1 (edytowany przez byku 2018-07-28 16:55:35)

Temat: http://eko.one.pl/?p=openwrt-letsencrypt

root@OpenWrt:~# opkg install uhttpd libustream-openssl ip6tables kmod-ip6tables
Package uhttpd (2018-06-26-796d42bc-1) installed in root is up to date.
Installing libustream-openssl (2018-04-30-527e7002-3) to root...
Downloading http://downloads.openwrt.org/releases/1 … s_24kc.ipk
Package ip6tables (1.6.2-1) installed in root is up to date.
Package kmod-ip6tables (4.9.111-1) installed in root is up to date.
Collected errors:
* check_data_file_clashes: Package libustream-openssl wants to install file /lib/libustream-ssl.so
        But that file is already provided by package  * libustream-mbedtls
* opkg_install_cmd: Cannot install package libustream-openssl.
root@OpenWrt:~#

tu pojawia sie pierwszy problem


root@OpenWrt:~/.acme.sh# /etc/init.d/uhttpd stop
root@OpenWrt:~/.acme.sh# opkg install acme ca-certificates socat
Installing acme (2.7.8-3) to root...
Downloading http://downloads.openwrt.org/releases/1 … s_24kc.ipk
Package ca-certificates (20180409) installed in root is up to date.
Package socat (1.7.3.2-2) installed in root is up to date.
Configuring acme.
Collected errors:
* resolve_conffiles: Existing conffile /etc/config/acme is different from the conffile in the new package. The new conffile will be placed at /etc/config/acme-opkg.
root@OpenWrt:~/.acme.sh# /etc/init.d/acme disable
root@OpenWrt:~/.acme.sh# uci -q del acme.@acme[0].account_email
root@OpenWrt:~/.acme.sh# uci set acme.@acme[0].debug='1'
root@OpenWrt:~/.acme.sh# uci set acme.example.enabled='1'
root@OpenWrt:~/.acme.sh# uci set acme.example.update_uhttpd='1'
root@OpenWrt:~/.acme.sh# uci -q del acme.example.domains
root@OpenWrt:~/.acme.sh# uci add_list acme.example.domains='NIEEEEE.ddns.net'
root@OpenWrt:~/.acme.sh# uci commit acme

"I to już koniec konfiguracji. Uruchamiamy generowanie (uhttpd musi być w tym czasie wyłączony!)" - rzeczywiście koniec, bo  nic się nie dzieje później.

root@OpenWrt:~/.acme.sh# /etc/init.d/uhttpd stop
Command failed: Not found
root@OpenWrt:~/.acme.sh# /etc/init.d/acme start
root@OpenWrt:~/.acme.sh#

nie miałem zaszczytu dojść do tego punktu programu :

"Czekamy cierpliwie na zakończenie procesu. W logu systemowym można znaleźć dużą liczbę informacji związanych z weryfikacją domeny i generowaniem certyfikatu. Wynikiem działania skryptów będzie katalog z nazwą podanej domeny w katalogu /etc/acme:
"

logread sypie
Sat Jul 28 16:00:00 2018 cron.info crond[859]: USER root pid 5537 cmd /bin/bash /root/sprawdzanie_IP.sh0 0 * * * /etc/init.d/acme start
Sat Jul 28 16:39:02 2018 daemon.err acme: state_dir and account_email must be set
Sat Jul 28 16:39:02 2018 daemon.err run-acme[7191]: acme: state_dir and account_email must be set
-------------------------------------------------------------------------------

podpunkt b

https://github.com/Neilpang/acme.sh/wik … on-OpenWRT

używając tej metody zatrzymuję się na :

root@OpenWrt:~# cd /root/.acme.sh
root@OpenWrt:~/.acme.sh# DOMAIN=NIEEE.ddns.net
root@OpenWrt:~/.acme.sh# iptables -I input_rule -p tcp --dport 443 -j ACCEPT -m comment --comment ACME
root@OpenWrt:~/.acme.sh# ./acme.sh --issue -d $DOMAIN -w /www
[Sat Jul 28 16:28:50 CEST 2018] Single domain='NIEEE.ddns.net'
[Sat Jul 28 16:28:51 CEST 2018] Getting domain auth token for each domain
[Sat Jul 28 16:28:51 CEST 2018] Getting webroot for domain='NIEEE.ddns.net'
[Sat Jul 28 16:28:51 CEST 2018] Getting new-authz for domain='NIEEE.ddns.net'
[Sat Jul 28 16:28:55 CEST 2018] The new-authz request is ok.
[Sat Jul 28 16:28:55 CEST 2018] Verifying:NIEEE.ddns.net
[Sat Jul 28 16:29:01 CEST 2018] Pending
[Sat Jul 28 16:29:04 CEST 2018] Pending
[Sat Jul 28 16:29:07 CEST 2018] Pending
[Sat Jul 28 16:29:10 CEST 2018] NIEEE.ddns.net:Verify error:Fetching http://NIEEE.ddns.net/.well-known/acme- … QgClCu8Z4: Timeout during connect (likely firewall problem)
[Sat Jul 28 16:29:10 CEST 2018] Please check log file for more details: /root/.acme.sh/acme.sh.log

debug:

https://pastebin.com/5894P4JU

--------------------





wyczytałem gdzieś , że nic nie zrobisz jak ISP blokuje port 80 bo mimo otwartego na routerze publicznie jest filtered.


--------------------------
openwrt 18.06.0-rc2

2

Odp: http://eko.one.pl/?p=openwrt-letsencrypt

Można uzyskać ten certyfikat w inny sposób (ja sie na tym nie znam już). Poza tym czemu ISP miałby blokować port 80? Przecież byś internetu nie mógł przeglądać. Co to za ISP?

3 (edytowany przez byku 2018-07-28 17:50:37)

Odp: http://eko.one.pl/?p=openwrt-letsencrypt

9tysiecy napisał/a:

Można uzyskać ten certyfikat w inny sposób (ja sie na tym nie znam już). Poza tym czemu ISP miałby blokować port 80? Przecież byś internetu nie mógł przeglądać. Co to za ISP?

http://www.ostnet.pl/node/43

podsumowując poradnik obsego jest niepełny(???), a w drugim przypadku nie jestem wstanie wygenerować certyfikatu

4

Odp: http://eko.one.pl/?p=openwrt-letsencrypt

Owszem jest pełny i działa - wielokrotnie sprawdzane.

1. To nie błąd - już miałeś bibliotekę dla ssl, więc innej robiącej to samo już nie chce zainstalować.
2. Już miałeś zainstalowany acme i coś tam miałeś, bo zostawił stary konfig. Więc zrób jeszcze raz na czysto (odinstaluj acme, usuń stare konfigi i zainstaluj acme i uhttpd (!)) i ponów całość od początku.
3. Aby to działało MUSISZ mieć dostęp do internetu do portu 80 i dostęp do serwisu. Jak jesteś za jakimś natem to nie zadziała. To jest wyraźnie napisane w poradniku.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

5 (edytowany przez byku 2018-07-28 19:40:32)

Odp: http://eko.one.pl/?p=openwrt-letsencrypt

dobra mam Cezary

w poradniku zabrakło:  option account_email 'MAIL@o2.pl'  w etc/config/acme

Sat Jul 28 20:22:50 2018 daemon.err acme: state_dir and account_email must be set
Sat Jul 28 20:22:50 2018 daemon.err run-acme[3928]: acme: state_dir and account_email must be set
wtedy logread ruszył

https://pastebin.com/0hUbKm2F

wynik ten sam. port 80 nie dziala.

6

Odp: http://eko.one.pl/?p=openwrt-letsencrypt

A ja w poradniku nie mam, i działa.

Inna sprawa - domena NIEEE.ddns.net nie istnieje. Więc jak chcesz dla niej wystawić certyfikat? Zarejestrowałeś taką domenę w ogóle?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

7

Odp: http://eko.one.pl/?p=openwrt-letsencrypt

Cezary napisał/a:

A ja w poradniku nie mam, i działa.

Inna sprawa - domena NIEEE.ddns.net nie istnieje. Więc jak chcesz dla niej wystawić certyfikat? Zarejestrowałeś taką domenę w ogóle?

prywatna istnieje, tylko nie wiem czy wolno publicznie podawać , zastępowałem ją w notepad++ , więc cały dump jest z tej prywatnej

8

Odp: http://eko.one.pl/?p=openwrt-letsencrypt

W logi masz informację że acme nie mógł się do niej dostać. Podaj jej konkretną nazwę.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

9

Odp: http://eko.one.pl/?p=openwrt-letsencrypt

I możesz dostać się do serwera www w tej domenie? Bo ja nie mogę.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

10 (edytowany przez byku 2018-07-28 20:30:39)

Odp: http://eko.one.pl/?p=openwrt-letsencrypt

https://imgur.com/a/S9vaJ84

próbowałem jakieś przekierowania zrobić , żeby port 80 przeskoczyć ale dałem sobie spokój

tam sobie luci siedzi elegancko jak podniose /etc/init.d/uhttpd start

11

Odp: http://eko.one.pl/?p=openwrt-letsencrypt

1. Jakie i gdzie przekierowania?
2. Ten adres masz na routerze na wanie tak czy nie?
3. Masz uruchomiony serwer uhttpd na tym routerze który ma w/w adres ip na wanie, tak czy nie?
4. Masz odblokowany port 80 na wanie, tak czy nie?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

12 (edytowany przez byku 2018-07-28 20:39:01)

Odp: http://eko.one.pl/?p=openwrt-letsencrypt

1. niechce się ośmieszać, gdzieś czytałem że sie da przekierowaniem obejść blokade portu isp 80
2. tak - ddns-scripts_no-ip_com - 2.7.7-6
3. tak
4. TAK - zablokowany przez ISP (http://www.ostnet.pl/node/43)

13

Odp: http://eko.one.pl/?p=openwrt-letsencrypt

Jak nie masz portu 80, to pozostaje go zdobyć bo inaczej nie wygenerujesz (dzwonić by odblokowali te wszystkie porty najlepiej), lub użyć OpenVPN i kombinować masakrycznie by to obejść. Śmieszna sprawa, że blokują porty bo jacyś idioci nie potrafią zmienić hasła smile

Żadnym przekierowaniem u siebie nie obejdziesz tej blokady.

14

Odp: http://eko.one.pl/?p=openwrt-letsencrypt

Więc tym skryptem acme z openwrt nic nie zrobisz, bo on robi weryfikację w ten a nie inny sposób i potrzebuje serwera na 80 do weryfikacji.

Samo lets encrypt potrafi weryfikować jeszcze przy pomocy dnsów, ale acme w wydania stabilnego tego nie potrafi. Więc albo zmienisz sobie chwilowo dostawcę albo rób to ręcznie na innym hoście.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

15

Odp: http://eko.one.pl/?p=openwrt-letsencrypt

Polecam dehydrated - weryfiikuje w dns.

Wally