CentOS 7 SSL nginx error mailserver

[Web-Brielle]

Mijn vraag
...
Ik heb al enige tijd een VPS server waar ik een 50-70 sites op host.
Nu is alleen gisteren mijn SSL certificaat verlopen maar ik krijg hem niet vernieuwd (openssl x509)
Deze wordt gebruikt om de email met SSL te beveiligen.

Kan deze gewoon uit dat mensen hun eigen SSL krijgen (let's encrypt) of hoe kan ik deze vernieuwen (dat mensen de naam van de server als mailserver neerzetten)

Relevante software en hardware die ik gebruik
...
CentOS 7

Wat ik al gevonden of geprobeerd heb
...
Nieuw certificaat aangemaakt, openssl opnieuw geinstalleerd, nieuw certificaat gekopieerd naar de plek en hernoemd (maar dan start httpd niet op).

Wie kan mij helpen?
Meer info kan ook via PB
Vergoeding in overleg

[Paul]

Web-Brielle schreef op dinsdag 5 juni 2018 @ 20:27:
Meer info kan ook via PB
Vergoeding in overleg

Dat is dus niet de bedoeling hier...

Als je cert -verlopen- is kun je het inderdaad niet -vernieuwen-. Wel kun je het -vervangen- door een nieuw. Lees ik het goed dat je nu een self-signed certificaat hebt gemaakt? Of heb je een private key en een Certificate Signing Request gemaakt en die CSR opgestuurd naar een widely trusted CA om deze te signen?

Wat staat er in de logging van httpd als deze niet opstart?

[ikvanwinsum]

Waar haal je je SSL-certificaten vandaan? Als het Let's Encrypt is, kun je als het goed is

code:

certbot renew

gebruiken.

En wat voor foutmeldingen krijg je?

[Web-Brielle]

Paul schreef op dinsdag 5 juni 2018 @ 20:35:
[...]
Dat is dus niet de bedoeling hier...

Als je cert -verlopen- is kun je het inderdaad niet -vernieuwen-. Wel kun je het -vervangen- door een nieuw. Lees ik het goed dat je nu een self-signed certificaat hebt gemaakt? Of heb je een private key en een Certificate Signing Request gemaakt en die CSR opgestuurd naar een widely trusted CA om deze te signen?

Wat staat er in de logging van httpd als deze niet opstart?

Excuses, is doorgestreept nu.

Het is self-signed via Let's Encrypt.

httpd geeft (na certificaat kopiëren):
Jun 05 20:39:01 vps.domein.ext kill[8616]: kill: cannot find process ""
Jun 05 20:39:01 vps.domein.ext systemd[1]: httpd.service: control process exited, code=exited status=1
Jun 05 20:39:01 vps.domein.ext systemd[1]: Failed to start The Apache HTTP Server.
Jun 05 20:39:01 vps.domein.ext systemd[1]: Unit httpd.service entered failed state.
Jun 05 20:39:01 vps.domein.ext systemd[1]: httpd.service failed.
Hint: Some lines were ellipsized, use -l to show in full.

certbot renew doet niets:
[root@vps /]# certbot renew
Saving debug log to /var/log/letsencrypt/letsencrypt.log

No renewals were attempted.

[canonball]

Web-Brielle schreef op dinsdag 5 juni 2018 @ 20:41:
[...]httpd geeft (na certificaat kopiëren):
Jun 05 20:39:01 vps.domein.ext kill\[8616]: kill: cannot find process ""
Jun 05 20:39:01 vps.domein.ext systemd\[1]: httpd.service: control process exited, code=exited status=1
Jun 05 20:39:01 vps.domein.ext systemd\[1]: Failed to start The Apache HTTP Server.
Jun 05 20:39:01 vps.domein.ext systemd\[1]: Unit httpd.service entered failed state.
Jun 05 20:39:01 vps.domein.ext systemd\[1]: httpd.service failed.
Hint: Some lines were ellipsized, use -l to show in full.

httpd is toch apache? in de titel meld je nginx

[Web-Brielle]

canonball schreef op dinsdag 5 juni 2018 @ 20:46:
[...]


httpd is toch apache? in de titel meld je nginx

Klopt, maar (ik weet niet hoe ik het voor elkaar heb gekregen) staat het certificaat in /etc/httpd/conf/ssl.crt/server.crt

[canonball]

Web-Brielle schreef op dinsdag 5 juni 2018 @ 20:48:
[...]Klopt, maar (ik weet niet hoe ik het voor elkaar heb gekregen) staat het certificaat in /etc/httpd/conf/ssl.crt/server.crt

Het mag daar best wel staan, als je in nginx maar na die plek verwijst, en... dan nginx restart en httpd gewoon uit laat/stopt

[XWB]

Je moet nginx na het vernieuwen van de certificaten herstarten, anders blijven de oude uitgestuurd worden.

[Web-Brielle]

XWB schreef op dinsdag 5 juni 2018 @ 20:50:
Je moet nginx na het vernieuwen van de certificaten herstarten, anders blijven de oude uitgestuurd worden.

Klopt, al gedaan..

canonball schreef op dinsdag 5 juni 2018 @ 20:50:
[...]

Het mag daar best wel staan, als je in nginx maar na die plek verwijst, en... dan nginx restart en httpd gewoon uit laat/stopt

Yups.. ook al gedaan..

[XWB]

Laat eens een stukje nginx configuratie zien. Met name het stuk met het pad naar je certificaat.

[DukeBox]

Web-Brielle schreef op dinsdag 5 juni 2018 @ 20:41:
Het is self-signed via Let's Encrypt.

Dat kan niet.. het is óf self-signed óf signed door LE.

[Web-Brielle]

XWB schreef op dinsdag 5 juni 2018 @ 20:58:
Laat eens een stukje nginx configuratie zien. Met name het stuk met het pad naar je certificaat.

In mn nginx-vhost:
ssl on;
ssl_certificate /etc/httpd/conf/ssl.crt/server.crt.combined;
ssl_certificate_key /etc/httpd/conf/ssl.key/server.key;

DukeBox schreef op dinsdag 5 juni 2018 @ 20:59:
[...]

Dat kan niet.. het is óf self-signed óf signed door LE.

Klopt, is via LE gegaan ipv self signed.

[Paul]

Waar je een bestandje neerzet verandert niet met welk programma je het wil gebruiken. Je moet dus inderdaad nginx herstarten ipv Apache.

[ikvanwinsum]

Web-Brielle schreef op dinsdag 5 juni 2018 @ 20:41:
[...]
certbot renew doet niets:
[root@vps /]# certbot renew
Saving debug log to /var/log/letsencrypt/letsencrypt.log

No renewals were attempted.

Dat betekent vaak dat je certificaten nog niet bijna verlopen zijn. Probeer eens

code:

sudo certbot certificates

Dat commando laat zien welke certificaten momenteel op het systeem staan. Zoiets krijg je dan als het goed is te zien:

code:

Certificate Name: voorbeeld.nl
    Domains: voorbeeld.nl
    Expiry Date: 2018-09-01 11:11:11+00:00 (VALID: 86 days)
    Certificate Path: /etc/letsencrypt/live/voorbeeld.nl/fullchain.pem
    Private Key Path: /etc/letsencrypt/live/voorbeeld.nl/privkey.pem

Hier kun je een paar dingen controleren:

• of er uberhaupt een certificaat voor je domein bestaat
• of het certificaat al dan niet verlopen is
• waar het certificaat en de private key staan

Zorg dus ook dat de locatie het certificaat en de private key overeenkomen met de configuratie in nginx.

[Web-Brielle]

ikvanwinsum schreef op woensdag 6 juni 2018 @ 14:38:
[...]

Dat betekent vaak dat je certificaten nog niet bijna verlopen zijn. Probeer eens

code:

sudo certbot certificates

Dat commando laat zien welke certificaten momenteel op het systeem staan. Zoiets krijg je dan als het goed is te zien:

code:

Certificate Name: voorbeeld.nl
    Domains: voorbeeld.nl
    Expiry Date: 2018-09-01 11:11:11+00:00 (VALID: 86 days)
    Certificate Path: /etc/letsencrypt/live/voorbeeld.nl/fullchain.pem
    Private Key Path: /etc/letsencrypt/live/voorbeeld.nl/privkey.pem

Hier kun je een paar dingen controleren:

• of er uberhaupt een certificaat voor je domein bestaat
• of het certificaat al dan niet verlopen is
• waar het certificaat en de private key staan

Zorg dus ook dat de locatie het certificaat en de private key overeenkomen met de configuratie in nginx.

Helaas noppes..


Ga deze week naar een managed partij, scheelt me veel werk waar de tijd steeds meer aan gaat ontbreken..

[C0okiejar]

Gaat het nou om je mail of om je webserver want ik zie in topic head mail staan en vervolgens hebben we het allemaal over apache en NGINX.


Anyway, draait je VPS iets van een controle paneel of doe je alles met de hand? Ik heb dit gedoe ook gehad maar dan in m'n plesk omgeving. Wil je er eventueel wel mee helpen of je in ieder geval lichtelijk sturen zodat je het niet hoeft uit te besteden, scheelt toch weer in de portemonnee.

[Paul]

De parameter 'certificates' is toegevoegd in certbot versie 0.10.0, deze is anderhalf jaar geleden (11 feb 2017) uitgebracht. Het lijkt er op dat je dus al minimaal anderhalf jaar geen updates hebt geïnstalleerd?

ik begin me af te vragen of het slim is webmaster te spelen als je met dit soort dingen al naar een forum moet voor hulp, en al helemaal als je zo ver achter loopt met updates; dit is een tijdbom die binnenkort gehackt wordt als dat niet al is gebeurd...