убедитесь, что в конфигурации программы nginx для данного сайта есть директива location
для запроса .well-known/acme-challenge
, что ведёт она к существующему каталогу, и что этот каталог доступен для чтения пользователю, от имени которого nginx обслуживает данный сайт.
проинспектировать принадлежность и права всех каталогов в пути удобно с помощью программы namei. например:
$ namei -l /etc/nginx/sites-available/
f: /etc/nginx/sites-available/
drwxr-xr-x root root /
drwxr-xr-x root root etc
drwxr-xr-x root root nginx
drwxr-xr-x root root sites-available
если проверяемый пользователь, например, www-data
, то инспекцию можно сделать так:
$ sudo -u www-data namei -l /etc/nginx/sites-available/
ответ будет тем же самым. а вот для недоступного каталога:
$ sudo -u www-data namei -l /root/.ssh/id_rsa
f: /root/.ssh/id_rsa
drwxr-xr-x root root /
drwx------ root root root
.ssh - No such file or directory
видно, что внутрь каталога /root
пользователь уже не смог «заглянуть»: недостаточно прав.
дополнение про логику проверки принадлежности домена:
клиент, которым вы запускаете процедуру обновления, во-первых, должен знать, где находится каталог acme-challenge
(для данного сайта), доступный по адресу http://ваш.домен/.well-known/acme-challenge
, во-вторых, должен иметь право записи в этот каталог: во время процедуры обновления он создаёт в нём файл с именем и содержимым, переданным сервером letsencrypt, а тот после этого пытается прочитать этот файл. по завершении процедуры клиент удаляет этот файл.
потому, при обслуживании нескольких доменов на одной машине, имеет смысл сделать один каталог для проверки, который и указать в клиенте, а в конфигурации nginx описать его (для каждой секции server
) примерно так:
location /.well-known/acme-challenge {
alias /путь/к/этому/каталогу;
}
эту секцию имеет смысл помещать в секцию server
, слушающую 80-й порт, чтобы не было лишних перенаправлений на https (который может и не работать на момент получения (нового) сертификата).
клиент должен иметь права для записи в этот каталог, а пользователю(-ям), от имени которых обслуживается сайт(-ы) — достаточно права чтения.
nginx
deny all
, очевидно же :)location ~ /\.ht {deny all;}
лучше всё-таки оставить))