[SOLVED] Probleme mit ACME und DNS-Challenge (bei Hetzner)

[sausi71]

Ich bekomme die DNS-Challenge für ein Letsencrypt-Zertifikat via ACME nicht zum Laufen.

1. Ich richte im Web-Gui von Proxmox unter > Datacenter > ACME einen Account ein. Funktioniert.
2. Ich richte im zweiten Schritt ein Challenge-Plugin ein. Als Plugin-ID trage ich dns_hetzner ein. Dann wähle ich dort bei der DNS-API "Hetzner" aus und trage unter API-Daten "HETZNER_Token="MeinToken" ein.
3. im dritten Schritt füge ich unter > pve > Zertifikate ACME mein gewünschte Domäne hinzu. Als Validierungstyp wähle ich hier DNS aus. Als Plugin nehme ich das unter 2) erstellte dns_hetzner - Plugin.
4. Dann klicke ich auf "Zertifikat jetzt anfordern".

Es klappt aber nicht, denn ich erhalte folgende Fehlermeldung:

Loading ACME account details
Placing ACME order
Order URL: https://acme-staging-v02.api.letsencrypt.org/acme/order/XXX

Getting authorization details from 'https://acme-staging-v02.api.letsencrypt.org/acme/authz-v3/XXX'
The validation for pve.XXX.de is pending!
/usr/share/proxmox-acme/proxmox-acme: line 90: /dev/null: Permission denied
/usr/share/proxmox-acme/proxmox-acme: line 93: /dev/null: Permission denied
[Sun Aug XX XX:XX:XX CEST 2021] It seems that your api file is not correct, it must have a function named: dns_hetzner_add
TASK ERROR: command 'setpriv --reuid nobody --regid nogroup --clear-groups --reset-env -- /bin/bash /usr/share/proxmox-acme/proxmox-acme setup hetzner pve.XXX.de' failed: exit code 1

Meine Paketversionen:

proxmox-ve: 6.4-1 (running kernel: 5.4.128-1-pve)
pve-manager: 6.4-13 (running version: 6.4-13/9f411e79)
pve-kernel-5.4: 6.4-5
pve-kernel-helper: 6.4-5
pve-kernel-5.0: 6.0-11
pve-kernel-5.4.128-1-pve: 5.4.128-1
pve-kernel-5.4.114-1-pve: 5.4.114-1
pve-kernel-5.4.106-1-pve: 5.4.106-1
pve-kernel-5.4.103-1-pve: 5.4.103-1
pve-kernel-5.4.101-1-pve: 5.4.101-1
pve-kernel-5.4.78-2-pve: 5.4.78-2
pve-kernel-5.4.41-1-pve: 5.4.41-1
pve-kernel-4.15: 5.4-8
pve-kernel-5.0.21-5-pve: 5.0.21-10
pve-kernel-5.0.21-2-pve: 5.0.21-7
pve-kernel-4.15.18-20-pve: 4.15.18-46
pve-kernel-4.15.17-1-pve: 4.15.17-9
ceph-fuse: 12.2.11+dfsg1-2.1+b1
corosync: 3.1.2-pve1
criu: 3.11-3
glusterfs-client: 5.5-3
ifupdown: not correctly installed
ifupdown2: 3.0.0-1+pve4~bpo10
ksm-control-daemon: 1.3-1
libjs-extjs: 6.0.1-10
libknet1: 1.20-pve1
libproxmox-acme-perl: 1.1.0
libproxmox-backup-qemu0: 1.1.0-1
libpve-access-control: 6.4-3
libpve-apiclient-perl: 3.1-3
libpve-common-perl: 6.4-3
libpve-guest-common-perl: 3.1-5
libpve-http-server-perl: 3.2-3
libpve-storage-perl: 6.4-1
libqb0: 1.0.5-1
libspice-server1: 0.14.2-4~pve6+1
lvm2: 2.03.02-pve4
lxc-pve: 4.0.6-2
lxcfs: 4.0.6-pve1
novnc-pve: 1.1.0-1
proxmox-backup-client: 1.1.12-1
proxmox-mini-journalreader: 1.1-1
proxmox-widget-toolkit: 2.6-1
pve-cluster: 6.4-1
pve-container: 3.3-6
pve-docs: 6.4-2
pve-edk2-firmware: 2.20200531-1
pve-firewall: 4.1-4
pve-firmware: 3.2-4
pve-ha-manager: 3.1-1
pve-i18n: 2.3-1
pve-qemu-kvm: 5.2.0-6
pve-xtermjs: 4.7.0-3
qemu-server: 6.4-2
smartmontools: 7.2-pve2
spiceterm: 3.1-1
vncterm: 1.6-2
zfsutils-linux: 2.0.5-pve1~bpo10+1

 

[wbumiller]

Das sieht seltsam aus, was sagt # stat /dev/null

 

[sausi71]

Danke für Ihre Anwort. # stat /dev/null
ergibt:

  File: /dev/null
  Size: 0               Blocks: 0          IO Block: 4096   character special file
Device: 6h/6d   Inode: 6           Links: 1     Device type: 1,3
Access: (0660/crw-rw----)  Uid: (    0/    root)   Gid: (  118/     nut)
Access: 2021-08-14 22:46:50.151874159 +0200
Modify: 2021-08-14 22:46:50.151874159 +0200
Change: 2021-08-14 22:46:50.151874159 +0200
 Birth: -

 

[sausi71]

Ich habe jetzt testweise mal das gleiche auf einem Proxmox-Server mit Version 7.0.10 gemacht. Dort funktioniert es.
Anschließend habe ich das proxmox-acme Skript der Version 7.0.10 mit der Version meines Servers (6.4-13) verglichen (sowie alle anderen ACME-Skripte). Das 7er proxmox-acme Skript ist etwas größer (habe aber nicht zeilenweise verglichen). Dann habe ich das 7er Skript auf meinen 6er Server kopiert und dann erneut eine DNS-Challenge ausgelöst. Ergebnis: Es kommt die gleiche Fehlermeldung wie oben. Könnte es sich ggf. um ein Rechteproblem handeln?

 

[Stoiko Ivanov]

Könnte es sich ggf. um ein Rechteproblem handeln?

ja - /dev/null hat nicht die passenden permissions (sie müssten 0600 (crw-rw-rw- ) sein - allerdings ist es sehr ungewöhnlich dass /dev/null falsche permissions hat - da würde ich mal die logs durchforsten um herauszufinden warum/wie es dazu gekommen ist.

Ich hoffe das hilft!

 

[sausi71]

Die Rechte von /dev/null waren irgendwie verhunzt. Keine Ahnung, wie das passiert ist.
Habe das jedenfalls gelöscht und mit mknod -m 0666 /dev/null c 1 3 neu angelegt. Jetzt funktioniert es. Danke!

Eine Frage habe ich noch: Wissen Sie, ob und wann ggf. auch Wildcards mit der ACME-Funktion in Proxmox unterstützt werden?