Виправлення несправностей Let's Encrypt/Certbot: Поширені помилки та їх вирішення

Як і у випадку з будь-якими проблемами, пов'язаними з помилками в конфігурації DNS або HTTPS, пошук першопричини може зайняти деякий час.

Однак, типові проблеми виникають, коли вам потрібно змінити записи DNS або увімкнути підтримку SSL/HTTPS сертифікатів для веб-сервера за допомогою постачальника сертифікатів, наприклад, Let's Encrypt.

У цій статті ми розглянемо типові проблеми, з якими ви можете зіткнутися при налаштуванні сервера, і способи їх усунення.

Навігація у світі записів DNS

Домен є невід'ємною частиною веб-навігації. Без доменів було б важко знаходити та ідентифікувати веб-сайти.

• Записи DNS (Система доменних імен) - це те, з чого складається DNS. Вони зберігають інформацію про домен і дозволяють вам, власнику домену, контролювати дані, які зберігаються в DNS-записах (ви можете вказати, який контент ви зберігаєте під доменом). Якщо у вас кілька доменів, для них будуть окремі записи DNS.
• DNS запис - це один з найпоширеніших записів, який визначає IP-адресу вашого сервера. Тип DNS-запису дозволяє переглядати веб-сайт через домен. Таким чином, навіть якщо IP-адреса веб-сайту невідома, веб-сайт можна переглядати через A-записи. Запис A також можна використовувати для створення чорного списку в DNS; з його допомогою ви можете блокувати небажаний вміст, наприклад, спам.
• AAAA DNS-записи дозволяють призначати IPv6-адреси хостам (комп'ютерам або пристроям) в Інтернеті. IPv6 - це протокол зв'язку, який дозволяє знаходити та ідентифікувати комп'ютери в Інтернеті. AAAA-записи є частиною IPv6 і дозволяють призначити адресу хосту або хосту певну адресу. Мережеві адміністратори широко використовують цей тип записів DNS для зв'язування своїх пристроїв з користувацькими адресами. AAAA схожий на записи типу A. Однак він пропонує більш оновлені дані про адреси. Отже, якщо веб-сайт вже використовує протокол IPv6, ви повинні використовувати AAAA DNS-записи.
• Записи сервера імен використовуються для визначення того, до якого DNS-сервера належить ваш домен. Вони повідомляють користувачам, до якого DNS звернутися, щоб знайти IP-адресу для вашого домену.
• Записи .CHAME створюють альтернативний каталог для вашого домену, щоб, наприклад, коли користувач вводить ім'я вашого домену в неправильному порядку, він все одно міг перенаправити його на ваш веб-сайт.
• Записи поштового обміну містять дані про поштові сервери для отримання повідомлень, надісланих на ваш домен; вони також спрямовують користувачів до записів A або AAAA DNS, які вказують на адресу, де розміщений ваш поштовий сервер.
• І, нарешті, TXT-записи дозволяють додавати додаткову інформацію про ваш домен в DNS.

Записи DNS необхідні для підключення домену до хостинг-сервера, що гарантує працездатність вашого веб-сайту.

Існують варіанти створення, редагування або видалення записів DNS. Далі ми розглянемо, це більш детально.

Оволодіння мистецтвом оновлення або міграції записів DNS

Отже, записи DNS можна оновлювати і переміщувати. Обидва процеси займають певний час, залежно від того, які записи ви хочете змінити. При оновленні записів DNS для домену може знадобитися до 48 годин, щоб зміни набули чинності.

Період очікування називається поширенням DNS. Розповсюдження DNS - це коли вузли провайдера (інтернет-провайдера) оновлюють свою базу даних новою інформацією DNS щодо вашого домену.

Деякі користувачі перенаправляються на ваш старий сервер під час розповсюдження DNS, тоді як інші можуть отримати доступ до вашого веб-сайту на новому сервері, якщо ви вирішите перенести свої DNS-записи.

Тривалість поширення DNS залежить від TTL (Time-To-Live), вашого інтернет-провайдера та місцезнаходження, а отже, її важко передбачити загалом. Однак ви можете скористатися онлайн-сервісами перевірки DNS, щоб дізнатися, чи поширювалися дані DNS-запису через кілька серверів, випадково вибраних по всьому світу. За допомогою DNS-перевірки ви можете побачити, чи поширюється ваш веб-сайт відповідно до змін, внесених на всіх серверах по всьому світу.

У деяких випадках ваш інтернет-провайдер може оновлювати дані повільніше, ніж ваш віддалений сервер. Щоб перевірити, чи не в цьому причина помилки, ви можете скористатися командою "nslookup" і подивитися, чи відповідають результати локального оновлення глобальним DNS-розпізнавачам. Якщо в цьому аспекті немає помилок, але ваші результати все одно не збігаються, помилка може полягати в більшому значенні TTL.

Значення TTL має бути вказано поруч із записами A, і його можна налаштувати. Якщо ви хочете застосувати зміни до записів DNS швидше, ви можете зменшити значення TTL; це може допомогти усунути помилку.

Розшифровка помилок браузера та усунення збоїв у конфігурації HTTPS

Давайте почнемо з основ.

Протокол HTTPS використовує шифрування для безпечного зв'язку між веб-браузерами і веб-серверами. Частина "S" в HTTPS означає "безпечний" і керується шифруванням TLS або SSL. Завдяки LetsEncrypt і його доступним сертифікатам SSL/HTTPS вдалося уникнути багатьох проблем з продуктивністю.

Веб-сайт, який не може забезпечити безпечне з'єднання, зазвичай має помилки в конфігурації HTTPS, не обов'язково в самому HTTPS. У будь-якому випадку, якщо помилки не вирішені, користувачі будуть бачити повідомлення про помилки при спробі отримати доступ до вашого веб-сайту.

Якщо у вас є додаток для HTTPS-шлюзу, наприклад, Nginx Reverse Proxy, і шлюз має неправильну конфігурацію, можуть з'явитися помилки на кшталт 502 "Поганий шлюз".

Аналогічно, якщо ви використовуєте не комерційний HTTPS-сертифікат, а сертифікат LetsEncrypt, помилки можуть виникати через необхідність поновлення сертифікатів від LetsEncrypt через деякий час. У цьому випадку ви отримаєте повідомлення про помилку "Ваше з'єднання не є приватним" з описом помилки "NET::ERR_CERT_DATE_INVALID". Це означає, що вам слід оновити сертифікат LetsEncrypt.

Зазвичай, при початковому налаштуванні LetsEncrypt ви отримуєте можливість автоматичного оновлення сертифікату. Крім того, LetsEncrypt надішле повідомлення на вашу електронну пошту про те, що термін дії вашого сертифікату закінчується. Якщо з якихось причин обидва способи не працюють, ви можете оновити сертифікат вручну за допомогою "sudo certbot renew --nginx -d example.com -d www.example.com".

Для усунення помилки, пов'язаної з тим що сертифікат недійсний, необхідно перезапустити веб-сервер. Якщо ви хочете, щоб ця операція була виконана автоматично, ви можете скористатися командою "systemctl restart nginx" після мануального оновлення сертифіката.

Вирішення проблеми змішаного контенту

Помилка змішаного контенту з'являється, коли веб-сайт, до якого намагається отримати доступ користувач, завантажує одночасно протоколи HTTPS і HTTP. HTTPS і HTTP за своєю суттю є різними протоколами. Таким чином, коли ви переходите на HTTPS, але не передаєте всі свої дані на HTTPS, а HTTP керує частиною вашого контенту, ви отримаєте помилку змішаного контенту.

Більшість браузерів покажуть повідомлення про помилку на кшталт "Ваше з'єднання з цим сайтом не є повністю захищеним".

У будь-якому випадку, більшість помилок змішаного контенту в браузері з'являються відразу після того, як користувач переходить з HTTP на HTTPS. Однак можуть бути й додаткові джерела цієї проблеми, зокрема

• Ваш графічний контент (відео або зображення) не підтримує HTTPS.
• Ви додали на сайт плагін або новий сервіс, який не підтримує HTTPS.

Першопричину помилки браузера може бути важко знайти, поки ви не почнете пошук і усунення несправностей.

Найважливішими кроками в усуненні помилок браузера зі змішаним контентом є встановлення SSL-сертифікатів і перехід з HTTP на HTTPS на всьому сайті.

Наприклад, якщо ви використовуєте проксі-сервер Nginx і додаток для вашого веб-сервера, ви можете додати додаткову конфігурацію SSL-сертифіката в розділ розташування.

Якщо ви не використовуєте проксі-сервер Nginx і додаток для веб-сервера, перевірте, чи доступний HTTP-вміст за протоколом HTTPS. Ви можете замінити "http" на "https" на початку URL-адреси. Після цього ви можете оновити URL-адреси у вашій базі даних.

Запуск скрипта Certbot від Let's Encrypt

Скрипт Certbot від LetsEncrypt може мати внутрішні помилки з різних причин.

Іноді скрипт Certbot не реагує на запити, що може призвести до того, що ваша сесія завершиться, а брандмауер перекриє трафік.

Якщо проблема у брандмауері, ви отримаєте таке повідомлення: "certbot --nginx -d example.com -d www.example.com".

Якщо це так, перед запуском Certbot переконайтеся, що ви можете відкрити порти 80 і 443, і що їх не блокує брандмауер. Якщо ви використовуєте простий брандмауер з Nginx, спробуйте конфігурацію "Nginx full" за допомогою "sudo ufw allow 'Nginx Full'".

Після зміни налаштувань у вашому брандмауері перезапустіть Certbot. Якщо після перезавантаження Certbot ви отримаєте повідомлення "занадто багато невдалих авторизацій за останній час", вам доведеться почекати деякий час, щоб отримати доступ до Certbot.

Якщо з'являються будь-які інші помилки Certbot, які не стосуються DNS або з'єднання, спробуйте перевстановити Certbot.

Усунення несправностей HTTPS, коли немає видимих помилок

Якщо ви перевстановили Certbot і переконалися, що DNS працює коректно, але деякий вміст вашого веб-сайту все ще передається по HTTP, можливо, проблема в конфігурації веб-сервера.

Зазвичай Certbot намагається оновити конфігураційні файли веб-сервера автоматично (зазвичай це робиться використанням "nginx" у командному вікні). Але якщо конфігурація вашого веб-сервера складна, автоматична робота Certbot може не впоратися з нею, і вам доведеться вирішити проблему вручну.

Щоб Certbot міг автоматично налаштувати SSL, йому потрібно знати "ім'я_сервера" в проксі-сервері Nginx, яке відповідає домену сертифіката. Зазвичай ім'я_сервера повинно бути в кінці "/etc/nginx/sites-available/...".

Ви можете знайти ім'я вашого сервера за допомогою "nano" в Certbot, і воно повинно виглядати наступним чином: "$ sudo nano /etc/nginx/sites-available/example.com", де example.com - це ім'я вашого веб-сервера.

Якщо імені вашого сервера там немає, вам слід вписати його, зберегти файл і перевірити зміни за допомогою "sudo nginx -t". Потім перезавантажте Nginx. Після цього Certbot знатиме, який конфігураційний файл потрібно оновити.

Якщо ви все ще стикаєтеся з помилками, вам слід вручну налаштувати ваш веб-сервер на HTTPS.

Конфігурація Nginx HTTPS буде містити "listen 443 ssl", а також шлях і ключ до SSL-сертифікату.

В процесі налаштування проксі-сервера Nginx ми рекомендуємо зберігати зміни Ngnix за допомогою "sudo nginx -t". Після збереження змін перезапустіть проксі-сервер Nginx.

Вирішення помилок з Let's Encrypt/Certbot

Потенційно помилки можуть здатися страшними, якщо у вас немає досвіду використання SSL або DNS.

Але навіть незважаючи на те, що LetsEncrypt є успішним і відносно простим у налаштуванні, коли він працює без помилок, вам можуть знадобитися деякі поради щодо усунення несправностей, щоб заощадити час і уникнути зайвого стресу.

Ось чому ми розглянули деякі з найпоширеніших помилок LetsEncrypt і Certbot, щоб ви могли ефективно вирішувати проблеми, що виникають.

Сподіваємося, це допомогло!