Hallo zusammen,

leider tue ich mich mit der neuen Letsencrypt-Funktion etwas schwer.

Die App-Plattform bezieht hier zwar ihr Zertifikat, aber leider funktioniert der Bezug beim ReverseProxy (SBC+RP auf IP0011) und damit natürlich auch der nachgeordneten PBX nicht.

Ich hatte zuerst den Verdacht, dass lokal mit der Konfiguration der Ports des HTTP Servers / des RP intern/extern etwas nicht passt, denke aber nun doch, dass es eigentlich so richtig ist:

Der HTTP(S) Server auf der IP0001 läuft intern auf den Ports 8080/8443, der Reverse Proxy auf den Ports 80/443. Und die Ports 80 und 443 werden vom Router auch 1:1 an die 80 und 443 auf dem RP weitergegeben.

Wenn man sich nun das Trace auf der IP0011 ansieht (https://pastebin.com/itGn8nNM), sieht man,

dass die Beziehung zwischen App-Plattform und RP eigentlich passt (Zertifikat getrusted),
der Connector aber mittendrin einen "HTTP/1.1 404 not found" Fehler auswirft.

Das liest sich eigentlich so, als ob der RP nicht über Port 80 von LE erreichbar wäre,

aber das ist er ja schon, sonst hätte es beim Zertifikat der App-Plattform ja auch nicht funktioniert?!

Ich habe danach spasshalber im RP auch mal für beide subdomains das Verzeichnis ./well-known manuell für 80/443 freigegeben und auf die IP der App-Platform geleitet, aber das hat auch nichts gebracht. Wobei ich die Doku so verstehe, dass das eigentlich nicht nötig sei, da die Plattform / der Connector alles abfange, weil er ja selbst wisse was angefordert wird.

Aus dem Log des Connectors werde ich auch nicht so richtig schlau (https://pastebin.com/ABfpFk5h),

hier erkenne ich aber keinen groben Fehler.

Mich wundert nur dass dort immer nur die HW-ID der App-Platform auftaucht, aber nie die der IP0011 gelistet wird Theroetisch sollte hier ja auch stehen, dass ein Zertifikat der HW-ID der IP0011

für die SANs pbx.XXXX.XX und APP.XXXX.XX angefordert wird. Oder etwa nicht?

Vielleicht habe ich aber auch das Konzept im LE Schaubild falsch verstanden:

Ich hatte es so interpretiert, dass die App-Plattform selbst nur ein Zertifikat mit einer SAN (app) bekommt, der RP ein Zertifikat mit mindestens 2 SANS (app + pbx) und die PBX auch nur Ihres (pbx).

Der Connector selbst läuft aber auf der App-Plattform und daher fordert diese am Ende auch die Zertifikate für die anderen Stellen an und verteilt sie (daher well-known Freigabe auf Port 80 immer für die APP?)

Verwirrte Grüße

Sascha