Nexcloud Lets Encrypt certificaat vernieuwen

[Pazo]

Hallo,

Ik heb al enkele jaren een Nextcloud server, geïnstalleerd op een Hyper-V, waarop Ubuntu staat. Destijds (in 2020) geïnstalleerd via Snap. Hierbij zit een Lets Encrypt certificaat.

Nu ruim 3 jaar probleemloos gedraaid, nooit naar om hoeven kijken, regelmatig keurig geüpdatet, ook het certificaat werd zonder melden ieder jaar automatisch vernieuwd. Tot nu. Kreeg laatst een mail dat het certificaat per vandaag zou verlopen. Verder geen aandacht aan besteed, want vernieuwd toch vanzelf. Dus niet. En nu krijg ik het zelf niet meer vernieuwd.

Omdat ik er sinds installatie nooit meer naar om heb hoeven kijken, weet / snap ik ook niet helemaal hoe het in elkaar zit / hoe ik dat destijds heb gedaan. Speurtocht op internet leert om het volgende commando te gebruiken:

code:

sudo nextcloud.enable-https lets-encrypt

Als ik die uitvoer en het proces start voor mijn 2 domeinen krijg ik de volgende foutmeldingen:
(domein even vervangen voor MIJNDOMEIN)

code:

Attempting to obtain certificates... error running certbot:

Saving debug log to /var/snap/nextcloud/current/certs/certbot/logs/letsencrypt.log
Plugins selected: Authenticator webroot, Installer None
Renewing an existing certificate
Performing the following challenges:
http-01 challenge for nextcloud.MIJNDOMEIN.nl
http-01 challenge for www.MIJNDOMEIN.nl
Using the webroot path /var/snap/nextcloud/current/certs/certbot for all unmatched domains.
Waiting for verification...
Challenge failed for domain www.MIJNDOMEIN.nl
Challenge failed for domain nextcloud.MIJNDOMEIN.nl
http-01 challenge for www.MIJNDOMEIN.nl
http-01 challenge for nextcloud.MIJNDOMEIN.nl
Cleaning up challenges
Some challenges have failed.
IMPORTANT NOTES:
 - The following errors were reported by the server:

   Domain: www.MIJNDOMEIN.nl
   Type:   unauthorized
   Detail: 2a00:f10:ff03:1::103: Invalid response from
   http://www.MIJNDOMEIN.nl/.well-known/acme-challenge/Dc7L5FzssYnFL7_M7eyEOWIv4t4zXfU2xCyXzT1n-R0:
   404

   Domain: nextcloud.MIJNDOMEIN.nl
   Type:   unauthorized
   Detail: 2a00:f10:ff03:1::103: Invalid response from
   http://nextcloud.MIJNDOMEIN.nl/.well-known/acme-challenge/3mWj5gU-6MdEvfWFVX5gUyVl0sC8tN8NzkbD0NUGFPs:
   404

   To fix these errors, please make sure that your domain name was
   entered correctly and the DNS A/AAAA record(s) for that domain
   contain(s) the right IP address.

Ik heb de afgelopen jaren niets veranderd in mijn installatie / domeinen / router / port forwarding etc etc. Mijn IPadres is ook niet veranderd. Ik kan ook gewoon inloggen op Nextcloud, alleen het certificaat is verlopen. Verder werkt alles.
Het enige dat veranderd is, is dat mijn hoster PCExtreme overgenomen is door Versio. Dat is denk ik ca 3-4 maanden gelden gebeurt / overgezet? In de online omgeving van Versio staan de templates / DNS records die verwijzen naar mijn IP nog steeds hetzelfde. En het is dus gewoon te bereiken.

Iemand die mij een duwtje de goede richting op kan geven hoe het certificaat te vernieuwen?

[nelizmastr]

Bestaat de /.well-known/acme-challenge op beide endpoints en heeft deze de juiste permissies? De challenge lijkt te beweren dat deze mislukt omdat dat pad niet bereikbaar is.

[ Voor 5% gewijzigd door nelizmastr op 16-05-2023 07:58 ]

[Pazo]

@nelizmastr Zou ik niet weten, moet ik uitzoeken, ben er ook niet echt bekend mee wat het doet eerlijk gezegd en waar het te vinden is. Zoals gezegd, bij installatie werkte alles out of the box, dat maakt het lastig om nu te bepalen wat er mis gaat.

Wat ik ook zie in de foutmelding, is dat het alleen fout lijkt te gaan op het IPV6 adres? IPV4 adres wordt niet genoemd. Maar ik gebruik geen IPV6. Maar heb wel DNS record bij Versio staan naar IPV6, hetzelfde als voor mijn IPV4 adres.

[MarcoC]

Het lijkt erop alsof de DNS geresolved wordt naar een IPv6 adres. Weet je zeker dat deze configuratie klopt? Ik denk het zelf niet, omdat je zelf aangeeft dat je er nooit meer naar hebt omgekeken. Ik zou de IPv6 record verwijderen en het dan opnieuw proberen.

[Pazo]

@MarcoC OK, dat ga ik proberen, zal de IPV6 records verwijderen.

EDIT: dat was inderdaad de oplossing. De 2 IPV6 records uitgeschakeld, en daarna werkte het meteen! Certificaat is weer vernieuwd.
Bedankt!

[ Voor 52% gewijzigd door Pazo op 16-05-2023 10:21 ]

[valkenier]

@Pazo IPv6 verwijderen? Was je IPv6 record niet correct? Dan kan je dat beter corrigeren ipv verwijderen.

[DataGhost]

Ik zou de IPv6 records herstellen en je serverconfiguratie aanpassen zodat je virtual hosts zowel over IPv4 als IPv6 bereikbaar zijn, zoals het hoort. Aangezien je een 404 kreeg luistert je webserver er wel op namelijk.

[Pazo]

Ik heb die nu uitgeschakeld (staat er dus nog wel, maar niet actief).
Maak het uit dat IPV6 niet werkt? Gebruikt het (kennelijk) toch niet, en is alleen voor persoonlijk gebruik.

[DataGhost]

Dat moet je zelf weten, maar IPv6-only clients/netwerken kunnen dan wellicht niet bij je service. Voor de transitie is het natuurlijk mooi als zoveel mogelijk services ook gewoon via IPv6 bereikbaar zijn, zelfs al is het alleen maar voor eigen gebruik. Gewoon IPv6 uitschakelen is in ieder geval niet de "oplossing" maar meer symptoombestrijding van een kennelijk foutieve configuratie.