Zertifikate werden nicht erstellt

esackbauer

EyyupA Ja das ist der Fall

Ich kann das in deiner traefik config nicht erkennen.
Kenne traefik allerdings auch nicht, aber deine Config unterscheidet sich erheblich von der Beispiel config in der Doku:
https://docs.mailcow.email/post_installation/reverse-proxy/r_p-traefik2/#step-2-configure-traefik-dynamic-configuration

EyyupA

esackbauer

Meine Config ist die selbe, bis auf das ich für MTA-STS einen weiteren router hinzugefügt habe.

  services:
    mailcow-acme:
      loadBalancer:
        servers:
          - url: "http://mailcowdockerized-nginx-mailcow-1:8080" # mailcow local IP and web port
    mailcow-frontend:
      loadBalancer:
        servers:
          - url: "http://mailcowdockerized-nginx-mailcow-1:8080" # mailcow local IP and web port

Hier unten bei den services ist der Port 8080 angegeben

[unknown]

Ich werde, dass versuchen und mich melden

[unknown]

Ich werde, dass versuchen und mich melden

[unknown]

Ich werde, dass versuchen und mich melden

[unknown]

Ich werde, dass versuchen und mich melden

[unknown]

Ich werde es versuchen und mich melden

[unknown]

Ich werde es versuchen und mein Ergebnis mitteilen

So oft wollte ich es nicht posten 😆

Habe jedes mal eine Fehlermeldung bekommen, dachte er hat es nicht gepostet. Nachdem Neuladen der Seite habe ich gesehen, dass es mehrfach gepostet wurde aber nicht richtig, aber Antwort ging an @[deleted]

DocFraggle

Du kannst das recht simpel testen: erstelle ein File im ACME Validation Folder:

echo test > /opt/mailcow-dockerized/data/web/.well-known/acme-challenge/test.txt

Dieses solltest Du dann von einem externen Client aus aufrufen können und “test” angezeigt bekommen via

curl http://dein.mail.server/.well-known/acme-challenge/test.txt

test

Wenn das klappt sollte alles passen

EyyupA

DocFraggle

Das funktioniert:

username@user-MacBook-Air ~ % curl -v https://mail.domain.tld/.well-known/acme-challenge/test.txt
* Host mail.domain.tld:443 was resolved.
* IPv6: <IPV6>
* IPv4: <IPV4>
*   Trying <IPV4>:443...
* Connected to mail.domain.tld (<IPV4>) port 443
* ALPN: curl offers h2,http/1.1
* (304) (OUT), TLS handshake, Client hello (1):
*  CAfile: /etc/ssl/cert.pem
*  CApath: none
* (304) (IN), TLS handshake, Server hello (2):
* (304) (IN), TLS handshake, Unknown (8):
* (304) (IN), TLS handshake, Certificate (11):
* (304) (IN), TLS handshake, CERT verify (15):
* (304) (IN), TLS handshake, Finished (20):
* (304) (OUT), TLS handshake, Finished (20):
* SSL connection using TLSv1.3 / AEAD-CHACHA20-POLY1305-SHA256 / [blank] / UNDEF
* ALPN: server accepted h2
* Server certificate:
*  subject: CN=mail.domain.tld
*  start date: May 18 18:51:15 2025 GMT
*  expire date: Aug 16 18:51:14 2025 GMT
*  subjectAltName: host "mail.domain.tld" matched cert's "mail.domain.tld"
*  issuer: C=US; O=Let's Encrypt; CN=R11
*  SSL certificate verify ok.
* using HTTP/2
* [HTTP/2] [1] OPENED stream for https://mail.domain.tld/.well-known/acme-challenge/test.txt
* [HTTP/2] [1] [:method: GET]
* [HTTP/2] [1] [:scheme: https]
* [HTTP/2] [1] [:authority: mail.domain.tld]
* [HTTP/2] [1] [:path: /.well-known/acme-challenge/test.txt]
* [HTTP/2] [1] [user-agent: curl/8.7.1]
* [HTTP/2] [1] [accept: */*]
> GET /.well-known/acme-challenge/test.txt HTTP/2
> Host: mail.domain.tld
> User-Agent: curl/8.7.1
> Accept: */*
> 
* Request completely sent off
< HTTP/2 200 
< accept-ranges: bytes
< content-type: text/plain; charset=utf-8
< date: Fri, 23 May 2025 18:17:40 GMT
< etag: "683088ae-5"
< last-modified: Fri, 23 May 2025 14:39:42 GMT
< referrer-policy: strict-origin
< server: nginx
< strict-transport-security: max-age=15768000;
< x-content-type-options: nosniff
< x-download-options: noopen
< x-frame-options: SAMEORIGIN
< x-permitted-cross-domain-policies: none
< x-robots-tag: none
< x-xss-protection: 1; mode=block
< content-length: 5
< 
test
* Connection #0 to host mail.domain.tld left intact
username@user-MacBook-Air ~ %

Aber trotzdem funktioniert das leider nicht.
Die Logs sagen das:

//MOD edit by @pkernstock: Removed IPs as per request.

Ganzjahresgriller

Du kannst doch ganz einfach via telnet prüfen ob Dein Server auf dem Port 80 antwortet

DocFraggle

Ganzjahresgriller Du kannst doch ganz einfach via telnet prüfen ob Dein Server auf dem Port 80 antwortet

Dann weisst Du aber immer noch nicht wo Du raus kommst 🙂 Könnte dann ja durch die Traefik Config auf einem anderen Webserver dahinter landen

Ganzjahresgriller

Ok, da hast Du natürlich recht

DocFraggle

Nicht via HTTPS sondern via HTTP!

Also

curl -v http://mail.domain.tld/.well-known/acme-challenge/test.txt

EyyupA

DocFraggle

Geändert,

username@user-MacBook-Air ~ % curl -v http://mail.domain.tld/.well-known/acme-challenge/test.txt
* Host mail.domain.tld:80 was resolved.
* IPv6: x
* IPv4: x
*   Trying x:80...
* Connected to mail.domain.tld (x) port 80
> GET /.well-known/acme-challenge/test.txt HTTP/1.1
> Host: mail.domain.tld
> User-Agent: curl/8.7.1
> Accept: */*
> 
* Request completely sent off
< HTTP/1.1 200 OK
< Accept-Ranges: bytes
< Content-Length: 5
< Content-Type: text/plain; charset=utf-8
< Date: Fri, 23 May 2025 18:57:04 GMT
< Etag: "683088ae-5"
< Last-Modified: Fri, 23 May 2025 14:39:42 GMT
< Referrer-Policy: strict-origin
< Server: nginx
< Strict-Transport-Security: max-age=15768000;
< X-Content-Type-Options: nosniff
< X-Download-Options: noopen
< X-Frame-Options: SAMEORIGIN
< X-Permitted-Cross-Domain-Policies: none
< X-Robots-Tag: none
< X-Xss-Protection: 1; mode=block
< 
test
* Connection #0 to host mail.domain.tld left intact
username@user-MacBook-Air ~ %

Aber leider immer noch selbes Problem.

Habe danach mal in der config SKIP_HTTP_VERIFICATIONauf y geändert, wenn ich das so restarte bekomme ich folgende Meldung:

DocFraggle

Hmm, da wird es jetzt schwierig weiter zu helfen ohne den FQDN Deines Mailservers zu kennen und mal alles quer zu checken… kann ich aber verstehen wenn Du den nicht rausgeben willst.

EyyupA

DocFraggle

Soooo habs geschafft:

Geändert habe ich:

# Skip IPv4 check in ACME container - y/n

SKIP_IP_CHECK=y

# Skip HTTP verification in ACME container - y/n

SKIP_HTTP_VERIFICATION=y

Danach lief es

Nur bekomme jetzt immer noch keine Mails von außen und auch mit Outlook kann ich mich nicht mit IMAP und SMTP anmelden, wohl auch die Ports offen sind.

Gelöst war mein Problem mit der Firewall

DocFraggle

EyyupA Gelöst war mein Problem mit der Firewall

Evtl war das ja auch das Problem mit der Verification… denn so wirklich sauber ist das nicht mit SKIP_IP_CHECK=y und SKIP_HTTP_VERIFICATION=y

EyyupA

DocFraggle
Ja ganz gut möglich