Как получить сертификат на поддомен?

Question

[Влад Скляр]

Есть сервер на Nginx. На сервере работает сайт с сертификатом от Let's Encrypt
Я установил phpMyAdmin и решил сделать его поддоменом, вот конфиг Nginx:

server {
	listen 80 http2;
	listen [::]:80 http2;
	listen 443 ssl http2;
	listen [::]:443 ssl http2;
	
	root /usr/share/phpmyadmin/;
	index index.php;
	autoindex off;
	server_name phpmyadmin.site.ru www.phpmyadmin.site.ru;

	ssl_certificate /home/Webserver/site.ru/SSL/fullchain.pem;
	ssl_certificate_key /home/Webserver/site.ru/SSL/privkey.pem;
	ssl_trusted_certificate /home/Webserver/site.ru/SSL/chain.pem;

	location ^~ /.well-known/acme-challenge/ {
		default_type "text/plain";
		root /usr/share/phpmyadmin/;
	}

	location = /.well-known/acme-challenge/ {
		return 404;
	}

	location ~ /\.ht {
		deny all;
	}
	
	location / {
		try_files $uri $uri/ =404;
	}
	
	location ~ \.php$ {
		root /usr/share/phpmyadmin/;
		try_files $uri =404;
		fastcgi_split_path_info ^(.+\.php)(/.+)$;
		fastcgi_pass unix:/run/php/php-fpm-site.ru.sock;
		fastcgi_index index.php;
		fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
		include fastcgi_params;
	}
}

Конечно я создал в /usr/share/phpmyadmin каталог /.well-known/acme-challenge/ и направил DNS на поддомен и подождал час.
После чего, я пытаюсь расширить командой:

certbot certonly --dry-run --webroot -w /usr/share/phpmyadmin/ --expand -d phpmyadmin.site.ru -d www.phpmyadmin.site.ru

Но бот выдает ошибку:

Failed authorization procedure. phpmyadmin.site.ru (http-01): urn:ietf:params:acme:error:connection :: The server could not connect to the client to verify the domain :: Fetching http://phpmyadmin.site.ru/.well-known/acme-challenge/f0VCqUCbl1UC23M92EwElY4OcICO5gV48bKjRIiZxqw: Error getting validation data, www.phpmyadmin.site.ru (http-01): urn:ietf:params:acme:error:connection :: The server could not connect to the client to verify the domain :: Fetching http://www.phpmyadmin.site.ru/.well-known/acme-challenge/AoIxyKLTCL7gzbnH9s7qhaNMPUveA71kMWzZsIxCO3M: Error getting validation data

Судя по ошибки, он не может получить доступ, но я не понимаю почему?

Comments

[stratosmi]

А вы можете получить доступ? Там же простой GET. Проверьте просто в браузере.
И посмотрите логи nginx.

[Влад Скляр]

stratosmi, все соединение зашифрованно, поэтому браузер не может подтвердить сертификат, это надо снимать весь SSL со всего сайта, хотелось бы более безболезненный метод, так да, я понимаю, что там простой GET

[stratosmi]

Влад Скляр,
ничего там не зашифровано.
имеется ввиду - притворитесь проверяющей системой LetsEncrypt.
и запросите тот самый URL, что она не может получить с вашего сайта.
ваш сайт вообще отдает этот файл?

[Влад Скляр]

stratosmi,

Ваше подключение не является приватным
Не удалось подтвердить, что это сервер phpmyadmin.site.ru. Его сертификат безопасности относится к site.ru. Возможно, сервер настроен неправильно или кто-то пытается перехватить ваши данные.

Вы не можете продолжить, так как оператор сайта запросил повышенный уровень безопасности для этого домена.

[stratosmi]

Влад Скляр,
LetsEncrypt запрашивает проверку по HTTP, а не по HTTPS

[Влад Скляр]

stratosmi, вы гений, из-за того что стоит заголовок обязательного использования 443 порта в настройках nginx, вот и не отдается get по 80
Позже проверю и отпишу

[stratosmi]

Влад Скляр, у вас порт 80 требует http/2.
А http/2 живет только с SSL

[Влад Скляр]

stratosmi, да, плюс инклудиться файл настроек ssl модуля с заголовком на принудительное использование ssl

[stratosmi]

Влад Скляр, а LetsEncrypt требуется для проверки перед тем как вам отдадут сертификат - обычный HTTP, не HTTPS и не HTTP/2

[Влад Скляр]

stratosmi, отключил http2, отключил HSTS и только после этого сработало

Answer 1

[ky0]

Прибейте на HTTP 2.0, оставив в блоке, отвечающем за 80 порт только локейшен для верификации LE и безусловный редирект на HTTPS:

server {
        listen 80;

        location /.well-known/acme-challenge {
                root /usr/share/phpmyadmin;
        }

        location / {
        rewrite ^/(.*) https://$host/$1;
        }
}