Bonjour J'ai besoin d'un petit coup de patte de mes amis ingénieurs du réseau. Cela fait quelques jours (2, 3 ou 4) que j'ai des soucis de renouvellement de certificats Let's Encrypt sur ma VM Grifon. Le renouvellement des certificats est automatisé tous les jours vers 3h du matin. Les erreurs sont parlantes : 2 renew failure(s), 0 parse failure(s) IMPORTANT NOTES: - The following errors were reported by the server: Domain: grifon.nosheep.fr Type: None Detail: DNS problem: query timed out looking up CAA for nosheep.fr - The following errors were reported by the server: Domain: maggie.ninja Type: None Detail: DNS problem: query timed out looking up CAA for maggie.ninja Mais je parviens à joindre ma VM depuis chez moi (réseau Free) et depuis une machine chez OVH. Je test un ping 4/6, ça répond systématiquement. Je précise que je n'ai rien modifié de ma conf réseau ni de ma zone DNS. Le problème est survenu du jour au lendemain, sans action de ma part. Quelqu'un a une idée ? Grégory Reinbold
Hello, Je ne vois rien de particulier sur les deux domaines, grifon.nosheep.fr maggie.ninja les NS sont cohérents entre la zone, et la zone parente, tous répondent, donc à priori la zone marche. En revanche, $ dig CAA maggie.ninja +short $ dig CAA grifon.nosheep.fr +short $ dig CAA nosheep.fr +short $ À chaque fois, une réponse vide. Vu que les messages que tu cites parlent de problèmes pour trouver cet enregistrement https://en.wikipedia.org/wiki/DNS_Certification_Authority_Authorization tu peux peut être commencer par essayer de le définir, et/ou voir pourquoi lets encrypt essai de le consulter (ce doit être optionnel, tu as peut être activé un truc). ++ Grégory Reinbold via Grifon:
Bonjour
J'ai besoin d'un petit coup de patte de mes amis ingénieurs du réseau.
Cela fait quelques jours (2, 3 ou 4) que j'ai des soucis de renouvellement de certificats Let's Encrypt sur ma VM Grifon.
Le renouvellement des certificats est automatisé tous les jours vers 3h du matin.
Les erreurs sont parlantes : 2 renew failure(s), 0 parse failure(s) IMPORTANT NOTES: - The following errors were reported by the server: Domain: grifon.nosheep.fr Type: None Detail: DNS problem: query timed out looking up CAA for nosheep.fr - The following errors were reported by the server: Domain: maggie.ninja Type: None Detail: DNS problem: query timed out looking up CAA for maggie.ninja Mais je parviens à joindre ma VM depuis chez moi (réseau Free) et depuis une machine chez OVH. Je test un ping 4/6, ça répond systématiquement.
Je précise que je n'ai rien modifié de ma conf réseau ni de ma zone DNS. Le problème est survenu du jour au lendemain, sans action de ma part.
Quelqu'un a une idée ?
Grégory Reinbold
Le corps de ce message sera téléchargé à votre demande.
-- Mathieu Goessens IT Consultant
Merci pour ta réactivité ! Sur le sujet, j'ai trouvé ça : https://letsencrypt.org/docs/caa/#timeout mais je vois pas pourquoi il cherche des enregistrements CAA alors que j'ai jamais rien configuré de tel jusqu'à aujourd'hui. Je vais revoir ma conf Certbot ce soir. Quelqu'un a vu passer une news Let's Encrypt du genre qu'il faut définir impérativement ces enregistrements ? Grégory Reinbold 4 juin 2019 10:29 "Mathieu Goessens" <gebura@poolp.org> a écrit:
Hello,
Je ne vois rien de particulier sur les deux domaines, grifon.nosheep.fr maggie.ninja les NS sont cohérents entre la zone, et la zone parente, tous répondent, donc à priori la zone marche.
En revanche, $ dig CAA maggie.ninja +short $ dig CAA grifon.nosheep.fr +short $ dig CAA nosheep.fr +short $ À chaque fois, une réponse vide. Vu que les messages que tu cites parlent de problèmes pour trouver cet enregistrement https://en.wikipedia.org/wiki/DNS_Certification_Authority_Authorization tu peux peut être commencer par essayer de le définir, et/ou voir pourquoi lets encrypt essai de le consulter (ce doit être optionnel, tu as peut être activé un truc).
++
Grégory Reinbold via Grifon:
Bonjour
J'ai besoin d'un petit coup de patte de mes amis ingénieurs du réseau.
Cela fait quelques jours (2, 3 ou 4) que j'ai des soucis de renouvellement de certificats Let's Encrypt sur ma VM Grifon.
Le renouvellement des certificats est automatisé tous les jours vers 3h du matin.
Les erreurs sont parlantes : 2 renew failure(s), 0 parse failure(s) IMPORTANT NOTES: - The following errors were reported by the server: Domain: grifon.nosheep.fr Type: None Detail: DNS problem: query timed out looking up CAA for nosheep.fr - The following errors were reported by the server: Domain: maggie.ninja Type: None Detail: DNS problem: query timed out looking up CAA for maggie.ninja Mais je parviens à joindre ma VM depuis chez moi (réseau Free) et depuis une machine chez OVH. Je test un ping 4/6, ça répond systématiquement.
Je précise que je n'ai rien modifié de ma conf réseau ni de ma zone DNS. Le problème est survenu du jour au lendemain, sans action de ma part.
Quelqu'un a une idée ?
Grégory Reinbold
Le corps de ce message sera téléchargé à votre demande.
-- Mathieu Goessens IT Consultant
On mar. 4 juin 10:29:54 2019, Mathieu Goessens wrote:
Hello,
Je ne vois rien de particulier sur les deux domaines, grifon.nosheep.fr maggie.ninja les NS sont cohérents entre la zone, et la zone parente, tous répondent, donc à priori la zone marche.
En revanche, $ dig CAA maggie.ninja +short $ dig CAA grifon.nosheep.fr +short $ dig CAA nosheep.fr +short $ À chaque fois, une réponse vide. Vu que les messages que tu cites parlent de problèmes pour trouver cet enregistrement https://en.wikipedia.org/wiki/DNS_Certification_Authority_Authorization tu peux peut être commencer par essayer de le définir, et/ou voir pourquoi lets encrypt essai de le consulter (ce doit être optionnel, tu as peut être activé un truc).
Je ne pense pas que les enregistrements DNS soient en cause : « Your DNS provider does not need to specifically support CAA records; it only needs to reply with a NOERROR response » ~ % dig -t CAA maggie.ninja ; <<>> DiG 9.12.3-P4 <<>> -t CAA maggie.ninja ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 9196 ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1 ;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 4096 ;; QUESTION SECTION: ;maggie.ninja. IN CAA ;; AUTHORITY SECTION: maggie.ninja. 9271 IN SOA ns1.gandi.net. hostmaster.gandi.net. 1559475615 10800 3600 604800 10800 ;; Query time: 1 msec ;; SERVER: 217.70.181.80#53(217.70.181.80) ;; WHEN: Tue Jun 04 11:47:29 CEST 2019 ;; MSG SIZE rcvd: 101 ~ % dig -t CAA nosheep.fr ; <<>> DiG 9.12.3-P4 <<>> -t CAA nosheep.fr ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 58446 ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1 ;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 4096 ;; QUESTION SECTION: ;nosheep.fr. IN CAA ;; AUTHORITY SECTION: nosheep.fr. 10798 IN SOA ns1.gandi.net. hostmaster.gandi.net. 1559174400 10800 3600 604800 10800 ;; Query time: 1 msec ;; SERVER: 217.70.181.80#53(217.70.181.80) ;; WHEN: Tue Jun 04 11:47:38 CEST 2019 ;; MSG SIZE rcvd: 109 Donc faut chercher ailleurs, mais c’est bien space… -- Alarig
Salut alarig Merci pour ton retour ! Il y a des mises à jour à descendre sur ma VM, je vais faire ça ce soir et si ça n'arrange rien, j'écrirais un mail à Let's Encrypt. J'ai pas plus d'idées dans l'immédiat. Grégory Reinbold 4 juin 2019 11:50 "Alarig Le Lay" <alarig@grifon.fr> a écrit:
On mar. 4 juin 10:29:54 2019, Mathieu Goessens wrote:
Hello,
Je ne vois rien de particulier sur les deux domaines, grifon.nosheep.fr maggie.ninja les NS sont cohérents entre la zone, et la zone parente, tous répondent, donc à priori la zone marche.
En revanche, $ dig CAA maggie.ninja +short $ dig CAA grifon.nosheep.fr +short $ dig CAA nosheep.fr +short $ À chaque fois, une réponse vide. Vu que les messages que tu cites parlent de problèmes pour trouver cet enregistrement https://en.wikipedia.org/wiki/DNS_Certification_Authority_Authorization tu peux peut être commencer par essayer de le définir, et/ou voir pourquoi lets encrypt essai de le consulter (ce doit être optionnel, tu as peut être activé un truc).
Je ne pense pas que les enregistrements DNS soient en cause : « Your DNS provider does not need to specifically support CAA records; it only needs to reply with a NOERROR response »
~ % dig -t CAA maggie.ninja
; <<>> DiG 9.12.3-P4 <<>> -t CAA maggie.ninja ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 9196 ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1
;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 4096 ;; QUESTION SECTION: ;maggie.ninja. IN CAA
;; AUTHORITY SECTION: maggie.ninja. 9271 IN SOA ns1.gandi.net. hostmaster.gandi.net. 1559475615 10800 3600 604800 10800
;; Query time: 1 msec ;; SERVER: 217.70.181.80#53(217.70.181.80) ;; WHEN: Tue Jun 04 11:47:29 CEST 2019 ;; MSG SIZE rcvd: 101
~ % dig -t CAA nosheep.fr
; <<>> DiG 9.12.3-P4 <<>> -t CAA nosheep.fr ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 58446 ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1
;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 4096 ;; QUESTION SECTION: ;nosheep.fr. IN CAA
;; AUTHORITY SECTION: nosheep.fr. 10798 IN SOA ns1.gandi.net. hostmaster.gandi.net. 1559174400 10800 3600 604800 10800
;; Query time: 1 msec ;; SERVER: 217.70.181.80#53(217.70.181.80) ;; WHEN: Tue Jun 04 11:47:38 CEST 2019 ;; MSG SIZE rcvd: 109
Donc faut chercher ailleurs, mais c’est bien space…
-- Alarig _______________________________________________ Grifon mailing list Grifon@grifon.fr https://lists.grifon.fr/mailman/listinfo/grifon
Salut J'ai procédé aux mises à jour système et applicatives (incluant py36-certbot) hier soir, puis reboot de la VM. Tout s'est bien passé. Une nouvelle erreur est apparue lors du renouvellement des certificats Let's Encrypt cette nuit : 3 renew failure(s), 0 parse failure(s) IMPORTANT NOTES: - The following errors were reported by the server: Domain: grifon.nosheep.fr Type: connection Detail: dns :: DNS problem: query timed out looking up A for grifon.nosheep.fr To fix these errors, please make sure that your domain name was entered correctly and the DNS A/AAAA record(s) for that domain contain(s) the right IP address. Additionally, please check that your computer has a publicly routable IP address and that no firewalls are preventing the server from communicating with the client. If you're using the webroot plugin, you should also verify that you are serving files from the webroot path you provided. - The following errors were reported by the server: Domain: maggie.ninja Type: None Detail: DNS problem: query timed out looking up CAA for maggie.ninja - The following errors were reported by the server: Cette fois-ci il y a aussi l'enregistrement A grifon.nosheep.fr qui n'a pas l'air de lui convenir. Je vais revoir ma zone DNS chez Gandi et la config réseau de la VM à tout hasard. Si vous avez des idées, je suis preneur. Grégory Reinbold 4 juin 2019 13:13 "Grégory Reinbold via Grifon" <grifon@grifon.fr> a écrit:
Salut alarig
Merci pour ton retour !
Il y a des mises à jour à descendre sur ma VM, je vais faire ça ce soir et si ça n'arrange rien, j'écrirais un mail à Let's Encrypt.
J'ai pas plus d'idées dans l'immédiat.
Grégory Reinbold
4 juin 2019 11:50 "Alarig Le Lay" <alarig@grifon.fr> a écrit:
On mar. 4 juin 10:29:54 2019, Mathieu Goessens wrote:
Hello,
Je ne vois rien de particulier sur les deux domaines, grifon.nosheep.fr maggie.ninja les NS sont cohérents entre la zone, et la zone parente, tous répondent, donc à priori la zone marche.
En revanche, $ dig CAA maggie.ninja +short $ dig CAA grifon.nosheep.fr +short $ dig CAA nosheep.fr +short $ À chaque fois, une réponse vide. Vu que les messages que tu cites parlent de problèmes pour trouver cet enregistrement https://en.wikipedia.org/wiki/DNS_Certification_Authority_Authorization tu peux peut être commencer par essayer de le définir, et/ou voir pourquoi lets encrypt essai de le consulter (ce doit être optionnel, tu as peut être activé un truc).
Je ne pense pas que les enregistrements DNS soient en cause : « Your DNS provider does not need to specifically support CAA records; it only needs to reply with a NOERROR response »
~ % dig -t CAA maggie.ninja
; <<>> DiG 9.12.3-P4 <<>> -t CAA maggie.ninja ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 9196 ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1
;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 4096 ;; QUESTION SECTION: ;maggie.ninja. IN CAA
;; AUTHORITY SECTION: maggie.ninja. 9271 IN SOA ns1.gandi.net. hostmaster.gandi.net. 1559475615 10800 3600 604800 10800
;; Query time: 1 msec ;; SERVER: 217.70.181.80#53(217.70.181.80) ;; WHEN: Tue Jun 04 11:47:29 CEST 2019 ;; MSG SIZE rcvd: 101
~ % dig -t CAA nosheep.fr
; <<>> DiG 9.12.3-P4 <<>> -t CAA nosheep.fr ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 58446 ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1
;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 4096 ;; QUESTION SECTION: ;nosheep.fr. IN CAA
;; AUTHORITY SECTION: nosheep.fr. 10798 IN SOA ns1.gandi.net. hostmaster.gandi.net. 1559174400 10800 3600 604800 10800
;; Query time: 1 msec ;; SERVER: 217.70.181.80#53(217.70.181.80) ;; WHEN: Tue Jun 04 11:47:38 CEST 2019 ;; MSG SIZE rcvd: 109
Donc faut chercher ailleurs, mais c’est bien space…
-- Alarig _______________________________________________ Grifon mailing list Grifon@grifon.fr https://lists.grifon.fr/mailman/listinfo/grifon
_______________________________________________ Grifon mailing list Grifon@grifon.fr https://lists.grifon.fr/mailman/listinfo/grifon
Salut Bon, cette nuit tous les renouvellements sont passés : Congratulations, all renewals succeeded. J'ai bien vérifié mes conf hier soir, mais rien modifié, tout me paraissait bon.. J'ai pas vraiment compris ce qui s'est passé, mais l'essentiel c'est que ça fonctionne à nouveau. Merci pour votre aide et désolé pour le dérangement. Grégory Reinbold 6 juin 2019 09:33 "Grégory Reinbold" <gregory.reinbold@laposte.net> a écrit:
Salut
J'ai procédé aux mises à jour système et applicatives (incluant py36-certbot) hier soir, puis reboot de la VM. Tout s'est bien passé.
Une nouvelle erreur est apparue lors du renouvellement des certificats Let's Encrypt cette nuit :
3 renew failure(s), 0 parse failure(s) IMPORTANT NOTES: - The following errors were reported by the server:
Domain: grifon.nosheep.fr Type: connection Detail: dns :: DNS problem: query timed out looking up A for grifon.nosheep.fr
To fix these errors, please make sure that your domain name was entered correctly and the DNS A/AAAA record(s) for that domain contain(s) the right IP address. Additionally, please check that your computer has a publicly routable IP address and that no firewalls are preventing the server from communicating with the client. If you're using the webroot plugin, you should also verify that you are serving files from the webroot path you provided. - The following errors were reported by the server:
Domain: maggie.ninja Type: None Detail: DNS problem: query timed out looking up CAA for maggie.ninja - The following errors were reported by the server:
Cette fois-ci il y a aussi l'enregistrement A grifon.nosheep.fr qui n'a pas l'air de lui convenir.
Je vais revoir ma zone DNS chez Gandi et la config réseau de la VM à tout hasard.
Si vous avez des idées, je suis preneur.
Grégory Reinbold
4 juin 2019 13:13 "Grégory Reinbold via Grifon" <grifon@grifon.fr> a écrit:
Salut alarig
Merci pour ton retour !
Il y a des mises à jour à descendre sur ma VM, je vais faire ça ce soir et si ça n'arrange rien, j'écrirais un mail à Let's Encrypt.
J'ai pas plus d'idées dans l'immédiat.
Grégory Reinbold
4 juin 2019 11:50 "Alarig Le Lay" <alarig@grifon.fr> a écrit:
On mar. 4 juin 10:29:54 2019, Mathieu Goessens wrote:
Hello,
Je ne vois rien de particulier sur les deux domaines, grifon.nosheep.fr maggie.ninja les NS sont cohérents entre la zone, et la zone parente, tous répondent, donc à priori la zone marche.
En revanche, $ dig CAA maggie.ninja +short $ dig CAA grifon.nosheep.fr +short $ dig CAA nosheep.fr +short $ À chaque fois, une réponse vide. Vu que les messages que tu cites parlent de problèmes pour trouver cet enregistrement https://en.wikipedia.org/wiki/DNS_Certification_Authority_Authorization tu peux peut être commencer par essayer de le définir, et/ou voir pourquoi lets encrypt essai de le consulter (ce doit être optionnel, tu as peut être activé un truc).
Je ne pense pas que les enregistrements DNS soient en cause : « Your DNS provider does not need to specifically support CAA records; it only needs to reply with a NOERROR response »
~ % dig -t CAA maggie.ninja
; <<>> DiG 9.12.3-P4 <<>> -t CAA maggie.ninja ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 9196 ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1
;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 4096 ;; QUESTION SECTION: ;maggie.ninja. IN CAA
;; AUTHORITY SECTION: maggie.ninja. 9271 IN SOA ns1.gandi.net. hostmaster.gandi.net. 1559475615 10800 3600 604800 10800
;; Query time: 1 msec ;; SERVER: 217.70.181.80#53(217.70.181.80) ;; WHEN: Tue Jun 04 11:47:29 CEST 2019 ;; MSG SIZE rcvd: 101
~ % dig -t CAA nosheep.fr
; <<>> DiG 9.12.3-P4 <<>> -t CAA nosheep.fr ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 58446 ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1
;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 4096 ;; QUESTION SECTION: ;nosheep.fr. IN CAA
;; AUTHORITY SECTION: nosheep.fr. 10798 IN SOA ns1.gandi.net. hostmaster.gandi.net. 1559174400 10800 3600 604800 10800
;; Query time: 1 msec ;; SERVER: 217.70.181.80#53(217.70.181.80) ;; WHEN: Tue Jun 04 11:47:38 CEST 2019 ;; MSG SIZE rcvd: 109
Donc faut chercher ailleurs, mais c’est bien space…
-- Alarig _______________________________________________ Grifon mailing list Grifon@grifon.fr https://lists.grifon.fr/mailman/listinfo/grifon
_______________________________________________ Grifon mailing list Grifon@grifon.fr https://lists.grifon.fr/mailman/listinfo/grifon
participants (3)
-
Alarig Le Lay -
Grégory Reinbold -
Mathieu Goessens