OPNsense Acme client Transip API

[Omaha2002]

Zoals velen tracht ik van PFsense naar OPNsense over te stappen. Echter heb ik moeite om HAproxy aan de praat te krijgen. Op de PFsense werkt het en redirect ik met HAproxy op domeinnaam 80/443 naar verschillende achterliggende webservices. Waaronder 1 *.domein naar Nxing Proxy Manager die ik dan lekker makkelijk kan gebruiken voor experimenten van dockers die op verschillende poorten draaien. SSL monteer ik dan af op Nginx Proxy Manager.

Op OPNsense wil ik het netjes doen en SSL afhandelen op OPNsense en met HAproxy doorverwijzen naar de verschillende webservices. Ik heb mijn domeinnamen gehost bij Transip.

Ik gebruik deze tutorial: https://forum.opnsense.org/index.php?topic=23339.0

Waar ik op vastloop is de letsencrypt acme client en hoe de API van Transip te gebruiken:



Als ik de API pagina van Transip goed begrijp zou de loginnaam moeten zijn: gebruik<accestoken> en de API key de gegenereerde private key.

Echter in de log krijg ik voortdurend:

Error add txt for domain:_acme-challenge.XXXXXX.nl

Heeft iemand de Acme client op OPNsense met de API van Transip wel aan de praat gekregen en hoe?

Alvast bedankt voor het meedenken

[jeedie]

Ik denk dat je de usernaam niet goed gebruikt. Dit moet je usernaam van transip zijn, dit is niet je mailadres maar je usernaam waarmee je inlogt in het control panel. Na het inloggen is je usernaam ook zichtbaar rechtsboven onder het tandwieltje. Deze moet letterlijk zo in OPNSense onder 'Username' ingevuld worden.

De private key moet inderdaad in het 'API key' veld ingevuld worden binnen OPNSense.

[!GN!T!ON]

Heb je je IP ook toegevoegd aan de whitelist in het Transip controlpanel?

[UTPBlokje]

De accesstoken en keypair zijn verschillende manieren van connectie met de api van TransIP. Als ik me niet vergis maakt acme dns01 gebruik van accesstoken login. Dus gewoon een kwestie van username zoals @jeedie aangeeft en dan de accesstoken in het wachtwoord veld. Whitelist ip is niet verplicht maar wel veiliger wanneer je een niet verlopen accesstoken in TransIP aanmaakt

[Omaha2002]

Het gaat niet goed, in de logfile:

[Sat Apr 22 15:57:42 CEST 2023] Key file doesn't seem to be a valid key: /var/etc/acme-client/configs/643be1f72eb313.48236739//secret.key

Ik maak een accesstoken aan onderin, heb m'n WANip toegevoegd aan whitelist: (in screenshot staat accepteer alleen ip uit whitelist uit, getest met aan en uit).

login: usernaam van transip
API key: onderaan aangemaakte accesstoken



Is helemaal niets te vinden over Transip API en OPNsense acmeclient, ben vast niet de enige die hier op vastloopt

[ Voor 9% gewijzigd door Omaha2002 op 22-04-2023 16:07 . Reden: info ttoegevoegd ]

[Jack Flushell]

Ik zie dat de key die je hebt aangemaakt alleen geldt voor whitelisted IP's. Heb je het IP adres van de machine waarop je de aanvraag doet toegevoegd aan de whitelist? Als je dual stack gebruikt zowel IPv4 als IPv6 toevoegen.

Bij username vul je je username van TransIP in.

Bij API key de private key die je eenmalig te zien krijgt toen je de key aanmaakte, inclusief de tags dus:

-----BEGIN PRIVATE KEY----
bladibla
-----END PRIVATE KEY-----

Je lijkt het allemaal goed gedaan te hebben... (maar denk eraan ook IPv6 als je dat gebruikt)
Maak desnoods een nieuwe key aan.

Succes.

[ Voor 64% gewijzigd door Jack Flushell op 22-04-2023 21:07 ]

[Omaha2002]

Het werkt! Dank voor de tips, voor de volledigheid, ik heb:
- IPv6 gedisabled op OPNsense (test later met);
- je moet 5 minuten (300s) wachten voordat certificate geinstalleerd wordt;

Die 5 minuten waren de crux voor mij, ik zag foutmeldingen in de acme log en dacht, we proberen iets anders waardoor het steeds fout ging.

Dus... even geduld.

[Jack Flushell]

De sleep time is omdat sommige providers wat sloom zijn bij de aanmaak van de benodigde dns records (of in elk geval met de propagatie ervan). Het kan prima zijn dat het met 60s ook al lukt. 300 is veilig en ik kan zeker bij renewals geen kwaad, want doorgaans renew je veel eerder dan dat het certificaat verlopen is. Bij mij loopt een dagelijkse cron in opnsense die in de nacht loopt.

[Omaha2002]

Voor anderen die hier mee zitten en het niet aan de praat krijgen, je moet Key Pairs aanmaken, niet een accesstoken!! De bovenste optie in het TransIP scherm.

[ Voor 30% gewijzigd door Omaha2002 op 15-09-2023 13:20 ]

[Mr_PinooO]

Het heeft een tijd goed gewerkt, 4 maand ofzo.

Maar nu krijg ik hier de foutmelding:

Error add txt for domain:_acme-challenge.xxxxxxx.xxx

Werkt het bij jullie nog wel ?

En je hebt geen IP's toegevoegd bij Transip ? Aangezien Whitelisted IP op nee staat.

Kan verder niet echt een foutmelding vinden, was al aan het zoeken hoe je amce.sh vanuit de shell zelf kan runnen om meer informatie te zien. Maar nog geen succes..

[jadjong]

Zie de reactie van Jack Flushell hier boven, niet toevallig ipv6 er bij gekregen in de afgelopen dagen?

[Mr_PinooO]

IpV6 had ik ook al eerder, toen het nog werkte....

Zal het voor de zekerheid eens testen met ipv6 uit.

[Mr_PinooO]

Hmmmz, met ipv6 uit loopt die wel door.....

Nu dus uitzoeken hoe de acmeclient geforceerd kan worden om ipv4 te gebruiken, of via een andere gateway naar buiten die alleen ipv4 ondersteund. ?!?

Iemand dat al opgelost?