Self signed certificate

[mstaffenski]

Hallo @all.
Ich bin neu und noch etwas unerfahren mit PROXMOX VE. Nach Änderung meines Domain Namens wollte ich die SSL Zertifikate anpassen und habs verkak... .
Jetzt ist das Webinterface nicht mehr erreichbar.
Der der Server nicht vom Internet heraus erreichbar ist, kann ich auch nicht mit LE und ähnlichen Werkzeugen ein Zertifkat bekommen.
Auf der anderen Seite hat ja der Server Zertifikate bei der Installation mit dem alten Domainnamen erzeugt.
Wie kann ich wieder eigene SSL Zertifikate erzeugen? Ich finde nichts darüber in der Doku.
Beste Grüße
Martin

---> pveversion:
proxmox-ve: 6.1-2 (running kernel: 5.3.18-2-pve)
pve-manager: 6.1-8 (running version: 6.1-8/806edfe1)
pve-kernel-helper: 6.1-7
pve-kernel-5.3: 6.1-5
pve-kernel-5.3.18-2-pve: 5.3.18-2
pve-kernel-5.3.10-1-pve: 5.3.10-1
ceph-fuse: 12.2.11+dfsg1-2.1+b1
corosync: 3.0.3-pve1
criu: 3.11-3
glusterfs-client: 5.5-3
ifupdown: 0.8.35+pve1
ksm-control-daemon: 1.3-1
libjs-extjs: 6.0.1-10
libknet1: 1.15-pve1
libpve-access-control: 6.0-6
libpve-apiclient-perl: 3.0-3
libpve-common-perl: 6.0-17
libpve-guest-common-perl: 3.0-5
libpve-http-server-perl: 3.0-5
libpve-storage-perl: 6.1-5
libqb0: 1.0.5-1
libspice-server1: 0.14.2-4~pve6+1
lvm2: 2.03.02-pve4
lxc-pve: 3.2.1-1
lxcfs: 3.0.3-pve60
novnc-pve: 1.1.0-1
proxmox-mini-journalreader: 1.1-1
proxmox-widget-toolkit: 2.1-3
pve-cluster: 6.1-4
pve-container: 3.0-22
pve-docs: 6.1-6
pve-edk2-firmware: 2.20200229-1
pve-firewall: 4.0-10
pve-firmware: 3.0-6
pve-ha-manager: 3.0-9
pve-i18n: 2.0-4
pve-qemu-kvm: 4.1.1-4
pve-xtermjs: 4.3.0-1
qemu-server: 6.1-7
smartmontools: 7.1-pve2
spiceterm: 3.1-1
vncterm: 1.6-1
zfsutils-linux: 0.8.3-pve1

 

[CoolTux]

https://pve.proxmox.com/wiki/HTTPS_..._5.0_and_5.1)#Revert_to_default_configuration

Damit solltest Du erstmal wieder an das WebGui kommen

 

[mstaffenski]

Hallo Leon.
Ich habe die Zertifikate gelöscht und neu erstellt, wie beschrieben. Leider ohne Erfolg.
Gibt es eine Möglichkeit ALLE Zertifikate zurück zu setzen?
Beste Grüße
Martin

 

[noPa$$word]

https://forum.proxmox.com/threads/rebuild-ssl-certificate-for-updated-domain-name.25057/

Bitte probieren.....

 

[mstaffenski]

Hallo.
Leider funktioniert es immer noch nicht. Ich habe einmal den Befehl
journalctl -b -u pveproxy.service
eingegeben. Folgende Fehlermeldung kommt:
/etc/pve/local/pveproxy-ssl.pem: failed to use local certificate chain (cert_file or cert) at /usr/share/perl5/PVE/APIServer/AnyEvent.pm line 1727.
Vielleicht weis jemand Rat?
Beste Grüße
Martin

 

[CoolTux]

Mach mal
ls -ll /etc/pve/local/pveproxy-ssl.pem

 

[mstaffenski]

Hi.
Antwort:
ls -ll /etc/pve/local/pveproxy-ssl.pem
-rw-r----- 1 root www-data 5037 Mar 23 18:02 /etc/pve/local/pveproxy-ssl.pem

 

[CoolTux]

Dann kann aber noch nicht das neue Zertifikat sein. Das ist von gestern 18:02 und Deine erste Meldung hast Du gestern 19:26 gepostet. Danach solltest Du dann die neuen Zertifikate anlegen.

 

[mstaffenski]

Hallo Leon.
Ich habe mir ein shell script geschrieben, dass die Schlüssel (inkl. des Schlüssels /etc/pve/local/pveproxy-ssl.pem) löscht und dann via
pvecm updatecerts -f
neue erstellt. Danach habe ich den proxy mit systemctl restart pveproxy neu gestartet.
Und jetzt ist der drops gelutscht, ich komme wieder auf die GUI - hey.
Danke für Deine Unterstützung.
Beste Grüße
Martin

 

[mstaffenski]

Hallo Leon.
Ein Problem ist geblieben: Ein
journalctl -b -u pveproxy
wirft noch aus:
/etc/pve/local/pveproxy-ssl.pem: failed to use local certificate chain (cert_file or cert) at /usr/share/perl5/PVE/APIServer/AnyEvent.pm line 1727.
Das ist korrekt, weil ich das pveproxy-ssl.pem ja gelöscht habe, es wurde aber über pvecm updatecerts -f nicht mit erneuert. Wie komme ich denn jetzt an ein neues pveproxy-ssl.pem?
Beste Grüße
Martin

 

[fireon]

Kann dir für die Generierung von eigenen Zertifikaten XCA empfehlen. Für Ubuntu 18.04 hab ich da ein DEB Paket gebaut, das findest du bei uns im Repo. Viel. hilft dir das ja auch weiter.

 

[CoolTux]

Ich würde da auch ein eigenes erstellen. Entweder SelfSign oder mit richtiger PKI