{"id":243,"date":"2024-02-23T10:46:07","date_gmt":"2024-02-23T09:46:07","guid":{"rendered":"https:\/\/www2.schmueller.de\/?p=243"},"modified":"2024-02-23T10:46:07","modified_gmt":"2024-02-23T09:46:07","slug":"mailcow-erneuert-das-lets-encrypt-zertifikat-nicht-weil-es-seine-ipv6-aaaa-adresse-nicht-richtig-erkennt","status":"publish","type":"post","link":"https:\/\/www.schmueller.de\/ZDDTpknFI0r7\/2024\/02\/mailcow-erneuert-das-lets-encrypt-zertifikat-nicht-weil-es-seine-ipv6-aaaa-adresse-nicht-richtig-erkennt\/","title":{"rendered":"Mailcow erneuert das Let’s encrypt Zertifikat nicht weil es seine IPv6 AAAA Adresse nicht richtig erkennt"},"content":{"rendered":"\r\n\n

Heute ist es wieder einmal passiert. Mein Mailclient kann keine Mails abrufen weil das Zertifikat der Mailcow abgelaufen ist. Bl\u00f6d ist, dass man in diesem Moment auch nicht mehr auf das Webfrontend kommt weil, wegen HSTS Strict Transport Security mein Browser den Kontakt verweigert.<\/p>\n\n\n\n

Das Problem h\u00e4ngt mit dem Container „mailcowdockerized-acme-mailcow-1“ zusammen, der sich um die Let’s Encrypt Verifizierung und das Erneuern der Zertifikate k\u00fcmmert. <\/p>\n\n\n\n

Ein Blick in die Logs mit „docker compose logs –tail=200 -f acme-mailcow“ zeigt mir wo das Problem liegt:<\/p>\n\n\n\n

Using existing domain rsa key \/var\/lib\/acme\/acme\/key.pem\r\nUsing existing Lets Encrypt account key \/var\/lib\/acme\/acme\/account.pem\r\nDetecting IP addresses...\r\nOK: XX.35.XXX.250, 0000:0000:0000:0000:0000:0000:0000:0000<\/strong>\r\n\rFound AAAA record for mail.schmueller.de: 2001:XXXX:af0a:XXXX:4a5d:35ff:fe40:a963<\/strong> - skipping A record check\r\nCannot match your IP 0000:0000:0000:0000:0000:0000:0000:0000 against hostname mail.schmueller.de (DNS returned 2001:XXXX:af0a:XXXX:4a5d:35ff:fe40:a963)<\/strong>\r\nCannot validate any hostnames, skipping Let's Encrypt for 1 hour.\r\nUse SKIP_LETS_ENCRYPT=y in mailcow.conf to skip it permanently.<\/code><\/pre>\n\n\n\n
Die eigene IPv6 wird nicht erkannt und mit 0000:0000:0000:0000:0000:0000:0000:0000<\/strong> angenommen. Das f\u00fchrt dazu, dass die erkannte IPv6 nicht zur IPv6 aus dem AAAA Record im DNS passt. <\/p>\n\n\n\n
Leider bevorzugt das Skript die IPv6 und ignoriert die IPv4, die richtig erkannt wurde und auch zum A Record im DNS passt. <\/p>\n\n\n\n
Die L\u00f6sung habe ich hier<\/a> gefunden.<\/p>\n\n\n\n
Ich muss sicherstellen, dass die Verifikation auf Basis des A Records geschieht. Dazu muss ich eine Zeile im entsprechenden Skript auskommentieren:<\/p>\n\n\n\n
docker exec -it mailcowdockerized-acme-mailcow-1 bash\n<\/code><\/pre>\n\n\n\n
<\/code><\/pre>\n\n\n\n
Suche in der Datei \/srv\/functions.sh nach der Zeile: AAAA_DOMAIN=$(dig AAAA ${DOMAIN} +short | tail -n 1)<\/code> und kommentiere diese aus indem Du ein # davor setzt. <\/p>\n\n\n\n
Jetzt noch den Container neu starten und die Zertifikatserneuerung sollte gelingen.<\/p>\n\n\n\n
docker restart  mailcowdockerized-acme-mailcow-1<\/code><\/pre>\n","protected":false},"excerpt":{"rendered":"
Heute ist es wieder einmal passiert. Mein Mailclient kann keine Mails abrufen weil das Zertifikat der Mailcow abgelaufen ist. Bl\u00f6d ist, dass man in diesem Moment auch nicht mehr auf das Webfrontend kommt weil, wegen HSTS Strict Transport Security mein Browser den Kontakt verweigert. Das Problem h\u00e4ngt mit dem Container „mailcowdockerized-acme-mailcow-1“ zusammen, der sich um\u2026 Read More: Mailcow erneuert das Let’s encrypt Zertifikat nicht weil es seine\u2026 »<\/a><\/span><\/p>\n","protected":false},"author":1,"featured_media":244,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"footnotes":""},"categories":[1],"tags":[],"class_list":["post-243","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-allgemein"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t