Help needed with SSL-Cert

[Dyo]

Hello,

on my ISPConfig there are a lot of domains, one of them using a bought Cert.
Untill this weekend everything went fine, but the cert expired this weekend. So I bought the new one from the same authority, but cant get it to work.

The old one had the cert and already a bundle-file that was in use on the old server. On this new server it worked for a few month, so there seems to be fine everything.
The new Cert is a bundle-file.
But how to get this working?

All conbinations to fill in the form for cert and bundle in ispconfig dont work.
Tried to attach the new file to the existing ones, tried to replace them, tried different combinations of the certificates included in this bundle, but cant get it to work.
Ispconfig dont give me an error, but the server delievers the old expired cert, so users have to allow an exception for an expired cert, waht some users wont do.

Con ya help me?

Regards

Dyo

 

[Strontium]

using a bought Cert.

Warum machst du es nicht mit Lets Encrypt?

 

[Dyo]

Ist ein Oldieforum einer recht noblen Marke, dementsprechend "anders" ist auch das Klientel.
Wenn die Seite von einem Browser als nicht sicher vermerkt wird, drehen die User dort am Rad, es geht ja um sensible Daten bla bla bla

Ich verstehe den Wahnsinn mit der Verschlüsselei auch nicht, bei einer Kaufaktion mit Adressdaten Telefonnummern und Kreditkertennummern, könnte ich dasx verstehen, aber in einem Forum publiziert man ja seine Dinge eben für die Öffentlichkeit.

Aber egal, muss ich nun durch.
Ein Admin des Serverzentrum, hat sich das heute angeschaut und auch nicht ans laufen gebracht.
Nun ist ein neuer Key und eine neue CSR erstellt worden, neue Zertifikate liegen vor und auch damit geht es nicht.

Habe allerdings eine Vermutung.
Das ISPConfig erzeugt die Vhostdateien für den Apachen, darin wird ein Key und auch ein Cert angegeben, allerdings kein Bundle.
Da bei uns ein Zert, 2 Zwischenzertifikate und ein Rootcert vorliegen, ist aber ohne Bundle die Kette gestört.
Erstellt werden die Dateien für das Bundle.
Nur eben wird dem Apachen nicht explizit für den Vhost mitgeteilt wo sie sind.
Wenn nun der Apache seine bei der Installation erstellten LE-Cert-Daten nimmt, um damit das fehlende Bundle zu authentifizieren kann das kein Browser als gültig anerkennen.
Soviel meine Gedanken dazu.
Werde morgen da wieder dran gehen und erstmal nach der passenden Direktive suchen.
SSLCertificateKeyFile und SSLCertificateFile stehen in der Vhost drin.
Wahrscheinlich gibt es auch sowas wie SSLCertificateBundleFile oder so ähnlich.

 

[Dyo]

PS:
Grade mal so in Tante Guhgel eingegeben und folgendes Gefunden, was vielleicht die Lösung ist.

• SSLCertificateChainFile is the DigiCert intermediate certificate file (e.g., DigiCertCA.crt)
  
  

  Note: If the SSLCertificateChainFile directive does not work, try using the SSLCACertificateFile directive instead.

 

[Strontium]

was vielleicht die Lösung ist.

https://forum.howtoforge.de/threads/letencrypt-richtige-probleme.12086/post-59771

 

[florian030]

Habe allerdings eine Vermutung.
Das ISPConfig erzeugt die Vhostdateien für den Apachen, darin wird ein Key und auch ein Cert angegeben, allerdings kein Bundle.

Dann kopier doch den Inhalt des Bundles in das entsprechende Feld bei SSL.

 

[Till]

Wie Florian geschrieben hat, bundle files bei nicht let's encrypt zertifikaten einfach in das passende Feld auf dem SSL reioter kopieren, bei aktion speichern auswählen und auf speichern klicken. Das Bundle wird aber bei aktuellen apache versionen im cert file mit abgelegt, die SSLCertificateChainFile wird heute nicht mehr benutzt bzw. nur noch bei alten apache versionen, ISPConfig erkennt selbständig ob die Apache Version die alte oder neue Vorhenesweise benötigt.

 

[Dyo]

Alles schon ausprobiert, geht einfach nicht.
Nachdem der Admin aus dem Servercenter unseres Providers auch aufgegeben hat, nehmen wir eben jetzt dort auch LE, was auf anderen Domains unseres Servers schon länger läuft.
Vermutlich irgendwas mit Inkompatibilitäten unter Versionen, da gibts doch auch Bugs mit OpenSSL 3 wie man liest.

Also Thema durch, certbot-auto gleich hinterher geschoben als cron und vergessen das thema....