Certbot обновление сертификата

Что делаю не так?

не прикладываешь логи работы команды и не пытаешься их раздобыть.

В логах ничего необычного

certbot certonly -d <domain>
Saving debug log to /var/log/letsencrypt/letsencrypt.log

How would you like to authenticate with the ACME CA?
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
1: Nginx Web Server plugin (nginx)
2: Spin up a temporary webserver (standalone)
3: Place files in webroot directory (webroot)
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Select the appropriate number [1-3] then [enter] (press 'c' to cancel): 1
Plugins selected: Authenticator nginx, Installer None
Renewing an existing certificate
Performing the following challenges:
http-01 challenge for <domain>
Waiting for verification...
Cleaning up challenges

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/<domain>/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/<domain>/privkey.pem
   Your cert will expire on 2023-06-25. To obtain a new or tweaked
   version of this certificate in the future, simply run certbot
   again. To non-interactively renew *all* of your certificates, run
   "certbot renew"
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

Saving debug log to /var/log/letsencrypt/letsencrypt.log

кэп.

и права и атрибуты на файлах сертификатов посмотри.

С правами нормально, файл обновляется, логи смотрел там тоже ничего необычного

certbot certonly -d <domain>

Вообще это команда на получение сертификата. Возможно, обновит тоже, но не факт

Для обновления

certbot renew

renew обновляет сразу все, а я по одному делал:

Currently, the renew verb is capable of either renewing all installed certificates that are due to be renewed or renewing a single certificate specified by its name. If you would like to renew specific certificates by their domains, use the certonly command instead. The renew verb may provide other options for selecting certificates to renew in the future.

renew проверяет все. а обновляет те, которым уже пора

не уверен, что связано, но у let’s encrypt есть какой-то лимит на количество запросов в единицу времени (50/неделю). возможно, ты его выбрал, если сертификатов реально много

https://letsencrypt.org/docs/rate-limits/

 - Congratulations! Your certificate and chain have been saved at:
[...]
   Your cert will expire on 2023-06-25. To obtain a new or tweaked

с таким не сталкивался. я бы ещё раз перечитал все логи и посмотрел на файлы и ссылки в /etc/letsencrypt/

У пользователя, от которого запускаешь certbot, точно есть права на эти файлы? selinux/apparmor?

Ну и т.к. терять уже все равно нечего (протухнет сегодня), запустил renew

certbot renew --allow-subset-of-names 

Не?

дополню, что посмотреть закончился ли лимит LE можно на https://crt.sh - просто посмотрев кол-во выпущенных на домен сертификатов

Лимит есть и я сейчас на него наткнулся, он прямо пишет «5 попыток за 168 часов, ждите...»

renew проверяет все. а обновляет те, которым уже пора

да, но мне надо было обновить только часть доменов на сервере, там их всего 4 у одного нормальные серт у трех LE и чтобы первый не сломать, решил все поименно обновить, а renew поименно не умеет, только все что есть, ну как я понял, эксперементировать не хотелось

Ок, гляну что за ключ. Пока жду разбана...

Лимит есть и я сейчас на него наткнулся, он прямо пишет «5 попыток за 168 часов, ждите…»

Есть мнение, что все же нужно было читать логи

На странице https://letsencrypt.org/docs/rate-limits/ лимит в 5 за неделю только для 2 случаев:

• Duplicate Certificate (возможно, все же нужно было использовать renew, а не шаманство с новым запросом)
• Failed Validation

Логов там несколько 1000 строк с сертификатами, запросами и пр. сейчас еще разок гляну

Failed Validation

не, обновление сертификатов что с dry, что без проходит успешно но приходит старый серт. Завтра лимит пройдет, попробую обновить протухший серт.

это команда обновления всех сертификатов на сервере, что требуют обновления.

ок, в след. раз попробую все разом обновить

Что ж , серт истек 2 дня назад, а при попытке обновления всеравно возвращается старый (уже просроченый).
Порылся в системе, нашел свежий серт в /etc/letsencrypt/archive, но симлинк остался на старый, но там вообще бордачелло надо будет засесть и поправить конфиги nginx и le

нашел свежий серт в /etc/letsencrypt/archive

Семён Семёныч… :)

, но симлинк остался на старый,

права, или скорее атрибуты вроде immutable (lsattr)

проверял, там вес норм и симлинк обновлялся, но в archive было несколько <domain>, <domain>-0001, <domain>-0002 и он складывал новые в одно место, а симлинк на другое делал, в общем бардак

certbot renew --deploy-hook /path-to-script