SSL-сертификат шықпайды

Жағдай

SSL-сертификат сайт жұмыс істеп тұрса да шықпауы мүмкін. Let’s Encrypt тексеруі домен қай IP-ге бағытталғанына, веб-сервер қалай жауап беретініне және тексеру файлы қолжетімді ме, соған тәуелді.

Егер домен, поддомен немесе webmail басқа серверге көрсетсе, ескі сертификат қолданса немесе TLS қатесін қайтарса, сертификат шығару сәтсіз аяқталады.

Не тексеріледі

• домен және поддомендердің A/AAAA жазбалары;
• HTTP және HTTPS сұраулары нақты қай серверге баратыны;
• /.well-known/acme-challenge/ жолының қолжетімділігі;
• HTTP-тен HTTPS-ке және www/non-www арасындағы редиректтер;
• nginx/apache жауабы және TLS қателері;
• Cloudflare немесе басқа проксидің әсері;
• орнатылғаннан кейін сертификат тізбегі.

Типтік себеп

Көп кездесетін жағдай: негізгі домен дұрыс серверге бағытталған, ал webmail немесе www басқа IP-ге көрсетеді. Екінші жиі себеп: Cloudflare проксиі тексеруге кедергі жасап немесе нақты сервер жауабын жасырады.

Кейде мәселе DNS-та емес, веб-сервер конфигурациясында болады: тексеру файлы басқа виртуалды хостқа түседі немесе редирект арқылы бұғатталады.

Шешім

1. Домен және қажет поддомендердің DNS жазбаларын тексеру.
2. HTTP жауабын браузерсіз curl арқылы тексеру.
3. Тексеру жолының сырттан қолжетімді екеніне көз жеткізу.
4. Егер Cloudflare кедергі жасаса, проксилеуді уақытша өшіру.
5. Виртуалды хостты, редиректтерді немесе тексеру жолын түзету.
6. Сертификат шыққаннан кейін мерзімін және сенім тізбегін тексеру.

Нәтиже

SSL мәселесін тек панельдегі шығару батырмасы арқылы қарау жеткіліксіз. DNS, HTTP, HTTPS, редиректтер және сервердің нақты жауабы тексерілгенде, мәселе қай жерде екені анық көрінеді.

Қайталанбауы үшін не істеу керек

SSL-сертификат көбіне DNS сәйкессіздігі, редиректтер, прокси немесе тексеру файлының дұрыс ашылмауы салдарынан шықпайды. Сертификат шығармастан бұрын домен нақты қажетті серверден ашылатынын тексеру керек.

• негізгі домен мен поддомендердің A/AAAA жазбаларын тексеру;
• Cloudflare проксиі тексеруге кедергі жасаса, уақытша өшіру;
• /.well-known/acme-challenge/ жолы сырттан ашылатынын тексеру;
• HTTP/HTTPS редиректтерін және веб-сервер virtual host баптауын қарау;
• сертификат шыққаннан кейін мерзімі мен сенім тізбегін тексеру.