Как чайнику победить certbot?

Question

[Алексей]

Всем привет. Что имеем: домен, делегированный на Яндекс, локальную сеть, сервер Rocketchat на Ubuntu 20.04, роутер Микротик и определенное количество юзеров.
Требуется: сделать рокет доступным извне. Для этого было принято решение использовать certbot.
В днс яндекса прописана А запись для субдомена rocket.domainame.ru с указанием на белый ip.
Не очень понимаю, требуется ли подтверждать владение субдоменом (на яндексе субдомен=сайт)?
Все мои попытки получить сертификат оканчиваются следующим:

~$ sudo certbot --nginx -d rocket.kb-modul.ru
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator nginx, Installer nginx
Obtaining a new certificate
Performing the following challenges:
http-01 challenge for rocket.kb-modul.ru
Waiting for verification...
Challenge failed for domain rocket.kb-modul.ru
http-01 challenge for rocket.kb-modul.ru
Cleaning up challenges
Some challenges have failed.

IMPORTANT NOTES:
- The following errors were reported by the server:

Domain: rocket.kb-modul.ru
Type: unauthorized
Detail: Invalid response from
rocket.kb-modul.ru/.well-known/acme-challenge/ZeO3...
[84.*.*.14]: ""-//W3C//DTD XHTML 1.0
Strict//EN\"
\"http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd\">\r\n

xmlns=\"http"

To fix these errors, please make sure that your domain name was
entered correctly and the DNS A/AAAA record(s) for that domain
contain(s) the right IP address.

Я в этом "варюсь" не особо долго, сильно не бейте
Благодарю за внимание!

Comments

[Sand]

curl -I http://rocket.kb-modul.ru/.well-known/acme-challenge/ZeO3w_fkf0SMfDjq6hX5xvoF9_O9VccK57VhkjPI0z4
HTTP/1.1 404 Not Found
Content-Length: 1245
Content-Type: text/html
Server: Microsoft-IIS/10.0
X-Powered-By: ASP.NET
Date: Tue, 07 Sep 2021 09:27:35 GMT

Собственно вот

[Алексей]

Sand, Поясните пожалуйста, о чём это говорит?

[Sand]

Алексей, о том что по адресу

http://rocket.kb-modul.ru/.well-known/acme-challenge/ZeO3w_fkf0SMfDjq6hX5xvoF9_O9VccK57VhkjPI0z4

, к которому обращается проверка, отсутствует соответствующий файл. Вы инструкцию читали? Там есть что-то про этот файл?

[Vindicar]

Алексей, ты используешь challenge вида HTTP, т.е. тебе нужно иметь поднятый веб-сервер, который готов ответить на запрос issuer'а сертификатов заранее оговоренным ответом (чтобы доказать что ты владеешь доменом, на который выдается сертификат). Как правило, скрипт типа certbot'а указывает/позволяет задать директорию, в которую он будет помещать ответы на challenge. Твоя задача - настроить веб-сервер так, чтобы эта директория была доступна по указанному URL, либо подсунув её в корневой каталог веб-сервера через симлинки, либо настроив url_rewrite, либо ещё как.
Альтернатива - DNS challenge, где тебе потребуется по запросу скрипта создать в домене TXT запись с указанным именем и содержимым. Если твой DNS-хостер предоставляет API для программного управления записями в домене, можно попробовать его. Но HTTP challenge проще для понимания, хотя и требует наличия вебсервера.

[Алексей]

Vindicar, так, прошу поподробней для чайника. Требуется веб сервер. Имеется nginx.

Твоя задача - настроить веб-сервер так, чтобы эта директория была доступна по указанному URL, либо подсунув её в корневой каталог веб-сервера через симлинки, либо настроив url_rewrite, либо ещё как.

Речь идет про правку конфигурационного файла nginx?

[Алексей]

Sand, вообще ни слова. Делал всё команда в команду, но увы

[mureevms]

Порты-то с Микротика на Rocketchat проброшены?

[Vindicar]

Алексей, через конфиг - это один способ. Я использую lighttpd + dehydrated (клиент для letsencrypt), но принцип, имхо, один и тот же.
Например, в конфиге lighttpd у меня есть строка

alias.url += ( "/.well-known/acme-challenge" => "/home/letsencrypt/dehydrated/.acme-challenges" )

которая редиректит все challenge-запросы в директорию, с которой работает dehydrated.
Но имхо то же самое можно было бы сделать, поместив в /var/www/.well-known симлинк по имени acme-challenge, указывающий на каталог /home/letsencrypt/dehydrated/.acme-challenges .
Конечная цель одна - чтобы HTTP-запрос по URL /.well-known/acme-challenge/чтототам добирался до каталога, с которым работает твой certbot.

[Алексей]

Vindicar, Я, видимо, вообще не туда копал... То, что на роутере 80 и 443 порты заняты может мешать получить сертификат по веб? Если да, то смотреть на dns challenge?

[Vindicar]

Алексей, у тебя certbot и веб-сервер на одной и той же машине крутятся? Если да, то порты тут ни причём - лишь бы запрос снаружи доходил до веб-сервера.
А вот если на разных, то всё грустно. Либо разбираться, как делать DNS challenge - но это требует программирования, чтобы дергать API твоего DNS провайдера.
Либо исхитряться, и монтировать каталог с одной машины на другую по сети.
Честно, проще завести certbot там же, где веб-сервер.

[Алексей]

mureevms,
И так же 443 порт.
Но вот какое дело: 80 и 443 порты заняты Exchange. Является ли это помехой для получения сертификата по web?

[mureevms]

Алексей, если 192.168.150.59 это Exchange сервер, то ясно, что до Рокет сервера запросы тупо не доходят. Чтобы подружить проброс HTTP(S) портов, и работу нескольких веб серверов за NATом надо поднять nginx, пробросить порты на него, затем в зависимости от имени DNS запроса проксировать эти запросы на Rocketchat или Exchange. Т.е. схема такая:

Юзер -> Микротик (80|443) -> Nginx сервер   ┐
                                            ├> запрос на exchange.domain.com   -> Proxy-pass на Exchange сервер
                                            └> запрос на rocketchat.domain.com -> Proxy-pass на Rocketchat сервер

Надо иметь ввиду, что Nginx сервер и Rocketchat сервер могут быть одной машиной

[mureevms]

Vindicar,

у тебя certbot и веб-сервер на одной и той же машине крутятся? Если да, то порты тут ни причём - лишь бы запрос снаружи доходил до веб-сервера.

Они могут крутиться и на одном сервере, но это не тот сервер на который прокинуты порты с Микротика. Посмотри на ответ сервера по ссылке, там винда. Такого ответа не даст сервер на Линуксе (если специально не настроить, конечно)