ウェブサイトの運営者にとって、SSL証明書の更新はサイトのセキュリティを確保するために欠かせない重要なタスクです。
特に、Let’s Encryptのcertbotを使用して自動更新を設定した場合に、問題が生じる可能性があります。
例えば、リバースプロキシを導入していると、SSL証明書の自動更新に関するさまざまな課題が発生することがあります。
今回は、それらの問題に対処するための解決策についてご紹介します。
SSL証明書の自動更新が失敗する原因
SSL証明書の更新時に、80番ポートが既に別のプロセスによって使用されている場合に発生するエラーメッセージは、以下のようなものです。
Attempting to renew cert (example.com) from /etc/letsencrypt/renewal/example.com.conf produced an unexpected error: Failed authorization procedure. example.com (http-01): urn:ietf:params:acme:error:unauthorized :: The client lacks sufficient authorization :: Invalid response from http://example.com/.well-known/acme-challenge/[challenge-file-name] [x.x.x.x]: "<html>\n<head><title>404 Not Found</title></head>\n<body>\n<center><h1>404 Not Found</h1></center>\n<hr><center>", example.com (http-01): urn:ietf:params:acme:error:unauthorized :: The client lacks sufficient authorization :: Invalid response from http://example.com/.well-known/acme-challenge/[challenge-file-name] [x.x.x.x]: "<html>\n<head><title>404 Not Found</title></head>\n<body>\n<center><h1>404 Not Found</h1></center>\n<hr><center>". Skipping.
このエラーは、SSL証明書の更新中にACMEサーバーがチャレンジファイルにアクセスしようとした際に、HTTP-01の認証に失敗したことを示しています。
具体的には、SSL証明書を更新するためにcertbotがチャレンジファイルをhttp://example.com/.well-known/acme-challenge/[challenge-file-name]に配置しようとしましたが、サーバーが404 Not Foundエラーを返したため、認証に失敗しました。
このエラーが発生する主な原因は、80番ポートが既に別のプロセスによって使用されていることです。
これは通常、WEBサーバー（例えばApacheやNginx）が80番ポートを使用している場合に発生します。
SSL証明書の更新時には、ACMEサーバーが80番ポートを使用してチャレンジファイルにアクセスする必要がありますが、他のプロセスが既に80番ポートを占有していると、アクセスに失敗しエラーが発生します。
SSL証明書更新の失敗への対処方法
この問題を解決するためには、80番ポートを一時的に使用しているプロセスを停止するか、代替の方法を探る必要があります。
前述の方法の一つであるApacheを一時停止する方法を適用することで、80番ポートを解放し、SSL証明書の更新を成功させることができます。
Apacheの一時停止方法
以下のコマンドは、SSL証明書の更新前にApacheを停止し、更新後に起動します。
これにより、SSL証明書の更新中にApacheがポート80を使用していることから生じる競合を回避できます。
certbot renew --pre-hook "systemctl stop apache2" --post-hook "systemctl start apache2"
certbot.timerを使わずに自動更新する場合は、上記のコマンドをcronなどで設定する必要がありますが、せっかくなので設定ファイル/etc/letsencrypt/renewal/*.confに以下のように記述し、certbot.timerを使って自動更新できるように設定します。
[renewalparams] pre_hook = systemctl stop apache2 post_hook = systemctl start apache2
これで設定ファイルに正しく設定され、SSL証明書の更新時にApacheが一時停止および起動されるようになります。
--standaloneオプションの使用方法
--standaloneオプションを使用することで、Apacheを停止せずにSSL証明書を更新できます。
certbot renew --standalone
この方法は、ApacheなどのWEBサーバーとは別に、certbotが内部で起動するWEBサーバーを利用してSSL証明書の更新を行います。--standaloneオプションを使用する場合はcertbot.timerを使わず、別途cron等の設定をしてください。
リバースプロキシの設定変更
リバースプロキシの設定を変更し、SSL通信時のみリバースプロキシを適用するようにします。
<VirtualHost *:443>
# SSL関連設定
...
# リバースプロキシ設定
ProxyPass / http://example.com/
ProxyPassReverse / http://example.com/
</VirtualHost>
これにより、HTTP通信ではリバースプロキシが働かず、SSL通信時にのみリバースプロキシが適用されます。
以上の3つの方法でSSL証明書更新時の問題を解決し、WEBサイトのセキュリティを維持します。
まとめ
SSL証明書の更新はWEBサイトのセキュリティを保つために不可欠です。
特に、リバースプロキシを導入した環境では、いくつかの課題が生じる可能性があります。
しかし、上記の解決策を実行することで、自動更新プロセスをスムーズにすることができます。
これらの方法は、WEBサーバーの安全性を確保しながら、SSL証明書の自動更新を効率的に行うためのものです。
WEBサイト運営者は、定期的な更新を行い、セキュリティに配慮したWEBサイトを提供することが重要です。