Dotaz: Instalace Lets Encrypt certifikátu na Apache na nestandardním portuem

[jan.rok]

Dobrý den,

podle návodu (https://www.digitalocean.com/community/tutorials/how-to-secure-apache-with-let-s-encrypt-on-ubuntu-16-04) se snažím nainstalovat Let's Encrypt certifikát na server, který běží na veřejné adrese: https://www.mojedomena.cz:8080.

Při vytváření vlastního certifikátu: sudo certbot --apache -d www.mojedomena.cz ale dostanu chybu:

Failed authorization procedure. www.mojedomena.cz (http-01): urn:acme:error:connection :: The server could not connect to the client to verify the domain :: Fetching http://www.mojedomena.cz/.well-known/acme-challenge/JO8F4eNKtcxkIjH2nWaeEKzjStu0GnGXiYkGSx8VFDg: Timeout during connect (likely firewall problem)

IMPORTANT NOTES:
 - The following errors were reported by the server:

   Domain: www.mojedomena.cz
   Type:   connection
   Detail: Fetching
   http://www.mojedomena.cz/.well-known/acme-challenge/JO8F4eNKtcxkIjH2nWaeEKzjStu0GnGXiYkGSx8VFDg:
   Timeout during connect (likely firewall problem)

   To fix these errors, please make sure that your domain name was
   entered correctly and the DNS A/AAAA record(s) for that domain
   contain(s) the right IP address. Additionally, please check that
   your computer has a publicly routable IP address and that no
   firewalls are preventing the server from communicating with the
   client. If you're using the webroot plugin, you should also verify
   that you are serving files from the webroot path you provided.

Nevím, jak říct, že web je na jiném portu. Web je zvenčí normálně na portu 8080 vidět.

Díky za rady. JR

Odpovědi

[[Jooky]]

Je nejaky dovod, preco nemas web na standardnom porte (80 / 443) ? Autorizacia na inych portoch nie je dovolena z ocividnych dovodov ... ked ten web predsa len chces mat na nestandardnom porte, tak skus iny typ autorizacie (standalone, alebo dns).

[NN]

Pokud nemuzes z nejakeho duvodu pouzit port 80 pouzij variantu s DNS challenge. Pokud muzes pouzit port 80 zpristupni adresar z venku:

http://www.mojedomena.cz/.well-known/acme-challenge

[Max]

Je to napsáno ve FAQ, cituji :
Can I issue a certificate if my webserver doesn't listen on port 80?
Yes, using the TLS-SNI-01 challenge. At the moment, Certbot only implements this challenge for Apache. If you’re using the webroot mode, your webserver must listen on port 80.

Jinými slovy, pokud si představuješ, že tomu příkazu podhodíš nějaký jiný port, tak takto ne.
Zdar Max

[jan.rok]

Nestandardní port použít musím. Zkusil jsem to tedy na chvilku přehodit na port 443 a zdá se, že to prošlo.

[NN]

Chapes ten rozdil mezi portem pro overeni certifikatu a portem pro aplikaci? Aplikace muze bezet na jakem portu chce, to je uplne jedno. Ale samotne proces overeni portebuje klasicky port jako prukaznost tzn. i presto, ze aplikace bezi na portu 8080, muzes vedle toho paralelne zpristupnit adresar .well-known na portu 80 a nebude to kolidovat..

[bigBRAMBOR]

jestli mu na portu 80 nic nebeží, jako že nevím, muže použít i standalone, které nebude s apachem na portu 8080 kolidovat. Adresar .well-known se používá proto aby se nemusel web vypínat, tady by to odpadlo.

[Filip Jirsák]

Let'S Encrypt už TLS-SNI-01, protože se bojí špatně nakonfigurovaných serverů. Takže když dneska chcete HTTPS certifikát od Let's Encrypt a chcete ho ověřovat přes web server (ne přes DNS), musíte mít paradoxně povinně na serveru zapnuté HTTP.

[Jendа]

LE portu 8080 věřit nebude, protože porty vyšší než 1024 si může otevřít i uživatel - a určitě bys nechtěl, aby si na tebe mohl libovolný uživatel vystavit certifikát, ne?

[Dacesilian]

Certbot si umí vytvořit vlastní webserver, takže by mělo stačít otevřít port 80 a použít http ověření. To, že web běží na jiném portu (8080), je vlastně výhoda.

[Filip Jirsák]

Předpokládám, že na jiném portu ten web neběží jen tak z rozmaru, ale proto, že na portu 80 běžet nemůže – buď tam běží něco jiného, nebo k tomu portu dotyčný nemá přístup. Takže tazatel bude nejspíš muset buď ověřovat přes DNS, nebo zkusit, jestli se s vlastníkem serveru na portu 80 (pokud existuje) domluví alespoň na zveřejňování validačních souborů.

[jan.rok]

Omlouvám se, že reaguji až teď.

Port 80 opravdu použít nemůžu, běží tam webserver nějaké technologie, vrtat se v tom nemůžu.

Pro ověření jsem nicméně na chvíli povolil porty 80 i 443, což jak se zdá stačilo. Teď je můj web přístupný na portu 8080 a ověřování funguje.