragen.

esackbauer

Eigenartig, schaut eigentlich gut aus.
Ich wüsste jetzt nicht was das sein könnte, aber es gab ähnliche Probleme mit bestimmten Providern oder IPv6:
https://community.mailcow.email/d/2571-no-a-or-aaaa-record-found-for-hostname-autodiscoverxxxxcom