letsencrypt legt Apache lahm

[speedy8]

Hallo,
vorletzte Nacht blieb mein Apache hängen. Mit SSH konnte ich mich auf dem Server anmelden, und auch ein Neustart des Apache gelang mir nicht. Erst ein intensiver Blick in die /var/log/apache2/error.log ergab dann die entscheidende Fehlermeldung

[ 2023-04-30 04:37:48.1597 269503/7f0fd2fc7980 age/Wat/WatchdogMain.cpp:1291 ]: Starting Passenger watchdog...
[ 2023-04-30 04:37:48.1791 269506/7fbd0db94980 age/Cor/CoreMain.cpp:982 ]: Starting Passenger core...
[ 2023-04-30 04:37:48.1794 269506/7fbd0db94980 age/Cor/CoreMain.cpp:235 ]: Passenger core running in multi-application mode.
[ 2023-04-30 04:37:48.1830 269506/7fbd0db94980 age/Cor/CoreMain.cpp:732 ]: Passenger core online, PID 269506
[ 2023-04-30 04:37:48.2031 269511/7ff4df694980 age/Ust/UstRouterMain.cpp:529 ]: Starting Passenger UstRouter...
[ 2023-04-30 04:37:48.2044 269511/7ff4df694980 age/Ust/UstRouterMain.cpp:342 ]: Passenger UstRouter online, PID 269511
[Sun Apr 30 04:37:48.207072 2023] [ssl:warn] [pid 269501] AH01909: mein.server.de:443:0 server certificate does NOT include an ID which matches the server name
[Sun Apr 30 04:37:48.230142 2023] [ssl:emerg] [pid 269501] AH02565: Certificate and private key mein.server.de:8080:0 from /usr/local/ispconfig/interface/ssl/ispserver.crt and /usr/local/ispconfig/interface/ssl/ispserver.key do not match AH00016: Configuration Failed

Ich habe ein aktuelles Debian 11 mit der aktuellsten ISPConfig Version 3.2.9p1 am Start.
Ich hatte bislang sowohl mein Control-Panel als auch meinen Mail-Server mit einem Let'sEncrypt-Zertikat abgesichert. Dazu hatte ich eine Anleitung hier aus dem Forum genutzt.

Nun wurde offensichtlich in der Nacht zum 30.04. mein Server-Zertifikat aktualisiert ... und wurde nicht mehr von Apache als "korrekt" erkannt. Oder sehe ich das Falsch?

Habe fürs Control-Panel erst einmal die Verlinkungen aufs letsencrypt-Verzeichnis gelöscht und die ursprünglich selbst erstellten Dateien ispserver.crt und ispserver.key unter /usr/local/ispconfig/interface/ssl/ wieder aktiviert.

Ich frage mich nun aber, ob sich an den LetsEncrypt-Zertifikaten etwas geändert hat? Denn in dieser Anleitung ist ja erläutert, welche Dateien aus dem Zertifikats-Verzeichnis verlinkt werden sollen.
So soll das ja dort wie folgt umgesetzt werden:

ln -s /etc/letsencrypt/live/$(hostname -f)/fullchain.pem ispserver.crt
ln -s /etc/letsencrypt/live/$(hostname -f)/privkey.pem ispserver.key
cat ispserver.{key,crt} > ispserver.pem
chmod 600 ispserver.pem

In meinem LetsEncrypt-Verzeichnis habe ich aber nur folgende Dateien liegen

-rw-r--r-- 1 root root 2236  1. Mai 00:22 server.de.cer
-rw-r--r-- 1 root root  999  1. Mai 00:22 server.de.conf
-rw-r--r-- 1 root root 1740  1. Mai 00:22 server.de.csr
-rw-r--r-- 1 root root  220  1. Mai 00:22 server.de.csr.conf
-rw------- 1 root root 3243  1. Mai 00:22 server.de.key
-rw------- 1 root root 3247  1. Mai 00:22 server.de.key.next
drwxr-xr-x 2 root root 4096  4. Jul 2022  backup
-rw-r--r-- 1 root root 3751  1. Mai 00:22 ca.cer
-rw-r--r-- 1 root root 5987  1. Mai 00:22 fullchain.cer

Insoweit wird von letsencrypt weder die fullchain.pem noch die privkey.pem erstellt. Ist das neu?

Und gehe ich auch recht in der Annahme, dass ich hier nicht wirklich ein Zertifikat genau mit dem Servernamen, also "mein.server.de" erstellen muss, sondern ein zertifikat für "server.de" ausreicht, welches auch bei "www.server.de" genutzt wird und dementsprechend auch für "www.server.de:8080" ???

Für den Mailserver nutze ich ein Zertifkat für "mail.server.de"

Vielen Dank für hilfreiche Tips.

 

[Domi83]

Moin, da sich noch niemand dazu gemeldet hat, tue ich diese einmal.

So etwas hatte ich auch... gibt dazu sogar ein Topic von mir... ich vermute mal, du hattest die Zertifikate auch vorher von "certbot" oder "letsencrypt" generieren lassen. Mittlerweile läuft das über "acme" und da wurden im ISPconfig auch Veränderungen durchgeführt.

Persönlich fand ich es über den alten Weg auch schöner / eleganter, da konnte man nämlich ganz bequem mit einem Befehl zu dem von ISPconfig generierten Zertifikat eine weitere Domain hinzufügen und jetzt geht das nicht mehr so einfach.

Hier muss man sich somit selbst ein wenig was basteln / bauen, wenn man in seinem Server Zertifikat noch eine weitere Domain drin haben möchte, denn auch ich habe immer server01.domain.tld sowie mail01.domain.tld drin gehabt und das geht jetzt nicht mehr so elegant und einfach wie vorher.

Gruß, Domi