Трафик не получает SSL-сертификаты для новых доменов - PullRequest
Новая
       50

Трафик не получает SSL-сертификаты для новых доменов

0 голосов
/ 07 июля 2019

У меня есть Traefik / Docker Swarm / Let's Encrypt / Consul, и он работает нормально. Ему удалось успешно получить сертификаты для доменов admin.domain.tld, registry.domain.tld и staging.domain.tld, но теперь, когда я попытался добавить контейнеры, которые обслуживают domain.tld и matomo.domain.tld, которые не получают никаких сертификатов (браузер предупреждает самоподписанного сертификата, потому что это сертификат Traefik по умолчанию).

Моя конфигурация Traefik (загружается в Консул): 

debug = false
logLevel = "DEBUG"

insecureSkipVerify = true

defaultEntryPoints = ["https", "http"]

[entryPoints]
    [entryPoints.ping]
    address = ":8082"
    [entryPoints.http]
    address = ":80"
        [entryPoints.http.redirect]
        entryPoint = "https"
    [entryPoints.https]
    address = ":443"
    [entryPoints.https.tls]

[traefikLog]
    filePath = '/var/log/traefik/traefik.log'
    format = 'json'
[accessLog]
    filePath = '/var/log/traefik/access.log'
    format = 'json'
    [accessLog.fields]
        defaultMode = 'keep'
        [accessLog.fields.headers]
            defaultMode = 'keep'
            [accessLog.fields.headers.names]
                "Authorization" = "drop"

[retry]

[api]
entryPoint = "traefik"
dashboard = true
debug = false

[ping]
entryPoint = "ping"

[metrics]
    [metrics.influxdb]
    address = "http://influxdb:8086"
    protocol = "http"
    pushinterval = "10s"
    database = "metrics"

[docker]
endpoint = "unix:///var/run/docker.sock"
domain = "domain.tld"
watch = true
exposedByDefault = false
network = "net_web"
swarmMode = true

[acme]
email = "my@mail.tld"
storage = "traefik/acme/account"
entryPoint = "https"
onHostRule = true
[acme.httpChallenge]
entryPoint = "http"

Возможно, связано, что в traefik.log я многократно (как почти раз в секунду) получаю следующее (но только для субдомена registry). Звучит как проблема сохранения данных для консула, но нет ошибок, указывающих на такую ​​проблему. 

{"level":"debug","msg":"Looking for an existing ACME challenge for registry.domain.tld...","time":"2019-07-07T11:37:23Z"}
{"level":"debug","msg":"Looking for provided certificate to validate registry.domain.tld...","time":"2019-07-07T11:37:23Z"}
{"level":"debug","msg":"No provided certificate found for domains registry.domain.tld, get ACME certificate.","time":"2019-07-07T11:37:23Z"}
{"level":"debug","msg":"ACME got domain cert registry.domain.tld","time":"2019-07-07T11:37:23Z"}

Обновление: Мне удалось найти эту строку в журнале: 

{"level":"error","msg":"Error getting ACME certificates [matomo.domain.tld] : cannot obtain certificates: acme: Error -\u003e One or more domains had a problem:\n[matomo.domain.tld] acme: error: 400 :: urn:ietf:paramsacme:error:connection :: Fetching http://matomo.domain.tld/.well-known/acme-challenge/WJZOZ9UC1aJl9ishmL2ACKFbKoGOe_xQoSbD34v8mSk: Timeout after connect (your server may be slow or overloaded), url: \n","time":"2019-07-09T16:27:43Z"}

Так что, похоже, проблема в том, что проблема не удалась из-за тайм-аута. Почему тайм-аут?

Обновление 2: Дополнительные записи в журнале: 

{"level":"debug","msg":"Looking for an existing ACME challenge for staging.domain.tld...","time":"2019-07-10T19:38:34Z"}
{"level":"debug","msg":"Looking for provided certificate to validate staging.domain.tld...","time":"2019-07-10T19:38:34Z"}
{"level":"debug","msg":"No provided certificate found for domains staging.domain.tld, get ACME certificate.","time":"2019-07-10T19:38:34Z"}
{"level":"debug","msg":"No certificate found or generated for staging.domain.tld","time":"2019-07-10T19:38:34Z"}
{"level":"debug","msg":"http: TLS handshake error from 10.255.0.2:51981: remote error: tls: unknown certificate","time":"2019-07-10T19:38:34Z"}

Но потом, через пару минут или час, он работает (пока для двух доменов).

1 Ответ

0 голосов
/ 10 июля 2019

не уверен, является ли это функцией или ошибкой, но удаление следующего перенаправления с http на https решило это для меня: 

 [entryPoints.http.redirect]
        entryPoint = "https"
...