Let's Encrypt (ten einde raad)

[Mikeyl]

Beste,
Help! Ik wil mijn certificaten voor websites opnieuw maken, maar krijg het niet meer voor elkaar
Sinds een aantal maanden in het gelukkige bezit van een DS916+. Harddisks netjes van een DS415+ naar de DS916+.  Op mijn DS415+ had ik ook certificaten van Let's Encript. Toen prima verlopen.

Echter omdat ik graag van ex4 naar btfrs wilde over gaan (ivm virtual machine manager) heb ik mijn nas op nieuw geinstalleerd. (Damn en ja niet aan gedacht de certificaten te bewaren). 

Nu wil ik opnieuw de certificaten maken via DSM Sec. manager, maar ik blijf maar steeds de volgende fout melding krijgen:
"verbinding met Let's Encript is mislukt. Vergewis u er van dat de domeinnaam geldig is"

Ik snap er geen snars meer van, heb van alles geprobeerd maar krijg het niet meer voor elkaar. (Ja poort 80 staat open)
Overigens kan ik wel een certificaat maken voor *.synology.me domein...

Iemand nog ideeën?

Mike

[Birdy]

Toch een paar open deuren:

- GEEN tikfout in domeinnaam ?
- Poort 80 wel forwarded naar het juiste IP-adres (DS916+) ?

[Mikeyl]

Hi Birdy,

1) Neen geen typo (Heb meerdere adressen, geen van allen werkt, zelfde fout melding)
2) En ja port 80 komt echt uit op mijn DS916+, kan nl wel met bv *.synology.me naar mijn nas komen, ook met een ander domein 
    waarvoor ik het certificaat wil registeren kan ik via internet (extern) bij mijn nas komen.
3) Heb bv in webstation een domein staan en een website gemaakt en kom dan ook netjes uit bij mijn nas..

Dus ja heel vreemd dat dit niet werkt, had al bij Let's Encrypt gevraagd, die geven aan dat het iets met de DS916+ moet zijn.

[Briolet]

Ik heb geen idee wat er mis is, maar ik weet wel dat de foutmeldingen je soms helemaal op het verkeerde been zetten omdat er soms een volkomen verkeerde reden genoemd wordt.

Overigens kan ik wel een certificaat maken voor *.synology.me domein...

Dan staat de poort goed en werkt het op je nas. Volgens mij blijven er dan alleen tikfouten over in je domeinnamen. Of je zit al aan je dagelijkse quotum aan te maken certificaten.

[dvandonkelaar]

Heb je niet te veel domeinnamen ingevuld? Volgens mij mag je bij Let's Encrypt maximaal 4 domeinnamen registreren per certificaat.

[Mikeyl]

Neen, zover ik weet niet probeer steeds met 1 of maximaal 3 domeinnamen..

Verstuurd vanaf mijn E6853 met Tapatalk

[Briolet]

…mag je bij Let's Encrypt maximaal 4 domeinnamen…

Let's Encrypt laat er 100 toe.  Alleen de nas limiteert het tot 256 tekens.

[MAdD]

geen firewall rules aan staan die het verkeer vanuit specifieke landen blokkeert (had ik ook een keer.....)?

evt de servers van let's encrypt gewhitelist?

[wopper]

Dus ja heel vreemd dat dit niet werkt, had al bij Let's Encrypt gevraagd, die geven aan dat het iets met de DS916+ moet zijn.

Hier draait het goed op de DS916+ hij vernieuwd ook keurig automatisch.

Name:    outbound1.letsencrypt.org
Address:  66.133.109.36

Non-authoritative answer:
Name:    outbound2.letsencrypt.org
Address:  64.78.149.164

Als je deze twee adressen toestaat om op port 80 naar je NAS te browsen, op basis van de DNS naam die je wilt gaan gebruiken. (lees DNS moet dus al ingeregeld zijn voordat je een cert aanvraag doet) Dan heb je grote kans dat het werkt, ik heb zelf port 80 dicht voor de hele wereld behalve die 2 adressen.

"verbinding met Let's Encript is mislukt. Vergewis u er van dat de domeinnaam geldig is"

Ik denk eerder dat je een DNS issue hebt of je website luistert niet op de domein + port combinatie oid. Kan je de URL's delen zodat wij eens kunnen testen vanaf het internet, desnoods via PM ivm privacy?

[Mikeyl]

Heb nu de site van lets encrypt op de whitelist staan maar werkt ook niet. Het rare is dat ik nu voor een 3 tal andere domeinen het nu wel voor elkaar heb. (overigens lijk ik ook problemen te hebben met het installeren van       een web site wat voor heen wel zonder problemen werkte.) denk dat ik maar rigoureus te werk ga en een goede back-up maak van mijn data en de 916+ helemaal opnieuw ga inrichten.. 😬 misschien drastisch.

Verstuurd vanaf mijn E6853 met Tapatalk

[Daddy Cools]

Heren, ik zit met exact hetzelfde probleem.
xx.Syno.me doet het maar zodra ik er een ander adres bij zet krijg ik dezelfde foutmelding.

Dus in de firewall regels de twee ipadressen toegang gegeven en nu krijg ik de melding:
De bewerking is mislukt. Meld u opnieuw aan bij de DSM en probeer opnieuw.

Dus er zit schot in maar beperkt.

Als je oude certificaat is verlopen kan je die dan terug aan de praat krijgen of moet je hem opnieuw aanvragen?

Ik hou jullie op de hoogte van mijn ervaringen.

[Daddy Cools]

Ik heb nog wat zitten proberen maar zit toch nog vast.
Ik heb verschillende subdomein adressen geprobeerd toe te voegen.
En bij de ene krijg ik: "De bewerking is mislukt. Meld u opnieuw aan bij de DSM en probeer opnieuw."
En bij de andere: "verbinding met Let's Encript is mislukt. Vergewis u er van dat de domeinnaam geldig is"

Hoe kan ik proberen of de verificatie vraag van LE op de juiste plek terecht komt voor een subdomein?

Stom dat dit zo moeilijk weer verloopt want het werkte (ik heb een LE cert. op mijn subdomeins kunnen maken)
Meer geluk dan wijsheid denk ik dan maar.

Bedankt voor de hulp in elk geval.

[wopper]

LE doet niets anders dan browsen naar de URL die je opgeeft. Daarom zei ik pas al, deel de URL'S een met iemand die even kan browsen. Of over 4g. HTTP en HTTPS zou in testen.


Want als dat al niet werkt dan kan LE ook niet valideren. 

Alles moet werken zoals je wilt voordat LE kan valideren en het certificaat kan vervangen.

Gebruik je de reverse proxy van Synology?


Verzonden vanaf mijn iPhone met Tapatalk

[Daddy Cools]

Hallo Wopper,
Ik heb even gecontroleerd via mij mobiel 4G. Ook daar de geschiedenis gewist.
Hij laad de pagina maar wel heeeeel langzaam. Ik zie de blokjes ronddraaien voor een hele tijd en dan komt hij een keer op de applicatie. Dus dit veroorzaakt waarschijnlijk een time out bij LE.

Ik gebruik de Reverse proxy in de DSM software om een subdomein door te verwijzen naar https://localhost:xxx

Ik ga aan de slag met de benaderbaarheid van de subdomeinen. Suggesties zijn welkom.

Groeten

[wopper]

Je zou de daadwerkelijke server eens 1op1 in je router kunnen natten op port 8080 oid. Dan heb je een performance test zonder de Synology. Als het dan nog traag is moet je het buiten de Synology zoeken.

Dit is alleen een test, je kan zonder de reverse proxy geen certificaten aanvragen via je NAS. Uiteindelijk worden de groene certificaten in de reverse proxy geladen. Althans bij mij thuis wel.

Ik gebruik vanaf de reverse proxy naar het interne LAN vaak port 80. Dus alleen naar buiten 443. Dan hoeft de nas niet alles te encrypten intern.


Verzonden vanaf mijn iPhone met Tapatalk