Letsencrypt voor Unifi controller werkt niet (PiHole?)

[Maarten60]

Wat wil ik bereiken
Als ik nu met een browser naar mijn (locale) Unifi controler ga krijg ik een foutmelding dat de verbinding niet prive is. Via de optie 'geavanceerd' en doorgaan kom ik toch op het inlogscherm. Er is dus iets niet in orde met de 'beveiliging' wat ik op wil lossen.
Mijn vraag
Standaard ondersteund de Unifi controller geen https door het ontbreken van een certificaat. Ik heb een letsencrypt certificaat geinstalleerd maar ik krijg nog steeds geen succesvolle https verbinding. De foutmelding is

"De server kan niet bewijzen dat dit 192.168.x.y is. Het beveiligingscertificaat van de server is afkomstig van unifi.mijndomein.nl

"
Relevante software en hardware die ik gebruik
De unifi controller en Pihole draaien op een Orangepi (RPI cloon) onder Debian (Bookworm).
Ik heb een domein naam en een A-record gemaakt voor unifi.mijndomein.nl
Het cerfificaat is geinstalleerd met een script. https://glennr.nl/s/unifi-lets-encrypt. Script heeft (uiteindelijk) zonder problemen gelopen.
Ik heb een Ziggo router --> USG --> switch--> Orangepi. Bij de ziggo router en USG een port forward regel opgenomen.

Wat ik al gevonden of geprobeerd heb
Het certificaat is goed geinstalleerd volgens certbot certificates
Op https://lazyadmin.nl/home...sername%20and%20password. staat in het commentaar

It turns out that it was caused by PiHole, which I installed later. PiHole installs a webserver (lighttpd), which listens on port 80. As a result Let’s Encrypt cannot check the certifcate on port 80.

en als oplossing.

Run certbot on a different port internally and forward port 80 external to this internal port.

Edit the file /etc/letsencrypt/cli.ini and add the following row:

http-01-port = 81

Ik heb de port forward in de USG aangepast naar poort 81 en de aanpassing in cli.ini gemaakt.
Helaas geen succes.
Vragen
1) is er een manier om uit te vinden of de portforward goed werkt?
2) iemand suggesties waar ik verder moet zoeken
...

[ Voor 6% gewijzigd door Maarten60 op 29-12-2023 12:42 ]

[nelizmastr]

Waarom benader je een systeem met certificaat via een IP adres? Dat gaat altijd een mismatch geven namelijk. Een certificaat geeft pas een slotje als je het systeem via de juiste fqdn benadert.

[Maarten60]

Ok, maar op https://unifi.mijndomein.nl:8443/ krijg ik een time out.

[EverLast2002]

Ik weet niet of ik je verhaal goed heb begrepen.
Je hebt een certificaat aangemaakt voor je unifi controller die je extern wilt benaderen?
Dan zul je in je firewall poort 8443 moeten toelaten of een redirect regel moeten aanmaken (dat geeft nu die timeout op poort 8443).
En als je certbot (certrenew) draait, zul je poort 81 moeten forwarden (openzetten-tijdelijk).

[nelizmastr]

Maarten60 schreef op donderdag 28 december 2023 @ 21:37:
Ok, maar op https://unifi.mijndomein.nl:8443/ krijg ik een time out.

Dan doet je hairpin NAT het niet (gebeurt als je router het niet ondersteunt of je een dubbel NAT constructie met een ISP router hebt en die geen hairpin NAT kan).

Of het dat is, is eenvoudig te testen. Pleur (indien Windows) unifi.mijndomein.nl in je hosts file naar het interne IP wijzend.

Check ook via bijv. yougetsignal of poort 8443 wel open staat van buiten. Die moet geforward zijn.

[Maarten60]

Ik heb wat ik wil bereiken toegevoegd aan de initiele post

EverLast2002 schreef op donderdag 28 december 2023 @ 21:51:
Je hebt een certificaat aangemaakt voor je unifi controller die je extern wilt benaderen?

Nee, ik wil de controller niet extern bereiken, alleen via mijn eigen LAN. Ik wil van de foutmelding af en dacht dat op te lossen door een certificaat te installeren.

nelizmastr schreef op donderdag 28 december 2023 @ 21:53:
[...]
Check ook via bijv. yougetsignal of poort 8443 wel open staat van buiten. Die moet geforward zijn.

Port 80 is volgens yougetsignal dicht. Ga ik uitzoeken.

[ Voor 24% gewijzigd door Maarten60 op 29-12-2023 12:52 ]

[nelizmastr]

Maarten60 schreef op vrijdag 29 december 2023 @ 12:47:
Ik heb wat ik wil bereiken toegevoegd aan de initiele post


[...]

Nee, ik wil de controller niet extern bereiken, alleen via mijn eigen LAN. Ik wil van de foutmelding af en dacht dat op te lossen door een certificaat te installeren.


[...]

Port 80 is volgens yougetsignal dicht. Ga ik uitzoeken.

Intern werken met een extern certificaat gaat niet zomaar. Dan moet je al een interne DNS server gaan opzetten.

[Nickname55]

Maarten60 schreef op vrijdag 29 december 2023 @ 12:47:

Nee, ik wil de controller niet extern bereiken, alleen via mijn eigen LAN.

Dan heb je dus geen port forwarding aangemaakt. En dan werkt hairpinning/nat reflection niet.

Je zult dan de hostfile van je pc/laptop/mobiel aan moeten passen om de domeinnaam naar het juiste lokale ip te laten verwijzen.

Of een lokale DNS server draaien waarbij je met een "host override" het juiste ip instelt.

Aangezien het aanpassen van de host file op je mobiel meestal een moeilijk verhaal is (rooten?) is een eigen DNS server een iets charmantere oplossing.

Hoe heb je dat certificaat bij Lets Encrypt gegenereerd?

[Maarten60]

nelizmastr schreef op donderdag 28 december 2023 @ 21:53:
[...]

Of het dat is, is eenvoudig te testen. Pleur (indien Windows) unifi.mijndomein.nl in je hosts file naar het interne IP wijzend.

Als ik unifi.mijndomein.nl toevoeg aan mijn host file werkt het inderdaad.

code:

dig unifi.mijndomein.nl

geeft als response mijn externe IP adres

nelizmastr schreef op vrijdag 29 december 2023 @ 12:55:
[...]

Intern werken met een extern certificaat gaat niet zomaar. Dan moet je al een interne DNS server gaan opzetten.

Ik heb unifi.mijndomein.nl toegevoegd (met verwijzing naar 192.168.x.y lokaal adres) aan mijn pihole local DNS file en nu werkt het van al mijn computers.
Ik moet alleen nadrukkelijk https:// toevoegen. Puntje voor later.

Nickname55 schreef op vrijdag 29 december 2023 @ 13:30:
[...]

Dan heb je dus geen port forwarding aangemaakt. En dan werkt hairpinning/nat reflection niet.

Ik heb in de veronderstelling dat ik port 80 moet forwarden ivm de (automatische) verlenging van het certificaat en dat werkt nog niet. Ík krijg melding port closed (zowel op 80 als 81).

In ziggo modem staat de volgende rule

In Unifi router

Hoe heb je dat certificaat bij Lets Encrypt gegenereerd?

Zie begin post. Ik heb eerst een automatisch script gebruikt van GlennR en daarna de losse stappen opnieuw gedaan op basis van 'Lazyadmin'

[SlinkingAnt]

Bij welke DNS-provider heb je je domeinnaam geregistreerd? Ik heb mijn domeinen ondergebracht bij Cloudflare (gratis dienst). Dan kun je je letsencrypt-certificaten vernieuwen door het verifieren van een DNS-record. Eenmalig een API-key aanmaken en ingeven in je renewal-script en je hebt geen port forward op poort 80 nodig.

Zie https://go-acme.github.io/lego/dns/cloudflare/ voor meer info.

[Maarten60]

bij transip.

[Nickname55]

Ik zie steeds unifi.mijndomein.nl voorbij komen. Ik neem aan dat je in werkelijkheid wel echt een andere eigen domeinnaam hebt toch? Waar je elk jaar iets voor betaald?

Werkt unifi.mijndomein.nl via je mobiel op 4G?

[ Voor 9% gewijzigd door Nickname55 op 30-12-2023 12:18 ]

[Maarten60]

Klopt ik heb een eigen domein bij transip. Dat gebruik ik momenteel alleen voor mail, dus geen website.
Als ik op mijn mobiel mijn domein intype krijg ik een reserved melding van transip.
Zelfde als ik het subadres unifi gebruik.
Ik heb een A-record aangemaakt en Dig geeft de juiste verwijzing naar mijn externe IP-adres.