☰

Apache LetsEncrypt-Zertifikat kann nicht erneuert werden

tag-icon • tag-icon apache-http-server webserver certificate ssl-certificate letsencrypt
Apache LetsEncrypt-Zertifikat kann nicht erneuert werden

Ok, ich habe vergessen, mein Let's Encrypt-Serverzertifikat zu erneuern, und kann Apache einfach nicht starten. Hier ist das aktuelle CentOS, das ich stattdessen bekomme:

service httpd status
Redirecting to /bin/systemctl status httpd.service
● httpd.service - The Apache HTTP Server
   Loaded: loaded (/usr/lib/systemd/system/httpd.service; enabled; vendor preset: disabled)
   Active: failed (Result: exit-code) since Sat 2019-03-23 18:55:50 PDT; 6s ago
     Docs: man:httpd(8)
           man:apachectl(8)
  Process: 3216 ExecStop=/bin/kill -WINCH ${MAINPID} (code=exited, status=1/FAILURE)
  Process: 32430 ExecReload=/usr/sbin/httpd $OPTIONS -k graceful (code=exited, status=0/SUCCESS)
  Process: 3213 ExecStart=/usr/sbin/httpd $OPTIONS -DFOREGROUND (code=exited, status=1/FAILURE)
 Main PID: 3213 (code=exited, status=1/FAILURE)

Mar 23 18:55:50 localhost.localdomain systemd[1]: Starting The Apache HTTP Server...
Mar 23 18:55:50 localhost.localdomain httpd[3213]: AH00558: httpd: Could not reliably determine the server's fully qualified domain name...message
Mar 23 18:55:50 localhost.localdomain systemd[1]: httpd.service: main process exited, code=exited, status=1/FAILURE
Mar 23 18:55:50 localhost.localdomain kill[3216]: kill: cannot find process ""
Mar 23 18:55:50 localhost.localdomain systemd[1]: httpd.service: control process exited, code=exited status=1
Mar 23 18:55:50 localhost.localdomain systemd[1]: Failed to start The Apache HTTP Server.
Mar 23 18:55:50 localhost.localdomain systemd[1]: Unit httpd.service entered failed state.
Mar 23 18:55:50 localhost.localdomain systemd[1]: httpd.service failed.
Hint: Some lines were ellipsized, use -l to show in full.

Ich weiß beim besten Willen nicht, was da schief läuft. Ich kann das nicht starten ... und deshalb kann ich auch mein Zertifikat nicht erneuern. War ich ein Hacker? Ich schätze, ich sollte mit meiner Bitte um Hilfe nicht so kurz angebunden und idiotisch sein. Hier ist der zugehörige und aktuelle Inhalt meiner Apache-Protokolle /var/log/httpd/error_log:

[Sat Mar 23 16:27:43.414544 2019] [core:error] [pid 1330] AH00546: no record of generation 19 of exiting child 19951
[Sat Mar 23 16:27:43.533511 2019] [:error] [pid 19955] SSL Library Error: -8181 Certificate has expired
[Sat Mar 23 16:27:43.533542 2019] [:error] [pid 19955] Unable to verify certificate 'Server-Cert'. Add "NSSEnforceValidCerts off" to nss.conf so the server can start until the problem can be resolved.

/var/log/httpd/ssl_error_log:

[Sat Mar 23 16:40:20.015874 2019] [ssl:warn] [pid 21695] AH01909: RSA certificate configured for localhost.localdomain:443 does NOT include an ID which matches the server name
[Sat Mar 23 16:40:54.682141 2019] [ssl:warn] [pid 21735] AH01909: RSA certificate configured for localhost.localdomain:443 does NOT include an ID which matches the server name

Ich möchte nur, dass mein Server schnell wieder läuft, und plötzlich denke ich, ich bin bei Logans Run und alle anderen gewinnen, nur ich nicht...............

Ich weiß, wir haben 2019 und ich habe meine Optionen, aber ich verwende immer noch Apache, weil meine Distribution es hatte und es, wie Sie sehen, schon immer so funktioniert hat.

Ich gebe es zu, dass ich faul bin. Manchmal ist mein Leben hektisch, manchmal will der Kunde so viel, dass ich müde bin und vergesse, zu Treffen oder kostenlosen Workshops zu gehen oder sogar den Hund zu waschen.

Antwort1

Ich habe mich dieses Jahr bereits damit befasst und das Seltsame ist, dass dies nichts mit Ihrem SSL-Server-Zertifikat oder Hackerd zu tun hat. Wenn Sie das von Ihnen übermittelte Protokoll lesen, finden Sie tatsächlich einen Vorschlag von Apache, was zu tun ist. Wenn Sie diese Zeile hinzufügen:

NSSEnforceValidCerts off

in /etc/httpd/conf.d/nss.conf, können Sie Ihren Server wieder starten. Keine Sorge, die Cypher-Gangs haben keinen Sploit hochgeladen, um die Leistungsfähigkeit Ihres Servers zu beenden. Hier finden Sie eine gute Antwort darauf, was schief läuft: https://serverfault.com/posts/578073/revisions

Am besten deinstallieren Sie NSS, da Sie es wahrscheinlich sowieso nicht verwenden. Es ist nur der beschissene Zeitpunkt, dass Ihr NSS-Zertifikat kaputt geht und gleichzeitig auch Ihr SSL-Zertifikat kaputt geht. Das NSS-Zertifikat hat nichts mit dem SSL-Zertifikat zu tun.

verwandte Informationen