Beiträge von QpUQMFC9H7

QpUQMFC9H7

Zitat von H6G

Ich denke mal, dass die CNAMEs das Problem sein werden.

Ersetze die mal durch die richtigen A und AAAA Records, dann müsste das eigentlich klappen.

Das scheint es wirklich gewesen zu sein. Werde das noch beobachten.

Danke dir H6G

Zitat von NaN

Wie auch immer, die DNS-API tut's und der Fehler liegt wohl in der Konfiguration dieses Kubernetes Monsters, das eine handvoll Web Requests alle drei Monate erledigen soll. Bin raus. Wo ist der Kopfschüttelsmiley wenn man ihn braucht?

Natürlich läuft mein Kubernetes-Cluster nur um Zertifikate auszustellen.

QpUQMFC9H7

Erstmal danke für die schnellen Antworten.

Die ganzen Konfigs und Logs sind vom Versuch mit den Subdomains, wobei man da auch sieht das es mit der Hauptdomain scheinbar funktioniert und es "nur" an den Subdomains hängt das das Secret( ejabberd-meinedomain-tls) nicht erstellt wird.

Würde es wenn es an der Waittime liegt dann nicht auch die Hauptdomain scheitern?

Übrigens verwende ich diesen Webhook-HelmChart https://aellwein.github.io/cert-manager-w…-netcup/charts/ von aellwein

Edit: Ihr postet so schnell da komm ich garnicht mit

QpUQMFC9H7

2ter Post da ich wg. Zeichenbegrenzung aufteilen musste

kubectl -n ejabberd-ns describe orders.acme.cert-manager.io ejabberd-meinedomain-tls-1-769472745

Spoiler anzeigen

Code

Name:         ejabberd-meinedomain-tls-1-769472745
Namespace:    ejabberd-ns
Labels:       kustomize.toolkit.fluxcd.io/name=flux-system
              kustomize.toolkit.fluxcd.io/namespace=flux-system
Annotations:  cert-manager.io/certificate-name: ejabberd-meinedomain-tls
              cert-manager.io/certificate-revision: 1
              cert-manager.io/private-key-secret-name: ejabberd-meinedomain-tls-rn4v9
API Version:  acme.cert-manager.io/v1
Kind:         Order
Metadata:
  Creation Timestamp:  2025-01-23T07:13:01Z
  Generation:          1
  Owner References:
    API Version:           cert-manager.io/v1
    Block Owner Deletion:  true
    Controller:            true
    Kind:                  CertificateRequest
    Name:                  ejabberd-meinedomain-tls-1
    UID:                   c50d1213-b2ca-4c16-b282-73a651b0c778
  Resource Version:        181970611
  UID:                     46971e1b-71a0-48c9-89eb-3cc1853b6a84
Spec:
  Dns Names:
    meinedomain.de
    conference.meinedomain.de
    proxy.meinedomain.de
    pubsub.meinedomain.de
    upload.meinedomain.de
  Issuer Ref:
    Group:  cert-manager.io
    Kind:   ClusterIssuer
    Name:   netcup-issuer
  Request:  Lgekuerzt=
Status:
  Authorizations:
    Challenges:
      Token:        Igekuerztk
      Type:         dns-01
      URL:          https://acme-v02.api.letsencrypt.org/acme/chall/2103492107/464639080545/IZ2fuw
    Identifier:     conference.meinedomain.de
    Initial State:  valid
    URL:            https://acme-v02.api.letsencrypt.org/acme/authz/2103492107/464639080545
    Wildcard:       false
    Challenges:
      Token:        Cgekuerztw
      Type:         tls-alpn-01
      URL:          https://acme-v02.api.letsencrypt.org/acme/chall/2103492107/464639080555/unArgA
      Token:        Cgekuerztw
      Type:         http-01
      URL:          https://acme-v02.api.letsencrypt.org/acme/chall/2103492107/464639080555/nb6Bvg
      Token:        Cgekuerztw
      Type:         dns-01
      URL:          https://acme-v02.api.letsencrypt.org/acme/chall/2103492107/464639080555/t0N1uw
    Identifier:     meinedomain.de
    Initial State:  pending
    URL:            https://acme-v02.api.letsencrypt.org/acme/authz/2103492107/464639080555
    Wildcard:       false
    Challenges:
      Token:        UgekuerztI
      Type:         http-01
      URL:          https://acme-v02.api.letsencrypt.org/acme/chall/2103492107/464639080565/j5h1wA
      Token:        UgekuerztI
      Type:         tls-alpn-01
      URL:          https://acme-v02.api.letsencrypt.org/acme/chall/2103492107/464639080565/b0H1-Q
      Token:        UgekuerztI
      Type:         dns-01
      URL:          https://acme-v02.api.letsencrypt.org/acme/chall/2103492107/464639080565/Zh9i1Q
    Identifier:     proxy.meinedomain.de
    Initial State:  pending
    URL:            https://acme-v02.api.letsencrypt.org/acme/authz/2103492107/464639080565
    Wildcard:       false
    Challenges:
      Token:        jgekuerzt4
      Type:         dns-01
      URL:          https://acme-v02.api.letsencrypt.org/acme/chall/2103492107/464639080575/Vu_qWw
      Token:        jgekuerzt4
      Type:         tls-alpn-01
      URL:          https://acme-v02.api.letsencrypt.org/acme/chall/2103492107/464639080575/3jEbng
      Token:        jgekuerzt4
      Type:         http-01
      URL:          https://acme-v02.api.letsencrypt.org/acme/chall/2103492107/464639080575/8vk7TQ
    Identifier:     pubsub.meinedomain.de
    Initial State:  pending
    URL:            https://acme-v02.api.letsencrypt.org/acme/authz/2103492107/464639080575
    Wildcard:       false
    Challenges:
      Token:        ugekuerztM
      Type:         http-01
      URL:          https://acme-v02.api.letsencrypt.org/acme/chall/2103492107/464639080585/QqhZ0g
      Token:        ugekuerztM
      Type:         tls-alpn-01
      URL:          https://acme-v02.api.letsencrypt.org/acme/chall/2103492107/464639080585/oGKjVA
      Token:        ugekuerztM
      Type:         dns-01
      URL:          https://acme-v02.api.letsencrypt.org/acme/chall/2103492107/464639080585/GJusyw
    Identifier:     upload.meinedomain.de
    Initial State:  pending
    URL:            https://acme-v02.api.letsencrypt.org/acme/authz/2103492107/464639080585
    Wildcard:       false
  Finalize URL:     https://acme-v02.api.letsencrypt.org/acme/finalize/2103492107/347001459725
  State:            pending
  URL:              https://acme-v02.api.letsencrypt.org/acme/order/2103492107/347001459725
Events:
  Type    Reason   Age    From                 Message
  ----    ------   ----   ----                 -------
  Normal  Created  3m53s  cert-manager-orders  Created Challenge resource "ejabberd-meinedomain-tls-1-769472745-1165163020" for domain "meinedomain.de"
  Normal  Created  3m53s  cert-manager-orders  Created Challenge resource "ejabberd-meinedomain-tls-1-769472745-2288106132" for domain "proxy.meinedomain.de"
  Normal  Created  3m53s  cert-manager-orders  Created Challenge resource "ejabberd-meinedomain-tls-1-769472745-893561251" for domain "pubsub.meinedomain.de"
  Normal  Created  3m53s  cert-manager-orders  Created Challenge resource "ejabberd-meinedomain-tls-1-769472745-2580783813" for domain "upload.meinedomain.de"

Alles anzeigen

kubectl -n ejabberd-ns describe secrets ejabberd-meinedomain-tls-rn4v9

Spoiler anzeigen

Code

Name:         ejabberd-meinedomain-tls-rn4v9
Namespace:    ejabberd-ns
Labels:       cert-manager.io/next-private-key=true
              controller.cert-manager.io/fao=true
Annotations:  <none>

Type:  Opaque

Data
====
tls.key:  1704 bytes</none>

Alles anzeigen

Sollte ich noch etwas schuldig geblieben sein bitte einfach Bescheid geben... werde natürlich versuchen alles notwendige zur Problemlösung zur Verfügung zu stellen

QpUQMFC9H7

Hallo,

scheitere gerade daran für Subdomains Zertifikate auszustellen, der API-Zugriff scheint aber korrekt konfiguriert zu sein, da ein Versuch nur mit der Hauptdomain erfolgreich war.

Ziel ist es einen ejabberd-Server auf meinem Kubernetes-Cluster zu Hause zur Verfügung zu stellen.

Folgende DNS-Einstellungen habe ich vorgenommen:

xmpp	A	83.142.91.142 # zeigt auf meine IP zuhause
conference	CNAME	xmpp.meinedomain.de
proxy	CNAME	xmpp.meinedomain.de
pubsub	CNAME	xmpp.meinedomain.de
upload	CNAME	xmpp.meinedomain.de
_stun._tcp	SRV	10 5 3478 xmpp.meinedomain.de
_stun._udp	SRV	10 5 3478 xmpp.meinedomain.de
_stuns._tcp	SRV	10 5 5349 xmpp.meinedomain.de
_xmpp-client._tcp	SRV	10 5 5222 xmpp.meinedomain.de
_xmpp-server._tcp	SRV	10 5 5269 xmpp.meinedomain.de
_xmpps-client._tcp	SRV	10 5 443 xmpp.meinedomain.de

Hier noch ein paar Konfis und Logs:

ingress.yml

Spoiler anzeigen

Code

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ejabberd-http-ingress
  namespace: ejabberd-ns
  annotations:
    kubernetes.io/ingress.class: "public"
    nginx.ingress.kubernetes.io/rewrite-target: /
    cert-manager.io/cluster-issuer: netcup-issuer  # Der ClusterIssuer, der das Zertifikat ausstellt
    cert-manager.io/acme-challenge-type: dns01
spec:
  rules:
  - host: meinedomain.de
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: ejabberd-internal
            port:
              number: 5280
  tls:
    - hosts:
      - "meinedomain.de"  # Das Zertifikat gilt für die Hauptdomain
      # - "*.meinedomain.de"  # Wildcard Zertifikat für alle Subdomains
      - "conference.meinedomain.de"
      - "proxy.meinedomain.de"
      - "pubsub.meinedomain.de"
      - "upload.meinedomain.de"
      secretName: ejabberd-meinedomain-tls

Alles anzeigen

kubectl -n ejabberd-ns events --watch

Spoiler anzeigen

Code

0s                      Normal    OrderCreated         CertificateRequest/ejabberd-meinedomain-tls-1               Created Order resource ejabberd-ns/ejabberd-meinedomain-tls-1-769472745
0s                      Normal    OrderPending         CertificateRequest/ejabberd-meinedomain-tls-1               Waiting on certificate issuance from order ejabberd-ns/ejabberd-meinedomain-tls-1-769472745: ""
0s                      Normal    Created              Order/ejabberd-meinedomain-tls-1-769472745                  Created Challenge resource "ejabberd-meinedomain-tls-1-769472745-1165163020" for domain "meinedomain.de"
0s                      Normal    Created              Order/ejabberd-meinedomain-tls-1-769472745                  Created Challenge resource "ejabberd-meinedomain-tls-1-769472745-2288106132" for domain "proxy.meinedomain.de"
0s                      Normal    Created              Order/ejabberd-meinedomain-tls-1-769472745                  Created Challenge resource "ejabberd-meinedomain-tls-1-769472745-893561251" for domain "pubsub.meinedomain.de"
0s                      Normal    Created              Order/ejabberd-meinedomain-tls-1-769472745                  Created Challenge resource "ejabberd-meinedomain-tls-1-769472745-2580783813" for domain "upload.meinedomain.de"
0s                      Normal    Started              Challenge/ejabberd-meinedomain-tls-1-769472745-2288106132   Challenge scheduled for processing
0s                      Normal    Started              Challenge/ejabberd-meinedomain-tls-1-769472745-893561251    Challenge scheduled for processing
0s                      Normal    Started              Challenge/ejabberd-meinedomain-tls-1-769472745-2580783813   Challenge scheduled for processing
0s                      Normal    Presented            Challenge/ejabberd-meinedomain-tls-1-769472745-2288106132   Presented challenge using DNS-01 challenge mechanism
0s                      Normal    Presented            Challenge/ejabberd-meinedomain-tls-1-769472745-893561251    Presented challenge using DNS-01 challenge mechanism
0s                      Normal    Presented            Challenge/ejabberd-meinedomain-tls-1-769472745-2580783813   Presented challenge using DNS-01 challenge mechanism
0s                      Normal    DomainVerified       Challenge/ejabberd-meinedomain-tls-1-995231938-3514114516   Domain "meinedomain.de" verified with "DNS-01" validation
1s                      Normal    Started              Challenge/ejabberd-meinedomain-tls-1-769472745-1165163020   Challenge scheduled for processing
0s                      Normal    Presented            Challenge/ejabberd-meinedomain-tls-1-769472745-1165163020   Presented challenge using DNS-01 challenge mechanism

Alles anzeigen

QpUQMFC9H7

Servus aellwein,

habe versucht deinen Helm Chart via Flux in meinem Cluster zu deployen, leider bekomme ich das nicht hin.

Gibts da vielleicht ein Anwendungsbeispiel dafür oder hat das wer anders schon gemacht und kann mir eine Vorlage liefern?

Danke schonmal

Beiträge von QpUQMFC9H7

Zertifikate via DNS-API für Subdomains klappt nicht

Zertifikate via DNS-API für Subdomains klappt nicht

Zertifikate via DNS-API für Subdomains klappt nicht

Zertifikate via DNS-API für Subdomains klappt nicht

Netcup DNS API Client in Go und Webhook für cert-manager