Ошибка обновления сертификата LetsEncrypt

Имейте в виду, что процедура обновления с использованием letsencrypt-auto будет работать нормально, только если ваш предыдущий сертификат был выпущен с использованием letsencrypt-auto 0.4.0 или выше.Если ваш сертификат был выпущен в более старой версии letsencrypt-auto, вам необходимо снова выпустить сертификат таким же образом и с теми же параметрами и параметрами, что и в первый раз, и после этого letsencrypt-auto возобновление будет работать должным образом.

В любом случае, первое сообщение, которое вы получили при попытке продлить домен, было:

You've asked to renew/replace a seemingly valid certificate with a test certificate (domains: www.example.com, example.com). We will not do that unless you use the --break-my-certs flag!. Skipping.

И это означает, что у вас был действующий сертификат для вашего домена, но команда обновления обнаружила, что вы вместо этого пытались обновить сертификат с помощью промежуточного сервера. производственного сервера (примечание: промежуточный сервер является частью инфраструктуры letsencrypt и позволяет протестировать процесс выдачи сертификатов для вашего домена, но выдан поддельным ЦС, если вы проверите свой сертификат, вы можете увидеть, что эмитент Поддельный LE Intermediate X1 ).

Итак, когда вы повторили процесс обновления, но с флагом - break-my-certs , у вас теперь есть сертификат, выданный поддельным ЦС, который ни один из клиентов, подключится к вашему сайту, будет доверять. [12 24] Я полагаю, вы играли с некоторыми конфигами в / etc / letsencrypt / cli. {Conf, ini} , /etc/letsencrypt/renewal/yourdomain.conf или в другом конфигурационном файле вы использовали для выдачи первого сертификата, и в некоторой конфигурации вы указали постановку флага, поэтому letsencrypt-auto пытается обновить ваш сертификат, используя его вместо производства.

Выполните эту команду для вашего файла конфигурации обновления:

grep -E 'server\ =|config_file\ =' /etc/letsencrypt/renewal/yourdomain.conf

Примечание: если вы выпустили несколько сертификатов для своего домена и добавили или удалили домены из подмножества FQDN, включенных в сертификат, вместо yourdomain.conf вы могли бы иметь yourdomain-0001.conf , yourdomain-0002.conf и т. Д.

config_file покажет, используете ли вы файл конфигурации для своего домена, если вы не используете какой-либо файл конфигурации, вы увидите слово «Нет».

сервер покажет, выдаете ли вы свои сертификаты для промежуточного или производственного сервера.

Если это промежуточный, вы увидите следующее:

server = https://acme-staging.api.letsencrypt.org/directory

если он производится вы увидите:

server = https://acme-v01.api.letsencrypt.org/directory

Если вы видите, что сервер указывает на промежуточный этап, отредактируйте файл конфигурации обновления для своего домена и измените его на рабочий https://acme-v01.api.letsencrypt.org/directory

Кроме того, если у вас есть config_file, вы должны проверить этот файл конфигурации, чтобы убедиться, что параметр сервера указывает на производство, и нет таких параметров, как staging, staging = True, test-cert или test-cert = True

После того, как вы удалили промежуточные параметры и изменили сервер на производственный в config_file и файле конфигурации обновления, вы можете попробовать снова обновить свой сертификат.

./letsencrypt-auto renew --force-renewal

Если вы, наконец, получили сертификат для своего домена, обратите внимание на сообщение с поздравлением, это сообщение сообщит вам каталог, в котором хранятся ваши сертификаты, имейте это в виду, чтобы настроить свой веб-сервер, почтовый сервер и все, что угодно, с правильными путями к вашим сертификатам.

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at
   /etc/letsencrypt/live/yourdomain/fullchain.pem. Your cert
   will expire on xxxx-xx-xx. To obtain a new version of the
   certificate in the future, simply run Let's Encrypt again.

У меня была та же проблема, что и у операционной с использованием последнего certbot. Оказалось, что certbot вовсе не виноват - он работает идеально - вам просто нужно не забыть перезагрузить/перезагрузить ваш веб-сервер, чтобы он вытащил обновленный cert! Итак, как LetsEncrypt предлагает добавить certbot renew --quiet в Ваш cron, не забудьте добавить перезагрузку веб-сервера через несколько минут после этого, в случае если nginx /etc/init.d/nginx перезагрузка

У меня была такая же проблема, вам нужно перезагрузить веб-сервер (Apache или nginx).
Я использовал certbot refresh --quiet для обновления.