Есть ли возможность автоматизации получения сертификатов НУЦ в traefik acme.httpchallange?

Question

[sl-tx]

Собственно изучил https://nuc.voskhod.ru/api/instructions/10/get-doc... . Они используют патченный acme.sh. Нужно патчить (форкать и реализовывать) код traefik или все таки есть способ настройки traefik? Есть ли у них тестовый сервер acme или мне стоит проводить отладку на основном api?

Comments

[Valentin Barbolin]

Зачем? Он выдается на год, что тут автоматизировать? Сделай себе wildcard и пользуйся им год, а через год обнови сертификат на всех серверах с помощью Ansible.

Answer 1

[sl-tx]

https://disk.yandex.ru/d/mw9je6Qa9EFDvw
Тут 2 файла для патча lego_5.3.1 и traefik_3.7 потом собрать траефик и все работает.
при запуске
- --certificatesresolvers.nucresolver.acme.email={email}
- --certificatesresolvers.nucresolver.acme.caServer=https://nuc-acme.voskhod.ru/acme/api/v1/directory
- --certificatesresolvers.nucresolver.acme.storage=/letsencrypt/acme-nuc.json
- --certificatesresolvers.nucresolver.acme.httpChallenge=true
- --certificatesresolvers.nucresolver.acme.httpChallenge.entrypoint=web
- --certificatesresolvers.nucresolver.acme.keyType=RSA2048
- --certificatesresolvers.nucresolver.acme.nucCompliance=true

Answer 2

[Пума Тайланд]

Штатно вряд ли, но сначала попробуй: в acme-резолвере Traefik задай свой caServer, https://nuc-acme.voskhod.ru/acme/api/v1/directory, и обычный httpChallenge — lego внутри Traefik ходит на любой ACME-сервер. Проблема скорее в другом: Traefik не даёт настроить поля CSR вроде C=RU, которые НУЦ, похоже, и требует, отсюда патченный acme.sh. Если упрёшься именно в это, форкать Traefik не обязательно: гоняй сертификат отдельным скриптом НУЦ по крону, а Traefik пусть подхватывает готовые cert/key через file provider. Публичного staging-эндпоинта не видно, только прод, тестируй на некритичном поддомене.

Comments

[sl-tx]

3-его уровня доменов много + они добавляются под запрос, с LetsEncrypt пока все хорошо, но через cron медленно будет, да и тригерром конфиг менять это путь nginx.
Я все таки думаю может по типу https://github.com/go-acme/lego/pull/2423/changes , добавить необходимое, пересобрать lego, поменять зависимости в traefik, пересобрать его и пробовать

[Пума Тайланд]

sl-tx, форк lego — ок, если сертификат реально нужен on-demand прямо внутри Traefik, тогда PR #2423 как база под CSROptions подходит. Но проще: отдельный ACME-хелпер кладёт готовые cert/key в файлы, а file provider у Traefik сам их подхватывает без reload — это не nginx, конфиг дёргать не надо.

[Пума Тайланд]

sl-tx, я поглядел нуц сертификаты там же вообще нет возможности без верификации подать запрос на сертификат , как вы в итоге хотите это делать?

[sl-tx]

все получилось