ssl - 在 Traefik 1.5.0-rc5 中获取新的 httpChallenge 的问题

Question

在尝试升级到最新的 traefik 版本以便能够从 LetsEncrypt 生成 TLS 证书时，我遇到了一个关于证书生成时间的问题。

这以前在 traefik:1.4 上使用 acme.ondemand 标志和其他设置(当然减去 httpChallenge 键)有效。

配置:

traefik:
  image: traefik:1.5.0-rc5-alpine
  ports:
    - 80:80/tcp
    - 443:443/tcp
  command:
    - --web
    - --rancher
    - --rancher.metadata
    - --acme
    - --acme.email=my@email.com
    - --acme.onhostrule
    - --acme.httpchallenge
    - --acme.httpchallenge.entrypoint=http
    - --acme.entrypoint=https
    - --acme.storage=/data/acme.json
    - --entryPoints=Name:http Address::80 Redirect.EntryPoint:https
    - --entryPoints=Name:https Address::443 TLS
    - --accesslog
    - --accesslog.format=json
    - --debug

Openssl s_client 尚未存在证书的结果

CONNECTED(00000003)
depth=0 /CN=TRAEFIK DEFAULT CERT
verify error:num=20:unable to get local issuer certificate
verify return:1
depth=0 /CN=TRAEFIK DEFAULT CERT
verify error:num=21:unable to verify the first certificate
verify return:1
---
Certificate chain
0 s:/CN=TRAEFIK DEFAULT CERT
  i:/CN=TRAEFIK DEFAULT CERT
---
...
Verify return code: 21 (unable to verify the first certificate)

Traefik 日志

time="2018-01-16T19:17:49Z"level=debug msg="正在寻找提供的证书来验证 [mysite.com]..."
time="2018-01-16T19:17:49Z"level=debug msg="未找到域 [mysite.com] 提供的证书，获取 ACME 证书。"
time="2018-01-16T19:17:49Z"level=debug msg="正在为 mysite.com 寻找现有的 ACME 挑战..."
time="2018-01-16T19:17:49Z"level=debug msg="没有为 mysite.com 找到或生成证书"

试图缩小到只有一个具有相同配置的 toml 文件以确定是否是问题所在。

Answer 1

onHostRule 尝试在前端上有 HostRule 且入口点与 ACME EntryPoint 相同时挑战 ACME 证书。

加载新前端时，它们使用您指定的入口点或defaultEntrypoints。

这里:您的 defaultEntrypoints 是 http您的 ACME 入口点是 https

所以当你的前端被创建时，它被分配给 http，这就是你没有任何挑战的原因。

然后，您的日志只会说当您尝试访问 https://example.com 时, Træfik 尝试在已经被挑战的 ACME 证书中寻找证书。

为了修复，您需要使用 https(如果需要，还可以使用 http)指定 defaultEntrypoints