续订 Certbot 时出现“连接超时（可能是防火墙问题）”

Question

当我尝试使用

更新我的 ssl 证书时，我遇到以下错误

certbot renew

域名 *********.com 挑战失败

有些挑战失败了。

服务器报告了以下错误：

域名：arjunbroker.com 类型：连接细节：获取 http://arjunbroker.com/.well-known/acme-challenge/F9nlyrRQBpJGOpPLHGPCj1vzdJOd_rBISU7q2aX7t_o：连接超时（可能是防火墙问题）

我检查了UFW和firewalld。并且80和443端口都开放了。

Answer 1

我在 AWS EC2 中修复了这个问题，更新了组安全性，如下所示：

Answer 2

我终于意识到，在这台服务器上安装 SSL 之前，我曾经使用

将端口 80 转发到端口 8080

 sudo /sbin/iptables -t nat -I PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

所以我只是将端口 80 转发回端口 80。

吸取的教训，要让 Certbot 工作，端口 80 转发应该到位。

Answer 3

对我来说，问题是如果可能的话，Let's Encrypt 使用 IPv6 来进行 http 挑战，而我的网站在 IPv4 上运行良好，但在 IPv6 上运行不佳（因为我设置错误）。您可以使用此站点来测试您的 IPv6 设置。

Answer 4

我终于意识到我只向我的测试客户端计算机开放了 http/https。我将它们打开以进行 certbot 运行，然后再次关闭它们。我将尝试确定哪些 IP 需要为 LetsEncrypt 探针开放，以便我可以自动执行 certbot 续订。

Answer 5

我通过禁用 “从 HTTP 到 HTTPS 的永久 SEO 安全 301 重定向”（在 Plesk / CentOS Linux 7.9 的托管设置中）解决了这个问题。

LetsEncrypt 不会分配或更新其 SSL 证书。花了一天时间重新配置，DNS，panel.ini，防火墙等，最终查明这是具体原因。

这个问题大约 10 个月前就出现了，我们最近才意识到发生了什么。

Answer 6

这似乎是路由器 IP 地址更改时的行为。对我来说，一切似乎都很顺利，最终我发现我的房子的 IP 发生了变化 - 所以只需通过我的域名提供商重新分配它就可以解决问题。

为避免将来出现这种情况，您可以考虑通过 ISP 使用静态 IP 配置路由器。