3

nginx

Установил вручную SSL Lets Encrypt. Проработал три месяца корректно. Истечь должен был 22го октября.

18го октября обновил вручную командами:

cd /opt/letsencrypt

./letsencrypt-auto renew

Вроде все обновилось. Сегодня при заходе на сайт браузеры начали кричать что подключение не защищено и сертификат не корректный.

Запустил проверку сервисом https://www.ssllabs.com/ssltest/analyze.html

Увидел следующее: будто установлено два сертификата.

Certificate #1: RSA 2048 bits (SHA256withRSA) корректный, с датой до января.

И второй сертификат:

Certificate #2: RSA 2048 bits (SHA256withRSA)

истекший. введите сюда описание изображения

И я не могу понять, он показывает предыдущий истекший вместе с новым? Или он должен был обновиться и отображаться только текущий сертификат? Почему браузеры начали выдавать ошибку SLL?

Команда

ls -l /etc/letsencrypt/live/my_domain/

выдает следующее: введите сюда описание изображения

5
  • 2
    посмотрите что у вас выводит ls -l /etc/letsencrypt/live/my_domain/ (Бывает так что после обновления letsencrypt не кладет сертификаты с теми же именами и нужно поправлять)
    – noname2019
    23 окт 2019 в 7:24
  • @noname2019 добавил в вопрос эту информацию скриншотом. Взгляните пожалуйста
    – Amsterdam
    23 окт 2019 в 7:30
  • 2
    странно, по идее правильно указывает (если только номер 2 в конце названий сертификатов в папке архивов максимальный, я имею ввиду что нет номеров 3-4 и т.д и 2 это самый высокий)
    – noname2019
    23 окт 2019 в 7:37
  • а что дает этот номер? Просто сертификат обновлялся пока только один раз. Если я правильно думаю, цифра - это количество обновлений? Кстати сейчас сайт вроде открывается корректно. Может быть какой то кэш?..Возможно такое?
    – Amsterdam
    23 окт 2019 в 7:39
  • 2
    да номер так и есть, а насчет кеша вполне возможно. хотя я с таким не сталкивался
    – noname2019
    23 окт 2019 в 7:42

1 ответ 1

3

Обновить сертификаты не достаточно, нужно еще подгрузить новые сертификаты в веб-сервер.

nginx:

nginx reload

apache (один из вариантов):

service apache2 reload
service httpd reload
/etc/init.d/apache2 reload

и т.д.

Ну и конечно, letsencrypt создавался для автоматизации продления сертификатов, нужно добавить в cron скрипт для продления сертификатов. Запускаем от root команду:

crontan -e

Добавляем скрипт на новой строке, который будет выполняться дважды в день.

0 */12 * * * /opt/letsencrypt/letsencrypt-auto renew

Далее нужно прописать перезагрузку конфигов после обновления сертификата, например для nginx создать файл /etc/letsencrypt/renewal-hooks/deploy/01-reload-nginx и занести в него следующий код:

#! /bin/sh
set -e
/etc/init.d/nginx reload
9
  • Спасибо за ответ! Только не совсем понял, как настроить автообновление. Что делать со строкой /etc/letsencrypt/renewal-hooks/deploy/01-reload-nginx ?
    – Amsterdam
    23 окт 2019 в 8:59
  • 1
    @Amsterdam, обновил ответ. Эта строка - файл который нужно создать, при условии конечно что у вас существует директория /etc/letsencrypt/renewal-hooks/deploy/ 23 окт 2019 в 9:21
  • Вот незадача..Перезагрузил сервер, и опять ошибка сертификата начала выскакивать в браузерах. Обновить заново не дает, пишет "No renewals were attempted.". Ничего не понимаю теперь окончательно...Что можно сделать ?
    – Amsterdam
    23 окт 2019 в 9:39
  • в конфиге nginx проверить пути до сертификатов, они должны быть примерно такими: /etc/letsencrypt/live/my_domain/cert.pem и т.д. 23 окт 2019 в 9:43
  • 1
    Давайте продолжим обсуждение в чате. 23 окт 2019 в 12:31

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.