Hi.
Also ich habe vorhin nochmal auf den Server und auf den Host geschaut, der die LE-Zertifikate anfordert (das macht hier direkt die OPNSense-Firewall über das LE-Plugin). Die unterschiedliche Benennung der Dateien hatten wir ja kürzlich schon diskutiert … ich blicke leider trotzdem noch nicht ganz durch. so dass ich nochmal beides gegenüberstelle:
Auf dem Server gibt es (wie schon von dir zitiert):
-rw-r--r-- 1 root root 2822 Feb 17 15:04 server.cert.bundle.pem
-rw-r----- 1 root ssl-cert 1143 Feb 17 15:01 server.cert.pem
-rw-r----- 1 root ssl-cert 976 Feb 17 15:01 server.csr
-rw------- 1 root ssl-cert 1679 Feb 17 15:01 server.key.pemDaneben gibt es auf dem Server aber auch noch:
-rw-r----- 1 root ssl-cert 1648 Feb 19 12:54 cacert.crt
-rw-r----- 1 root ssl-cert 1648 Feb 19 12:54 cacert.pem
-rw-r----- 1 root ssl-cert 1812 Sep 14 16:28 cacert.pem.b64
-rw-r----- 1 root ssl-cert 41 Sep 14 16:28 cacert.srl
-rw------- 1 root ssl-cert 1766 Sep 14 16:28 cakey.pemAuf der anderen Seite, sieht das gleiche Verzeichnis so aus:
-rwxr-x--- 1 root wheel 1648 Jan 29 10:08 ca.cer*
-rwxr-x--- 1 root wheel 3933 Jan 29 10:08 fullchain.cer*
-rwxr-x--- 1 root wheel 2285 Jan 29 10:08 server.linuxmuster.meine-domain.de.cer*
-rwxr-x--- 1 root wheel 1700 Jan 29 10:08 server.linuxmuster.meine-domain.de.csr*
-rwxr-x--- 1 root wheel 3243 Nov 21 11:32 server.linuxmuster.meine-domain.de.key*Ich habe also alles auf den Server nach /etc/linuxmuster/ssl rüberkopiert und umbenannt, und zwar:
server.linuxmuster.meine-domain.de.cer --> server.cert.pem
server.linuxmuster.meine-domain.de.csr --> server.csr
server.linuxmuster.meine-domain.de.key --> server.key.pem(bis hierhin eindeutig, meine ich)
Aber dann:
ca.cer --> cacert.crt (??)
ca.cer --> cacert.pem (??)Wenn ich jetzt den Befehl openssl s_client -connect server:443 loslasse, erhalte ich leider weiterhin nur:
---
Certificate chain
0 s:CN = server.linuxmuster.meine-domain.de
i:C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
---… aber die o.g. verify error bleiben.
Leider ist mir die Rolle der ca-Zertifikate sowie der fullchain (im Vergleich zum bundle) nicht ganz klar.
Hier ein gescheites HowTo, wo mal die Basics vernünftig erklärt werden. Natürlich gibt’s was offizielles – das ist aber über 300 Seiten stark und liest sich nicht mal kurz nebenbei.
Wie gesagt: openssl s_client -connect firewall:443 liefert die Fehler nicht, so dass der Fehler auf der Serverseite liegen muss.
@mdt: Blickst du noch durch?
Schönen Gruß,
Michael