DNS 인증을 통한 acme.sh Letsencrypt SSL 인증서 발급받기 실패

작업 스케줄러

-----------------------------------------------------------------------

# 인증서 갱신

/root/acme.sh --renew -d *.도메인



# 갱신된 인증서를 시놀로지에 등록

sudo /bin/cp /root/도메인/cert.pem /usr/syno/etc/certificate/_archive/AWEBva/cert.pem

sudo /bin/cp /root/도메인 /chain.pem /usr/syno/etc/certificate/_archive/AWEBva/chain.pem

sudo /bin/cp /root/도메인 /fullchain.pem /usr/syno/etc/certificate/_archive/AWEBva/fullchain.pem

sudo /bin/cp /root/도메인 /privkey.pem /usr/syno/etc/certificate/_archive/AWEBva/privkey.pem



# 갱신 전 인증서 삭제 절차

#  /usr/syno/etc/certificate 폴더 내에 _archive 폴더를 제외한 나머지 폴더 삭제

rm -rf /usr/syno/etc/certificate/ReverseProxy

rm -rf /usr/syno/etc/certificate/smbftpd

rm -rf /usr/syno/etc/certificate/system

#  /usr/local/etc/certificate  - 웹서버 관련 인증서는 별도로 있어서 찾다보니 이 폴더에 있었습니다.

rm -rf /usr/local/etc/certificate



# nginx 서비스 재시작

/usr/syno/sbin/synoservicectl --reload nginx

/usr/syno/sbin/synoservicectl --restart nginx

Synology: Certificate Server is Busy
https://mariushosting.com/synology-certificate-server-is-busy/

웹서버 재시작
systemctl restart pkgctl-WebStation

cat 3_lets_maker_to_copy.sh
#!/bin/bash
# init
function pause(){
  read -p "$*"
}
echo 3_lets_maker_to_copy.sh
pause 'Press [Enter] key to continue...'

#========================================
echo 인증서 임시폴더 생성 확인
pause 'Press [Enter] key to continue...'

#ls -l ~/.acme.sh/11q.kr
ls -l /root/.acme.sh/11q.kr/

echo  인증서 디폴트 확인
pause 'Press [Enter] key to continue...'
ls -l /usr/syno/etc/certificate/_archive/
cat /usr/syno/etc/certificate/_archive/DEFAULT
#2P8uzH

echo 인증서 디폴트폴더  확인
pause 'Press [Enter] key to continue...'
ls -l /usr/syno/etc/certificate/_archive/2P8uzH

echo 인증서 생성_2차는 작업 스케쥴러 업데이트 용 1차와 2차 상
pause 'Press [Enter] key to continue...'
#/var/services/homes/shimss/acme.sh --renew --dns --force -d 11q.kr -d *.11q.kr --yes-I-know-dns-manual-mode-enough-go-ahead-please --server letsencrypt --debug
/var/services/homes/shimss/acme.sh --renew --dns --force -d 11q.kr -d *.11q.kr --yes-I-know-dns-manual-mode-enough-go-ahead-please --server letsencrypt --debug
echo  폴더 비교
pause 'Press [Enter] key to continue...'
ls -l /root/.acme.sh/11q.kr/
ls -l /usr/syno/etc/certificate/_archive/2P8uzH


echo  인증서 임시폴더에서 디볼트로  복사 진행  합니다_2차는 작업 스케쥴러 업데이트
pause 'Press [Enter] key to continue...'
# ============================
/bin/cp /root/.acme.sh/11q.kr/11q.kr.cer  /usr/syno/etc/certificate/_archive/2P8uzH/cert.pem
/bin/cp /root/.acme.sh/11q.kr/11q.kr.key /usr/syno/etc/certificate/_archive/2P8uzH/privkey.pem
/bin/cp /root/.acme.sh/11q.kr/ca.cer /usr/syno/etc/certificate/_archive/2P8uzH/chain.pem
/bin/cp /root/.acme.sh/11q.kr/fullchain.cer  /usr/syno/etc/certificate/_archive/2P8uzH/fullchain.pem
# ============================ end
echo  폴더 비교
pause 'Press [Enter] key to continue...'
ls -l /root/.acme.sh/11q.kr/
ls -l /usr/syno/etc/certificate/_archive/2P8uzH
echo  end..........
date
pause 'Press [Enter] key to continue...'
root@https11qkr:/var/services/homes/shimss#

테스트 진행시 주의)
 Create new order error. Le_OrderFinalize not found. {
  "type": "urn:ietf:params:acme:error:rateLimited",
  "detail": "Error creating new order :: too many certificates (5) already issued for this exact set of domains in the last 168 hours: *.11q.kr,11q.kr: see https://letsencrypt.org/docs/rate-limits/",
  "status": 429
}
============
마지막 업데이트:2021년 10월 5일 | 모든 문서 보기

Let's Encrypt는 가능한 한 많은 사람들이 공정하게 사용할 수 있도록 속도 제한을 제공합니다. 우리는 이러한 속도 제한이 기본적으로 대부분의 사람들이 작동하기에 충분히 높다고 생각합니다. 또한 인증서 갱신이 속도 제한에 거의 도달하지 않고 대규모 조직에서 Let's Encrypt의 개입 없이 발급할 수 있는 인증서 수를 점진적으로 늘릴 수 있도록 설계했습니다.

Let's Encrypt 클라이언트를 적극적으로 개발하거나 테스트하고 있다면 프로덕션 API 대신 스테이징 환경 을 활용하십시오. Let's Encrypt를 공급자로 통합하거나 대규모 웹사이트와 통합하는 작업을 하는 경우 통합 가이드 를 검토 하십시오 .

주요 한계는등록된 도메인당 인증서 (주당 50개). 등록된 도메인은 일반적으로 도메인 이름 등록 기관에서 구입한 도메인의 일부입니다. 예를 들어, 이름 www.example.com에서 등록된 도메인은 example.com입니다. 에서 new.blog.example.co.uk등록된 도메인은 example.co.uk입니다. 등록된 도메인을 계산하기 위해 공개 접미사 목록 을 사용 합니다. 등록된 도메인당 인증서 제한을 초과하면 too many certificates already issued추가 세부 정보와 함께 오류 메시지와 함께 보고됩니다.

최대 300개까지 만들 수 있습니다.3시간당 계정당 신규 주문 . Boulder CA에서 인증서를 요청할 때마다 새 주문이 생성됩니다. 즉, 각 인증서 요청에서 하나의 새 주문이 생성됩니다. 새 주문 제한을 초과하면 오류 메시지와 함께 보고됩니다 too many new orders recently.

여러 호스트 이름을 최대 100개까지 단일 인증서로 결합할 수 있습니다.인증서당 이름 . 성능과 안정성을 위해 가능하면 인증서당 더 적은 수의 이름을 사용하는 것이 좋습니다. 여러 이름을 가진 인증서를 종종 SAN 인증서 또는 UCC 인증서라고 합니다.

갱신은 특별히 처리됩니다. 갱신은 등록된 도메인당 인증서 한도에 포함되지 않지만 주당 5개의 중복 인증서 한도가 적용됩니다. 중복 인증서 제한을 초과하면 오류 메시지와 함께 보고됩니다 too many certificates already issued for exact set of domains.

인증서가 호스트 이름의 대문자 사용 및 순서를 무시하고 정확히 동일한 호스트 이름 세트를 포함하는 경우 이전 인증서의 갱신(또는 복제)으로 간주됩니다. 예를 들어 [ , ] 이름에 대한 인증서를 요청한 경우 www.example.com해당 주에 [ , ]에 example.com대한 인증서를 4개 더 요청할 수 있습니다 . [ ]를 추가하여 호스트 이름 집합을 변경한 경우 추가 인증서를 요청할 수 있습니다.www.example.comexample.comblog.example.com

갱신 처리는 요청된 공개 키 및 확장을 무시합니다. 새 키를 사용하더라도 인증서 발급은 갱신으로 간주될 수 있습니다.

해당 인증서를 발급하는 데 사용된 리소스가 이미 사용되었기 때문에 인증서를 취소해도 비율 제한이 재설정되지 않습니다 .

이있다실패한 검증 은 계정당, 호스트 이름당, 시간당 5번의 실패로 제한됩니다. 이 제한은 스테이징 환경 에서 더 높으므로 해당 환경을 사용하여 연결 문제를 디버그할 수 있습니다. 실패한 유효성 검사 제한을 초과하면 오류 메시지와 함께 보고됩니다 too many failed authorizations recently.

API의 "new-nonce", "new-account", "new-order" 및 "revoke-cert" 엔드포인트에는전체 요청 은 초당 20개로 제한됩니다. "/directory" 끝점과 "/acme" 디렉터리 및 하위 디렉터리의 전체 요청 제한은 초당 40개입니다.

우리는 당신이 겪을 가능성이 거의 없는 두 가지 다른 제한 사항이 있습니다.

최대 10개까지 만들 수 있습니다.3 시간당 IP 주소당 계정 . 3시간당 IPv6/48 내에서 IP 범위당 최대 500개의 계정 을 생성할 수 있습니다 . 두 계정 비율 한도에 도달하는 경우는 매우 드물며 대규모 통합자는 많은 고객에 대해 하나의 계정을 사용 하는 디자인을 선호하는 것이 좋습니다 . 이러한 제한을 초과하면 오류 메시지 too many registrations for this IP 또는 와 함께 보고됩니다 too many registrations for this IP range.

최대 300개까지 가능합니다귀하의 계정에 보류 중인 승인 이 있습니다. 이 속도 제한에 도달하는 경우는 드물며 ACME 클라이언트를 개발할 때 가장 자주 발생합니다. 일반적으로 클라이언트가 권한을 생성하고 이행하지 않는다는 의미입니다. ACME 클라이언트를 개발하는 경우 스테이징 환경 을 활용하십시오 . Pending Authorizations 제한을 초과하면 오류 메시지와 함께 보고됩니다 too many currently pending authorizations.

재정의
속도 제한에 도달한 경우 일시적으로 재설정할 방법이 없습니다. 일주일 후 요금 제한이 만료될 때까지 기다려야 합니다. 슬라이딩 창을 사용하므로 월요일에 25개의 인증서를 발급하고 금요일에 25개의 추가 인증서를 발급하면 월요일부터 다시 발급할 수 있습니다. 공개 인증서 투명성 로그 를 사용하는 crt.sh 에서 검색 하여 등록된 도메인에 대해 발급된 인증서 목록을 얻을 수 있습니다 .

Let's Encrypt 통합 작업을 하는 대규모 호스팅 제공업체 또는 조직인 경우 더 높은 속도 제한을 요청하는 데 사용할 수 있는 속도 제한 양식 이 있습니다. 요청을 처리하는 데 몇 주가 걸리므로 속도 제한을 자체적으로 재설정하는 것보다 빠르게 재설정해야 하는 경우에는 이 양식이 적합하지 않습니다.

보류 중인 승인 지우기
보류 중인 인증 객체가 많고 인증 보류 속도 제한 오류가 발생하는 경우 ACME 사양 에 설명된 대로 JWS 서명 POST를 해당 챌린지 중 하나에 제출하여 해당 인증 객체에 대한 유효성 검사 시도를 트리거할 수 있습니다 . 보류 중인 권한 부여 개체는 형식의 URL로 표시되며 https://acme-v02.api.letsencrypt.org/acme/authz/XYZ클라이언트 로그에 표시되어야 합니다. 유효성 검사의 성공 여부는 중요하지 않습니다. 둘 중 하나는 승인을 '보류 중' 상태에서 해제합니다. 관련 인증 URL이 포함된 로그가 없는 경우 속도 제한이 만료될 때까지 기다려야 합니다. 위와 같이 슬라이딩 윈도우가 있어 발급 패턴에 따라 일주일 이내로 소요될 수 있습니다.

많은 수의 보류 중인 인증이 있는 것은 일반적으로 버그가 있는 클라이언트의 결과입니다. 이 속도 제한에 자주 도달하는 경우 클라이언트 코드를 다시 확인해야 합니다.
https://letsencrypt.org/docs/rate-limits/

● 자동갱신성공)시놀로지 사용 Let's Encrypt 인증서 만료로 기존인증서교체  및 업데이트 자동화 성공 (2022년03월31일 21시)
/var/services/homes/shimss/acme.sh --renew --dns --force -d 11q.kr --yes-I-know-dns-manual-mode-enough-go-ahead-please --debug
/bin/cp /root/.acme.sh/11q.kr/11q.kr.cer  /usr/syno/etc/certificate/_archive/2P8uzH/cert.pem
/bin/cp /root/.acme.sh/11q.kr/11q.kr.key /usr/syno/etc/certificate/_archive/2P8uzH/privkey.pem
/bin/cp /root/.acme.sh/11q.kr/ca.cer /usr/syno/etc/certificate/_archive/2P8uzH/chain.pem
/bin/cp /root/.acme.sh/11q.kr/fullchain.cer  /usr/syno/etc/certificate/_archive/2P8uzH/fullchain.pem

댓글내용 확인

작업스케쥴러 등록 // 저의서버  기준입니다.20220406
------------- 복사 등록 -------
cd /var/services/homes/shimss/
bash  ./auto_LetsEncrypt.sh
===================================
===============  하기경로는 저의서버 경로 입니다 ./ 자신의 경로 확인 수정 실행 =============
cd /var/services/homes/shimss/
bash /var/services/homes/shimss/acme.sh --issue --dns --force -d 11q.kr --yes-I-know-dns-manual-mode-enough-go-ahead-please --server letsencrypt --debug
/bin/cp /root/.acme.sh/11q.kr/11q.kr.cer  /usr/syno/etc/certificate/_archive/2P8uzH/cert.pem
/bin/cp /root/.acme.sh/11q.kr/11q.kr.key /usr/syno/etc/certificate/_archive/2P8uzH/privkey.pem
/bin/cp /root/.acme.sh/11q.kr/ca.cer /usr/syno/etc/certificate/_archive/2P8uzH/chain.pem
/bin/cp /root/.acme.sh/11q.kr/fullchain.cer  /usr/syno/etc/certificate/_archive/2P8uzH/fullchain.pem
-----------------
복사경로는
# 인증서 디폴트 확인
#cat /usr/syno/etc/certificate/_archive/DEFAULT
확인

root@https11qkr:/var/services/homes/shimss# cat auto_LetsEncrypt.sh
# 자동화 파일 만드어 자동스케쥴러에 복사 예약된 작업에 등록 합니다
# wget https://raw.githubusercontent.com/acmesh-official/acme.sh/master/acme.sh
# chmod a+x acme.sh
#/var/services/homes/shimss/acme.sh --set-default-ca --server letsencrypt
#================================================================================================
# 1차 생성 도메인업체 등록 전 txt 등록 정보 확인
#/var/services/homes/users/acme.sh --issue --dns --force -d 도메인 -d *.내 도메인 --yes-I-know-dns-manual-mode-enough-go-ahead-please --server letsencrypt
#/var/services/homes/users/acme.sh --issue --dns --force -d 11q.kr -d  --yes-I-know-dns-manual-mode-enough-go-ahead-please --server letsencrypt

# 도메인11q.kr cafe24 업체 등록(11q.kr and _acme-challenge.11q.kr)
# https://hosting.cafe24.com/?controller=myservice_domain_vservice&method=dnsManager&serverMode=&domain=11q.kr&searchDomain=&selectedViewArea=div_txt

#nslookup
# 저는 매일 생성  설정했습니다.
# 확인작업
#nslookup
#> set type=txt
#> _acme-challenge.11q.kr
# change value  check
# https://toolbox.googleapps.com/apps/dig/?lang=ko#TXT/11q.kr
# agine ....build

# 인증서 갱신 작업 폴더
cd /var/services/homes/shimss/

# 생성 도메인업체 등록후 2번째 실행
/var/services/homes/shimss/acme.sh --renew --dns --force -d 11q.kr --yes-I-know-dns-manual-mode-enough-go-ahead-please --debug

# 인증서 디폴트 확인
cat /usr/syno/etc/certificate/_archive/DEFAULT
#2P8uzH

#  디볼트로  복사 진행  합니다
# ============================
/bin/cp /root/.acme.sh/11q.kr/11q.kr.cer  /usr/syno/etc/certificate/_archive/2P8uzH/cert.pem
/bin/cp /root/.acme.sh/11q.kr/11q.kr.key /usr/syno/etc/certificate/_archive/2P8uzH/privkey.pem
/bin/cp /root/.acme.sh/11q.kr/ca.cer /usr/syno/etc/certificate/_archive/2P8uzH/chain.pem
/bin/cp /root/.acme.sh/11q.kr/fullchain.cer  /usr/syno/etc/certificate/_archive/2P8uzH/fullchain.pem

# nginx 서비스 재시작
synosystemctl restart syslog-ng

# file_check
ls -l /root/.acme.sh/11q.kr/
cat /usr/syno/etc/certificate/_archive/DEFAULT
ls -l /usr/syno/etc/certificate/_archive/2P8uzH/
# =======================

https://www.bearpooh.com/41

Automatic renewal
https://github.com/mschadev/synology-gitlab-ssl/blob/master/automatic_renewal.md