Let's Encrypt

Zitat von stylistics

Ein Zertifikat kauf mal einmal für z.B. drei Jahre (27€) und gut ist, und ich kann es ohne großen Aufwand
für andere Dienste verwenden.

Mal doof gefragt: Wo bekommt man das für diesen Preis? Eine spontane Recherche ergab gerade ca. 100 Euro im Jahr - ist natürlich noch immer nicht die Welt, aber schon eine Schallgrenze, bei der manche Kunden meckern könnten (zumal es ja gar nicht so einfach ist, einem normalen Anwender zu erklären, wozu ein Zertifikat überhaupt gut ist).

Zitat von stylistics

PS: Tobit Verkauft keine Webserver Zertifikate, sondern eMail (S/MIME) Zertifikate (von D-Trust).

NOCH nicht. Ich denke, denen ist schon bewusst, dass da was passieren muss - wenn man ein selbsterstelltes Zertifikat in der Webbox und eine dynamische IP hat, bekommt man den Webaccess über https ja zum Beispiel nur noch übers Wegklicken vieler fieser Warnmeldungen aufgerufen. Gut möglich, dass neuere Versionen von iOS und Android da auch wählerischer werden. Mein Tipp ist, dass Tobit demnächst eine integrierte Lösung anbieten möchte, wie schon mit SPAM-Filter, Virenschutz, ePost, Mail-Zertifikaten usw. - nur wird diese Lösung nicht kostenlos und somit nicht auf Let's Encrypt basieren.

ist auch zu empfehlen. große auswahl und sehr guter support wenns mal klemmt.

Merci! Werde mich bei beiden mal umschauen.

Moin.

Die PSW-Group kann ich auch sehr empfehlen. Sehr gut telefonisch erreichbar, Rückrufwünsche funktionieren und der Support ist wirklich exzellent.

Jörg.

Bei mir tritt der Fehler immer noch auf, dass nach dem automatischen Erneuern um 9 Uhr täglich der Server nicht mehr erreichbar ist.
wie oben schon beschrieben... hat das sonst keiner mehr?

Guten Morgen, pünktlich um 09:00 die Aufgabenplanung

TCP/IP SSL Bind Failed  Error Port 443 konnte nicht registriert werden.  Comment David WebBox ist nicht betriebsbereit.

Und im Statusmonitor steht foglendes:

(00000764) New Socket
(00000764) ReUseAddr          : 1
(00000764) OutOfBandDataInline: 1
(00000764) KeepAlive          : 5 minutes
(00000764) Socket Bound to Port 80
(00000764) listen
WebBox Active
(00000780) New Socket
(00000780) ReUseAddr          : 1
(00000780) OutOfBandDataInline: 1
(00000780) KeepAlive          : 5 minutes
(00000780) Socket Bound to Port 843
(00000780) listen
(00000792) New Socket
(00000792) ReUseAddr          : 1
(00000792) OutOfBandDataInline: 1
(00000792) KeepAlive          : 5 minutes
(00000792) Socket Bound to Port 443
(AC) Certificate state: \\server\david\apps\webbox\code\wbcert.pem
(AC) Certificate state failed!
Using TLS file (\\server\david\apps\webbox\code\wbcert.pem)
Error loading certificate chain file! TLS not available (\\server\david\apps\webbox\code\wbcert.pem)
(00000800) New Socket
(00000800) ReUseAddr          : 1
(00000800) OutOfBandDataInline: 1
(00000800) KeepAlive          : 5 minutes
(00000800) Socket Bound to Port 81
(00000800) listen
WebBox Second Port Active

Führe ich die Aufgabe nach Beenden ernaut manuell aus klappt es.

Das klingt nach einem Rechteproblem der Aufgabe.

Ansonsten vor dem Starten der webbox noch 30 Sekunden warten eventuell ist nicht alles beendet.

Gruß Michael

Zitat von lycra

Guten Morgen, pünktlich um 09:00 die Aufgabenplanung

Code

TCP/IP SSL Bind Failed  Error Port 443 konnte nicht registriert werden.  Comment David WebBox ist nicht betriebsbereit.

Und im Statusmonitor steht foglendes:

Code

(00000764) New Socket
(00000764) ReUseAddr          : 1
(00000764) OutOfBandDataInline: 1
(00000764) KeepAlive          : 5 minutes
(00000764) Socket Bound to Port 80
(00000764) listen
WebBox Active
(00000780) New Socket
(00000780) ReUseAddr          : 1
(00000780) OutOfBandDataInline: 1
(00000780) KeepAlive          : 5 minutes
(00000780) Socket Bound to Port 843
(00000780) listen
(00000792) New Socket
(00000792) ReUseAddr          : 1
(00000792) OutOfBandDataInline: 1
(00000792) KeepAlive          : 5 minutes
(00000792) Socket Bound to Port 443
(AC) Certificate state: \\server\david\apps\webbox\code\wbcert.pem
(AC) Certificate state failed!
Using TLS file (\\server\david\apps\webbox\code\wbcert.pem)
Error loading certificate chain file! TLS not available (\\server\david\apps\webbox\code\wbcert.pem)
(00000800) New Socket
(00000800) ReUseAddr          : 1
(00000800) OutOfBandDataInline: 1
(00000800) KeepAlive          : 5 minutes
(00000800) Socket Bound to Port 81
(00000800) listen
WebBox Second Port Active

Alles anzeigen

Führe ich die Aufgabe nach Beenden ernaut manuell aus klappt es.

Let's Encrypt sollte helfen

Zitat von stylistics

Let's Encrypt sollte helfen

Ich habe ja deine ANpassung genommen:

@echo off
set domain="mail.domain.de"
set davidinstall="D:\David"
NET STOP "David Webbox"
START "" /B "c:\ssl\python.bat"
START "" /WAIT ""c:\ssl\letsencrypt.exe --renew --baseuri "https://acme-v01.api.letsencrypt.org/""
TASKKILL /IM python.exe /F
timeout /t 5
type c:\ssl\certs\%domain%-key.pem > c:\ssl\certs\wbcert.pem
type c:\ssl\certs\%domain%-chain.pem >> c:\ssl\certs\wbcert.pem
del "%davidinstall%\Apps\Webbox\Code\wbcert.pem"
copy c:\ssl\certs\wbcert.pem "%davidinstall%\Apps\Webbox\Code"
NET START "David Webbox"
exit

Aber es klappt nicht, grade wieder. musste die aufgabe beenden und dann erneut manuell starten.
Bis das gelöst ist habe ich das nun mal auf wöchentlich umgestellt die Aufgabe.

Zitat von michaelstaehle

Ansonsten vor dem Starten der webbox noch 30 Sekunden warten eventuell ist nicht alles beendet.

Und wie mache ich das ?
Noch einen befehl in die update.bat einfügen?

Vielleicht auch einfach die Uhrzeit abändern? Weil ab 8 Uhr unser Büro genutzt wird?
Auf 7 Uhr ggf einstellen dass dernicht "gestört" wird?

Wenn der Script Ablauf passt, ist die Uhrzeit egal.
ergänze mal die call_update.cmd:

cmd.exe < c:\ssl\update.bat >> c:\ssl\update_log.txt

starte diese (Administrator) und prüfe die Log Datei ob die Webbox beendet wird,
bzw ob Fehler verzeichnet sind.

Habe ich gemacht.

Im Log steht nun folgendes:

Microsoft Windows [Version 6.1.7601]Copyright (c) 2009 Microsoft Corporation. Alle Rechte vorbehalten.C:\SSL>@echo offset domain="mail.domain.de"set davidinstall="D:\David"NET STOP "David Webbox"David WebBox wird beendet.David WebBox wurde erfolgreich beendet.START "" /B "c:\ssl\python.bat"START "" /WAIT ""c:\ssl\letsencrypt.exe --renew --baseuri "https://acme-v01.api.letsencrypt.org/""C:\SSL>c:\ssl\python.exe -m http.server 80 TASKKILL /IM python.exe /FERFOLGREICH: Der Prozess "python.exe" mit PID 13764 wurde beendet.timeout /t 5C:\SSL>type c:\ssl\certs\%domain%-key.pem > c:\ssl\certs\wbcert.pemC:\SSL>type c:\ssl\certs\%domain%-chain.pem >> c:\ssl\certs\wbcert.pemdel "%davidinstall%\Apps\Webbox\Code\wbcert.pem"copy c:\ssl\certs\wbcert.pem "%davidinstall%\Apps\Webbox\Code"C:\SSL>NET START "David Webbox"        1 Datei(en) kopiert.Mehr? David WebBox wird gestartet.David WebBox wurde erfolgreich gestartet.C:\SSL>

ich habe ein schwarzes Fenster dann aufblinken sehen, siehe Screenshot.
Ob das was damit zu tun hat weiß ich nicht. Das sehe ich nur wenn ich als Admin per Rechtsklick die cmd ausführe.
(Windows Server 2008 R2),

Dann habe ich die Aufgabenplanung mal auf 12 Uhr gesetzt um zu schauen ob es klappt.

Microsoft Windows [Version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation. Alle Rechte vorbehalten.


c:\ssl>@echo off
set domain="mail.domain.de"
set davidinstall="D:\David"
NET STOP "David Webbox"
David WebBox wird beendet.
David WebBox wurde erfolgreich beendet.


START "" /B "c:\ssl\python.bat"
START "" /WAIT ""c:\ssl\letsencrypt.exe --renew --baseuri "https://acme-v01.api.letsencrypt.org/""


c:\ssl>c:\ssl\python.exe -m http.server 80 
TASKKILL /IM python.exe /F
ERFOLGREICH: Der Prozess "python.exe" mit PID 11700 wurde beendet.
timeout /t 5


c:\ssl>type c:\ssl\certs\%domain%-key.pem > c:\ssl\certs\wbcert.pem
type c:\ssl\certs\%domain%-chain.pem >> c:\ssl\certs\wbcert.pem


c:\ssl>del "%davidinstall%\Apps\Webbox\Code\wbcert.pem"


c:\ssl>copy c:\ssl\certs\wbcert.pem "%davidinstall%\Apps\Webbox\Code"
NET START "David Webbox"
        1 Datei(en) kopiert.


c:\ssl>Mehr? David WebBox wird gestartet.
David WebBox wurde erfolgreich gestartet.

Kann es mir also nicht erklären....
Muss ich wohl mal auf morgen früh warten, ob da etwas anderes im Log dann stehen wird. So sieht es ja gut aus...

Die Aufgabe wird mit den höchsten Privilegien ausgeführt?

Ja wird es...
merkwüridg

Bei mir lief die Aufgabe heute auch wieder fehlerfrei.

Ich habe das Thema "Automatisches Update" nach vielen Versuchen ad acta gelegt; hier läuft's einfach nicht stabil und sauber. Entweder, es bleibt ein Programm hängen, oder die Webbox startet nicht sauber. Außerdem ist das Ganze eh ein bisschen suspekt, solange man von der letsencrypt.exe kein Protokoll bekommen kann - so ist nämlich nie klar, ob das Update wirklich durchgelaufen ist, oder der Batch nur aus den bereits vorhandenen Dateien eine neue wbcert.pem zusammenkopiert.

Dennoch bin ich mit dem Ergebnis ganz zufrieden; bei einer ansonsten kostenlosen Lösung kann man es auch auf sich nehmen, 4x im Jahr manuell eine Erneuerung durchzuführen. Und das geht mit der update.bat sehr bequem.

Mein Problem ist eher, dass Prüfseiten wie ssllabs.com immer noch melden, dass die Zertifikatskette unterbrochen sei. Obwohl die wbcert.pem ja aus den 3 Dateien zusammenkopiert wird, sagt mir ssllabs, dass lediglich ein Zertifikat übergeben wurde. "Sent by server" das für meine subdomain, "In trust store" das Root-Zertifikat, aber "Let's Encrypt Authority X3" wird als "extra download" angezeigt, obwohl es nach meinem Verständnis doch mit in die Datei eingebacken wurde? Hat diesbezüglich jemand eine Idee?

Zitat von nordtech

Ich habe das Thema "Automatisches Update" nach vielen Versuchen ad acta gelegt;

Es ist ja noch "semi" automatisch
Wenn bei mir der FEhler kommt mache ich "schnell" den manuellen Anstoß

Zitat von nordtech

Dennoch bin ich mit dem Ergebnis ganz zufrieden;

Ich auch soweit.

Zitat von nordtech

Hat diesbezüglich jemand eine Idee?

ALso bei mir ist es A-, soweit also alles in Ordnung.
Schon merkwürdig das es bei dir nicht so ist..

Glaube bei mir ist das richtig oder ?

Zitat von lycra

Schon merkwürdig das es bei dir nicht so ist.

Ja. Meine Webbox scheint immer nur exakt ein Zertifikat rauszugeben, obwohl drei zusammengefügt werden. Das ist doch so richtig, oder?

type *-key.pem > wbcert.pem
type %domain%-crt.pem >> wbcert.pem
type ca-*.pem >> wbcert.pem

ARGH! Wie heißt es so schön... Kaum macht man's richtig, schon funktioniert's!

Da muss ein Haken rein (Konfiguration Webbox):

Zitat von nordtech

Ja. Meine Webbox scheint immer nur exakt ein Zertifikat rauszugeben, obwohl drei zusammengefügt werden. Das ist doch so richtig, oder?

Code

type *-key.pem > wbcert.pemtype %domain%-crt.pem >> wbcert.pemtype ca-*.pem >> wbcert.pem

Es reicht wenn du folgendes zusammenbaust
type *-key.pem > wbcert.pem
type *-chain.pem >> wbcert.pem -> In der Chain ist die Kette drin

Das ist mein aktuelles Update Script:
Mit Log Funktion für das Erneuern des Zertifikats bei Let's encrypt

@echo on
setlocal
set domain=SUB-DOMÄNE
set davidinstall=DAVID-ROOT
set ssl-certs=c:\ssl\certs
set ssl=c:\ssl
NET STOP "David Webbox"
START "" /B "%ssl%\python.bat"
START "" /WAIT ""%ssl%\letsencrypt.exe --renew --baseuri "https://acme-v01.api.letsencrypt.org/" >> %ssl%\update_log_renew.txt"
TASKKILL /IM python.exe /F
timeout /t 5
type "%ssl-certs%\*-key.pem" > %ssl-certs%\wbcert.pem
type "%ssl-certs%\*-chain.pem" >> %ssl-certs%\wbcert.pem
del "%davidinstall%\Apps\Webbox\Code\wbcert.pem"
copy %ssl-certs%\wbcert.pem "%davidinstall%\Apps\Webbox\Code"
NET START "David Webbox"
exit

So sieht die Log Datei für Let's encrypt dann aus:

The global logger has been configured
Let's Encrypt (Simple Windows ACME Client)
Renewal Period: 60
Certificate Store: WebHosting
ACME Server:
Config Folder: C:\Users\Administrator\AppData\Roaming\letsencrypt-win-simple\httpsacme-v01.api.letsencrypt.org
Certificate Folder: ./Certs
Loading Signer from C:\Users\Administrator\AppData\Roaming\letsencrypt-win-simple\httpsacme-v01.api.letsencrypt.org\Signer
Getting AcmeServerDirectory
Loading Registration from C:\Users\Administrator\AppData\Roaming\letsencrypt-win-simple\httpsacme-v01.api.letsencrypt.org\Registration
Checking Renewals
Checking Manual SUB-DOMÄNE () Renew After 03.10.2017

PS: Das Cert gilt nur 2 Monate !