certificate – 記下來 https://noter.tw 一路上踩到的坑、遇到的問題，一點一滴記下來，希望能幫助到需要的人~ Sun, 27 Nov 2022 13:30:40 +0000 zh-TW hourly 1 https://wordpress.org/?v=6.6.3 https://noter.tw/wp-content/uploads/cropped-old-1130742_1920-1-32x32.jpg certificate – 記下來 https://noter.tw 32 32 Certbot 申請 SSL certificate 錯誤問題 https://noter.tw/8596/certbot-error/ https://noter.tw/8596/certbot-error/#respond Mon, 21 Jun 2021 15:36:28 +0000 https://noter.tw/?p=8596 今天幫好友處理 Certbot 的問題，這伺服器上已經申請過一個，這次要申請另一個域名，卻怎麼樣都會出現「The client lacks sufficient authorization」的錯誤，試...

這篇文章 Certbot 申請 SSL certificate 錯誤問題 最早出現於 記下來。

]]> 今天幫好友處理 Certbot 的問題，這伺服器上已經申請過一個，這次要申請另一個域名，卻怎麼樣都會出現「The client lacks sufficient authorization」的錯誤，試了一些時間總算完成。

Certbot 真的是個方便的東西，記得很久以前小蛙架部落格剛要轉 https 的時候，還要去 SSL for Free 網站手動申請及安裝(可參考這邊)，SSL for Free 的好處是申請 SSL 完全免費，但是有一個缺點是每三個月必須自己手動去更新(renew)，小蛙用了一段時間後發現，原來有 Certbot 這麼方便又好用的東西，之後有機會再來介紹這個，今天這篇只是要記錄使用 certbot 錯誤的解決方法。

是這樣的，在 Ubuntu 可以直接透過 certbot 申請 SSL 憑證，也包含了自動更新的功能，但是小蛙要申請一個新的網域的時候，卻發生了下列錯誤

root@lc:/home/sysadm# certbot certonly --apache
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator apache, Installer apache
Which names would you like to activate HTTPS for?
 
1: mydomain.com
 
Select the appropriate numbers separated by commas and/or spaces, or leave input blank to select all options shown (Enter 'c' to cancel): 1

Obtaining a new certificate
Performing the following challenges:
http-01 challenge for mydomain.com
Waiting for verification…
Cleaning up challenges
Failed authorization procedure. mydomain.com (http-01): urn:ietf:params:acme:error:unauthorized :: The client lacks sufficient authorization :: Invalid response from http://mydomain.com/.well-known/acme-challenge/xxxxxx [xxx.xxx.xxx.xxx]: "\n\n404 Not Found\n\n Not Found \n<p"
 IMPORTANT NOTES:
 The following errors were reported by the server:
 Domain: mydomain.com
 Type:   unauthorized
 Detail: Invalid response from
 http://mydomain.com/.well-known/acme-challenge/xxxx
 [xxx.xxx.xxx.xxx]: "\n\n404 Not Found\n\n Not Found \n<p"

To fix these errors, please make sure that your domain name was entered correctly and the DNS A/AAAA record(s) for that domain
contain(s) the right IP address.
Your account credentials have been saved in your Certbot configuration directory at /etc/letsencrypt. You should make a secure backup of this folder now. This configuration directory will also contain certificates and private keys obtained by Certbot so making regular backups of this folder is ideal.

裡面看到幾個關鍵「Failed authorization procedure」、「unauthorized」、「Invalid response from」、「The client lacks sufficient authorization」

第一直覺是檔案連不到，但直接連 http://mydomain.com/.well-known/acme-challenge/xxxxxx 又沒有問題，看到朋友的主機有一堆奇怪的 site 設定檔，先清一清看看，嗯 ~ 好，沒有反應，錯誤還是存在。

一直發生上面的錯誤，不斷測試不斷重試，結果得到下面的錯誤 … (嗚嗚嗚)

root@lc:/etc/apache2/sites-enabled# certbot --apache

Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator apache, Installer apache
Which names would you like to activate HTTPS for?
 
 1: mydomain.com
 
Select the appropriate numbers separated by commas and/or spaces, or leave input blank to select all options shown (Enter 'c' to cancel): 1

Obtaining a new certificate
An unexpected error occurred:
  There were too many requests of a given type :: Error creating new order :: too many failed authorizations recently: see https://letsencrypt.org/docs/rate-limits/
Please see the logfiles in /var/log/letsencrypt for more details.

進去錯誤訊息給的連結後，裡面有一段話寫著「我們還有網域驗證失敗限制，對於每個帳號每域名每小時 5 次的限制。在測試環境中並沒有那麼嚴格的限制，因此你可以使用測試環境來針對連線問題除錯。」

額外得知原來加了--dry-run就是測試環境，只會用來測試並不會真正儲存申請的憑證，而且限制比較沒那麼嚴格，如果是要測試為什麼申請失敗只要加上--dry-run，確定都沒有問題後才透過正式環境申請。小蛙這邊超過了每小時五次的限制，只能等到先用--dry-run來測試，等 unban 之後再到正式環境申請了。

經過重重困難後，決定一個參數一個參數試試看，於是試出了

root@lc:/var/www/html# certbot certonly --webroot -w /var/www/html/ -d mydomain.com
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator webroot, Installer None
Obtaining a new certificate
Performing the following challenges:
http-01 challenge for mydomain.com
Using the webroot path /var/www/html for all unmatched domains.
Waiting for verification…
Cleaning up challenges

IMPORTANT NOTES:
 Congratulations! Your certificate and chain have been saved at:
 /etc/letsencrypt/live/mydomain.com/fullchain.pem
 Your key file has been saved at:
 /etc/letsencrypt/live/mydomain.com/privkey.pem
 Your cert will expire on 2021-09-19. To obtain a new or tweaked
 version of this certificate in the future, simply run certbot
 again. To non-interactively renew all of your certificates, run
 "certbot renew"
 If you like Certbot, please consider supporting our work by:
 Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
 Donating to EFF: https://eff.org/donate-le

終於，加上了--webroot -w /var/www/html/之後就成功了 ~ 看起來可能是.well-known/acme-challenge/xxxxxxx的預設路徑不知道為什麼不在目前使用的目錄，導致驗證的時候會抓不到產生的驗證檔案而噴錯，加入該設定之後就完成了，這篇文章留給有需要的朋友 ~

網站架設系列文章：

這篇文章 Certbot 申請 SSL certificate 錯誤問題 最早出現於 記下來。

]]> https://noter.tw/8596/certbot-error/feed/ 0 SSL For Free – 免費又有綠色鎖頭的 SSL Certificates https://noter.tw/3695/ssl-for-free-%e5%85%8d%e8%b2%bb%e5%8f%88%e6%9c%89%e7%b6%a0%e8%89%b2%e9%8e%96%e9%a0%ad%e7%9a%84-ssl-certificates/ https://noter.tw/3695/ssl-for-free-%e5%85%8d%e8%b2%bb%e5%8f%88%e6%9c%89%e7%b6%a0%e8%89%b2%e9%8e%96%e9%a0%ad%e7%9a%84-ssl-certificates/#respond Thu, 07 Jul 2016 15:00:54 +0000 https://wazai.net/?p=3695 之前聽說 Google 會優先搜尋有 https 的網頁 (參考：SEO優化：Google 調整SEO演算法，優先搜尋HTTPS網頁)，一直想把蛙齋也加入 SSL Certificate，一想到設定上...

這篇文章 SSL For Free – 免費又有綠色鎖頭的 SSL Certificates 最早出現於 記下來。

]]> 之前聽說 Google 會優先搜尋有 https 的網頁 (參考：SEO優化：Google 調整SEO演算法，優先搜尋HTTPS網頁)，一直想把蛙齋也加入 SSL Certificate，一想到設定上的麻煩就卻步了，趁這次換 VPS 的時候，一次痛到底吧！印象中同事推薦過 SSL For Free 這個網站，而且可以有綠色鎖頭喔！於是抽空進行將網站加入 SSL 的工作！

SSL For Free
連結：https://www.sslforfree.com/

囉哩巴唆

Google 竟然把有 https 的網頁優先搜尋，看來加入 SSL 是勢在必行了，應該是因為跟 Google 自己後來想推的協定有關，不過看著 香腸炒魷魚、重灌狂人 … 等一些知名網站也都已經是 https 開頭的了，這個趨勢只能跟風了！來個維基百科解釋一下這到底是什麼碗糕：

傳輸層安全協議（英語：Transport Layer Security，縮寫：TLS），及其前身安全通訊協定（Secure Sockets Layer，縮寫：SSL）是一種安全協定，目的是為網際網路通訊，提供安全及資料完整性保障。from 傳輸層安全協議 – 維基百科
超文字傳輸安全協定（英語：Hypertext Transfer Protocol Secure，縮寫：HTTPS，也被稱為HTTP over TLS，HTTP over SSL或HTTP Secure）是一種網路安全傳輸協議。在計算機網路上，HTTPS經由超文字傳輸協定進行通訊，但利用SSL/TLS來對封包進行加密。HTTPS開發的主要目的，是提供對網路伺服器的身分認證，保護交換資料的隱私與完整性。 from 超文字傳輸安全協定 – 維基百科

好的，有看沒有懂或是覺得翻譯很奇怪，沒關係不重要，只要知道是對安全性有幫助的東西就好了！之前查了很多加入 SSL 的方法，以小蛙的智商實在是很難理解，也很佩服那些能做這些事情的人 >< 真正促使小蛙將蛙齋改成 https 是因為看到 SSL For Free 的使用方式真的很簡單，連小蛙這種系統白癡都可以順利完成，ㄟ … 好啦！在 nginx 設定上，還有一些觀念的理解上花了一些時間。

SSL For Free 申請

主要有幾個步驟：(過程可參考：SSL For Free 免費 SSL 憑證申請，使用 Let’s Encrypt 最簡單方法教學！)

  • 在 SSL For Free 上註冊一個帳號。
  • 在首頁輸入要申請的網域名稱。像小蛙要申請 crazyall.net 這個網域，系統會自動產生 www.crazyall.net 跟 crazyall.net 這兩個網域。
  • 選擇「Manually Verify Domain」進行手動認證網域。
  • 下載網頁給的兩個檔案，把它們放在你的網域目錄 /.well-known/acme-challenge/ 資料夾下，放好之後點選下面的連結，看看是不是能夠讀取到這兩個檔案，確定可以讀取之後才點選「Download SSL Certificate」，不然如果驗證失敗，系統會產生另外的兩個檔案，然後要一直重複步驟 2 ~ 4。
  • 點選「Download All SSL Certificate Files」下載所有檔案並保存好。

到這邊就完成囉！nginx 設定部份請參考 nginx + SSL Certificate – 讓 http 變身成為 https。

參考資料

網站架設系列文章：

這篇文章 SSL For Free – 免費又有綠色鎖頭的 SSL Certificates 最早出現於 記下來。

]]> https://noter.tw/3695/ssl-for-free-%e5%85%8d%e8%b2%bb%e5%8f%88%e6%9c%89%e7%b6%a0%e8%89%b2%e9%8e%96%e9%a0%ad%e7%9a%84-ssl-certificates/feed/ 0