| Beide Seiten der vorigen Revision Vorhergehende Überarbeitung Nächste Überarbeitung | Vorhergehende Überarbeitung |
| de:dfnpki:tcs:2025:acme [2026/02/13 08:53] – [Serverzertifikate über ACME] Juergen Brauckmann | de:dfnpki:tcs:2025:acme [2026/04/30 11:41] (aktuell) – [Fallstricke und Fehlermeldungen] Reimer Karlsen-Masur |
|---|
| |
| |
| === **Nicht nutzbar:** Apache Modul mod_md === | === Nicht nutzbar: Apache Modul mod_md === |
| |
| Nach Berichten von Usern sind neuere Versionen von ''mod_md'' derzeit nicht kompatibel mit HARICA: Zwar funktioniert die initiale Beantragung. Allerdings nutzt ''mod_md'' beim Betrieb die ACME-Erweiterung ''ARI''. Zum einen muss HARICA diese Erweiterung erst noch unterstützen, zum anderen gibt es in ''mod_md'' einen Bug, der zu einer konkreten Fehlfunktion führt. | Neuere Versionen von ''mod_md'' sind derzeit nicht mit HARICA kompatibel. Das erste Ausstellen eines Zertifikats funktioniert, allerdings scheitert die Erneuerung aufgund eines Bugs in der ARI-Implementierung von ''mod_md''. Teilweise wurde auch beobachtet, dass ''mod_md'' soviele Anfragen an die ACME-Directory-URL des HARICA-Systems schickt, dass dort eine IP-Sperre greift. |
| |
| ''mod_md'' ist damit nicht nutzbar. | Der Fehler ist nach unserem Kenntnisstand mindestens ab ''mod_md'' v2.6.0 enthalten (Achtung: Versionssnummern von ''mod_md'' sind unabhängig von den Apache-Versionen). |
| | |
| | |
| | ''mod_md'' ist damit derzeit nicht nutzbar. |
| |
| === ACME-Proxy tiny-acme-server === | === ACME-Proxy tiny-acme-server === |
| Bitte unbedingt bei der Account-Erzeugung eine Email-Adresse übergeben (z.B. ''certbot''-Parameter ''--email'' oder entsprechende Konfigurationsparameter bei caddy, Traefik, ...). Das HARICA-System lehnt die Account-Erzeugung sonst ab. | Bitte unbedingt bei der Account-Erzeugung eine Email-Adresse übergeben (z.B. ''certbot''-Parameter ''--email'' oder entsprechende Konfigurationsparameter bei caddy, Traefik, ...). Das HARICA-System lehnt die Account-Erzeugung sonst ab. |
| |
| | === Ansible === |
| | |
| | Bei den ''community.crypto''-Module von Ansible muss der Parameter ''modify_account: false'' angegeben werden, damit die Zertifikaterstellung funktioniert. |
| | |
| | === certbot mit --dry-run oder --test-cert Option === |
| | |
| | Sofern die ''certbot''-Software mit einer der Optionen ''--dry-run'' oder ''--test-cert'' genutzt wird, gibt es Fehlermeldungen und Fehlfunktionen, weil ''certbot'' bei diesen Testfunktionalitäten hart verdrahtete ACME-Endpunkte von Let'sEncrypt verwendet, die naturgemäß mit ACME-Accounts, die im HARICA-System angelegt wurden, nicht funktionieren. |
| | |
| | Um z.B. eine Zertifikaterneuerung vorab zu "testen", kann ''certbot renew --force-renewal'' verwendet werden. |
| |
| === Prüfpunkte === | === Prüfpunkte === |
| - Ist es dem ACME Client möglich, eine HTTP- oder DNS-Challenge zu beantworten? Sind hierbei evtl. Fehler aufgetreten (prüfen im Log des ACME Clients)? | - Ist es dem ACME Client möglich, eine HTTP- oder DNS-Challenge zu beantworten? Sind hierbei evtl. Fehler aufgetreten (prüfen im Log des ACME Clients)? |
| |
| === Ansible === | |
| |
| Bei den ''community.crypto''-Module von Ansible muss der Parameter ''modify_account: false'' angegeben werden, damit die Zertifikaterstellung funktioniert. | |