Lua-resty-auto-ssl: Ответ OCSP не удался (6: неавторизованный)

Созданный на 22 июл. 2020 · 8Комментарии · Источник: auto-ssl/lua-resty-auto-ssl

За последние несколько дней я столкнулся со следующей ошибкой

[lua] ssl_certificate.lua:260: set_response_cert(): auto-ssl: failed to set ocsp stapling for **xxx** - continuing anyway - failed to get ocsp response: failed to validate OCSP response (http://ocsp.int-x3.letsencrypt.org): OCSP response not successful (6: unauthorized), context: ssl_certificate_by_lua*, client: 37.233.4.76, server: 0.0.0.0:443

Похоже, это вызвано тем, что срок действия сертификата истекает, и поэтому мы не можем использовать сшивание OCSP, но я не уверен, почему он вообще не обновляется правильно.

nginx version: openresty/1.17.8.2

   0.13.1-1 (installed) - /usr/local/lib/luarocks/rocks

lua-resty-http
   0.15-0 (installed) - /usr/local/lib/luarocks/rocks

На данный момент я могу решить эту проблему, выполнив следующие

Удаление сертификата в Redis
Удаление локальной копии (/ etc / resty-auto-ssl / letsencrypt / certs)
перезапустить openresty

Есть ли у кого-нибудь указания, в чем может быть проблема?
В качестве альтернативы, можно ли полностью отключить сшивание OCSP?

Редактировать.
renew_check_interval также не установлен, поэтому он должен иметь значение по умолчанию - один день.

Источник

ronaldgrn

Самый полезный комментарий

Привет, @ phil118, вы можете проверить следующий скрипт Python https://gist.github.com/ronaldgrn/f1a99fde2f380c7d94233466aa88d8fd

Он удаляет сертификаты за 3 дня до истечения срока их действия.
В качестве меры предосторожности сценарий останавливается, если он обнаруживает более 25 сертификатов с истекшим или почти истекшим сроком за один запуск - вы можете изменить это в соответствии со своими потребностями.

ronaldgrn 28 авг. 2020

👍3 🎉1

Все 8 Комментарий

Если это кому-то поможет, я просто написал сценарий, который удаляет сертификаты из redis за 3 дня до истечения срока их действия.

ronaldgrn 26 июл. 2020

такая же проблема здесь. Я не знаю, почему продление одних доменов не удалось, а других - нет.
в любом случае, спасибо @ronaldgrn за решение!

did 5 авг. 2020

@ronaldgrn У меня аналогичная проблема, только несколько доменов не обновляются, это очень странное поведение, так как последний год он отлично работал.

Хотел бы добавить аналогичный скрипт в качестве меры предосторожности. Не могли бы вы объяснить / поделиться, как ваш скрипт удаляет сертификаты по дате в Redis?

Огромное спасибо

phil118 28 авг. 2020

Привет, @ phil118, вы можете проверить следующий скрипт Python https://gist.github.com/ronaldgrn/f1a99fde2f380c7d94233466aa88d8fd

ronaldgrn 28 авг. 2020

👍3 🎉1

@ronaldgrn хороший! Спасибо за это. Я новичок в Python, так что это очень полезно.

phil118 1 сент. 2020

@ronaldgrn Большое спасибо . У меня точно такая же проблема. чтобы решить эту проблему, просто запустите свой скрипт на python 3 и перезапустите openstrey.
Я создал проект по продлению домена. Та же идея с @ronaldgrn , я пытаюсь написать скрипт node.js, который может перезапустить openresty и обновить домен с истечением срока действия за один раз.

schedule.scheduleJob ('5 0 * * *', {

создать конечную точку в openresty, чтобы получить токен (exp: / getSecret)
получить домен с истечением срока действия от Redis
используйте resty-auto-ssl/dehydrated для обновления домена с помощью токена && добавьте флаг restartOpenresty
если флаг, то перезапустите сервер
});