Let's Encrypt

Moin,

ist der Port 80 deines David Server erreichbar, bzw. lauscht da auch der Lets encrypt Client?

Was bekommst du wenn du auf einem PC im Netzwerk den Port 80 des David Server

über einen Browser aufrufst?

Es klingt als ob die Firewall auf dem Server den Zugriff auf den Port blockiert, oder

ein andere Dienst auf dem Port 80 läuft.

Moin, moin,

nein das funktioniert. Bin schon einen Schritt weiter. Python muss wohl aus dem SSL Verzeichnis gestartet werden. Hab deshalb die Python.bat geändert:

cd c:\ssl\

python.exe -m http.server 80

Nun klappt die Authorisierung und die certs sind da.

Allerdings hab ich dann in der webox eine leere wbcert.pem

C:\Windows\system32>TASKKILL /IM python.exe /F

ERFOLGREICH: Der Prozess "python.exe" mit PID 2012 wurde beendet.

C:\Windows\system32>type c:\ssl\certs\david.spdns.de-key.pem 1>c:\ssl\certs\wbc

ert.pem

Das System kann die angegebene Datei nicht finden.

c:\SSL>

C:\Windows\system32>type c:\ssl\certs\david.spdns.de-chain.pem 1>>c:\ssl\certs\

wbcert.pem

Das System kann die angegebene Datei nicht finden.

C:\Windows\system32>move "c:\david\Apps\Webbox\Code\wbcert.pem" "c:\david\Apps\W

ebbox\Code\wbcert_old.pem"

1 Datei(en) verschoben.

C:\Windows\system32>copy c:\ssl\certs\wbcert.pem "c:\david\Apps\Webbox\Code"

1 Datei(en) kopiert.

C:\Windows\system32>NET START "David Webbox"

David WebBox wird gestartet.

David WebBox wurde erfolgreich gestartet.

ist Port 80 evtl. von einem anderen Dienst belegt? Ich hatte damit ein paar mal Probleme.

Nein das ist es nicht. Muss am install script liegen. Habe das Zertifikat nun erfolgreich manuell erstellt. Update funktioniert auch.

Hier meine install.bat:

set /p domain=[Fuer welche Domain soll ein Zertifikat erzeugt werden?]

set /p davidinstall=[Wohin wurde David installiert?]

NET STOP "David Webbox"

START "" /B "c:\ssl\python.bat"

START "" /WAIT "c:\ssl\letsencrypt.exe"

TASKKILL /IM python.exe /F

type c:\ssl\certs\%domain%-key.pem > c:\ssl\certs\wbcert.pem

type c:\ssl\certs\%domain%-chain.pem >> c:\ssl\certs\wbcert.pem

move "%davidinstall%\Apps\Webbox\Code\wbcert.pem" "%davidinstall%\Apps\Webbox\Code\wbcert_old.pem"

copy c:\ssl\certs\wbcert.pem "%davidinstall%\Apps\Webbox\Code"

NET START "David Webbox"

wie gesagt manuell geht es.

Hallo zusammen,

erstmal vielen Dank für diese tolle Idee!

Ich hatte auch das Problem, dass das Renewal trotz call_update.cmd, etc. nicht funktionierte.

Habe nun, da es wieder einmal so weit war, an dem Problem gearbeitet und glaube es behoben zu haben.

Erstmal habe ich den Client 1.9.8.4 heruntergeladen (neuere funktionierten bei mir nicht fehlerfrei), da dieser einige neue Features hat, z.B. kann man sich so den python Webserver sparen, da nun selbst einer integriert ist.

Wichtig war bei mir auch, das Zertifikat einmal mit dem neuen Client zu installieren, sonst hat es bei mir nicht geklappt, könnte aber auch anders gehen.

Nicht vergessen auch die folgenden Werte in der Config Datei des Clients wieder anzupassen (letsencrypt.exe.config):

  <setting name="CertificatePath" serializeAs="String">
    <value>./Certs>
  </setting>
  <setting name="RenewalDays" serializeAs="String">
    <value>60</value>
  </setting>
  <setting name="CertificateStore" serializeAs="String">
    <value>WebHosting</value>
  </setting>

Habe unten die Befehle für den Webserver nur auskommentiert, genauso habe ich statt timeout einfach einen kurzen ping eingebaut, da timeout nicht funktioniert, wenn man das Update-Script über eine andere cmd-File und nicht direkt aufruft.

Die alte Zertifikatdatei wird nun auch vorab gesichert - man weiß ja nie.

Hier nun das Script:

@echo on
setlocal

rem Variablen definieren
set domain=*
set davidinstall=*
set ssl-certs=C:\SSL\certs
set ssl=C:\SSL

rem WebBox stoppen
NET STOP "David Webbox"

rem Altes Zertifikat sichern
del "%ssl-certs%\wbcert_old.pem"
move "%ssl-certs%\wbcert.pem" "%ssl-certs%\wbcert_old.pem"

rem Python Webserver starten und Zertifikat erneuern
rem START "" /B "%ssl%\python.bat"
%ssl%\letsencrypt.exe --renew --baseuri "https://acme-v01.api.letsencrypt.org" --validation selfhosted --verbose >> %ssl%\update_log_renew.txt
rem TASKKILL /IM python.exe /F
rem timeout /t 5
ping localhost -n 5

rem Zertifikat verschieben
type "%ssl-certs%\*-key.pem" > %ssl-certs%\wbcert.pem
type "%ssl-certs%\*-chain.pem" >> %ssl-certs%\wbcert.pem
del "%davidinstall%\Apps\Webbox\Code\wbcert.pem"
copy %ssl-certs%\wbcert.pem "%davidinstall%\Apps\Webbox\Code"

rem WebBox starten
NET START "David Webbox"

exit

Ich hoffe es hilft dem Ein oder Anderen!

Chris

Cool, das werde ich über Ostern gleich mal ausprobieren, vielen Dank! Gerade die Sache mit dem eingebauten Webserver ist ja praktisch!

So heute neues zertifikat erstellt weil es heute abgelaufen wäre.

Certs

.well-known

beide Verzeichnisse gelöscht

C:\Users\XXX\AppData\Roaming\letsencrypt-win-simple

Diesen ordner geleert und dann die install.bat ausgeführt.

Hat alles reibungslos geklappt und sollte nun bis Juli wieder weiter funktionieren

Aber wie man oben sieht habe ich nur noch B... Das war bislang immer auf A-

Oder wurden die Ratings nun geändert?

Sollte man vielleicht mal das die exe aktualisieren?

https://github.com/PKISharp/win-acme/releases neueste Version: win-acme.v1.9.10.1.zip

Die Version die anfangs hier mit verteilt wurde: 1.9.3.0

Hat schon jemand die neue Version mal getestet? Kann ich bspw einfach die Dateien pberschreiben und dann das zertifikat neu erstellen lassen?

Würde das funktionieren? Und ggf auch einen besseren Rang dann erstellen?

So einfach austauschen bringt nichts, leider. Den Versuch habe ich auch schon mehrmals gemacht.

Aber das beschriebene Verfahren mit dem Client 1.9.8.4 weiter oben scheint zu funktionieren.

Zitat von Case-Berlin

So einfach austauschen bringt nichts, leider. Den Versuch habe ich auch schon mehrmals gemacht.

Wäre auch zu schön gewesen

Zitat von Case-Berlin

Aber das beschriebene Verfahren mit dem Client 1.9.8.4 weiter oben scheint zu funktionieren.

Meinst du denn es würde ein besseres Ranking herbei führen?
Ich bin ab Donnerstag bis zum 07.05 nicht im Büro und ich glaub ich möchte davor nicht irgendwie herum experimentieren

Von Kuba kann ich auf grund des schlechten Internets nicht viel machen

Zitat von lycra

Meinst du denn es würde ein besseres Ranking herbei führen?

Ich habe es nicht getestet, wie sich das Ranking ändert. Werde ich bei der nächsten Kundenanpassung mal versuchen. Bisher sahen die bei mir gar nicht so mies aus.

Ja bei mir war auch immer A-

Aber nun mit B ist schon nicht mehr so schön

Ob das wirklich eine Auswirkung hat weiß ich allerdings gar nicht.

Die Rückstufung auf B erfolgt (neuerdings), wenn Forward Security nicht unterstützt wird. Sofern ich das richtig verstehe, ist das doch aber ein Feature, das durch die Webbox realisiert werden muss, oder? Da wird das Ausprobieren von anderen letsencrypt-exen wenig bringen. Tobit wäre am Zug.

nordtech

Das stimmt die Webbox muss die dafür notwendigen Chiffren verwenden, genauso wie

der Client der sich mit der Webbox verbindet.

Hatte die Webbox schon PFS fähig, allerdings wollte dann mein iOS sich nicht mehr

verbinden.

Zitat von nordtech

Die Rückstufung auf B erfolgt (neuerdings), wenn Forward Security nicht unterstützt wird. Sofern ich das richtig verstehe, ist das doch aber ein Feature, das durch die Webbox realisiert werden muss, oder? Da wird das Ausprobieren von anderen letsencrypt-exen wenig bringen. Tobit wäre am Zug.

Danke für die Info. Genau danach hatte ich gesucht.

Zitat von stylistics

nordtech

Das stimmt die Webbox muss die dafür notwendigen Chiffren verwenden, genauso wie

der Client der sich mit der Webbox verbindet.

Hatte die Webbox schon PFS fähig, allerdings wollte dann mein iOS sich nicht mehr

verbinden.

Sprich bei dir ist das auch nicht mehr der FAll und es taucht nur ein B auf?

bei Tobit gibt es scheinbar nur noch Chayns

Zitat von stylistics

nordtech

Das stimmt die Webbox muss die dafür notwendigen Chiffren verwenden, genauso wie

der Client der sich mit der Webbox verbindet.

Hatte die Webbox schon PFS fähig, allerdings wollte dann mein iOS sich nicht mehr

verbinden.

Hast du bei dir auch nur noch B ?
oder gibt es hier ein Update was man machen kann?

lycra

Ja leider, liegt wie schon geschrieben an den chiffren.

Ok also kann man nichts machen.

Danke für die Info

Zitat von nordtech

Die Rückstufung auf B erfolgt (neuerdings), wenn Forward Security nicht unterstützt wird. Sofern ich das richtig verstehe, ist das doch aber ein Feature, das durch die Webbox realisiert werden muss, oder? Da wird das Ausprobieren von anderen letsencrypt-exen wenig bringen. Tobit wäre am Zug.

Servus, wann ganau hast du dieses Thema an Tobit gegeben?
Falls noch gar nicht kann ich das machen. vg