Nextcloud nicht mehr erreichbar (extern und intern)

[topcaser]

Hallo, ich habe ein Update meines Raspi gemacht und danach konnte ich auf die nextcloud nicht mehr zugreifen. Ich habe das ganze so konfiguriert, dass die nextcloud auf Port 4433 und 808 hört. Die externen Ports 443 und 80 leite ich entsprechend auf diese um.

nextcloudPi kann ich mit 192.168.178.19:4443 erreichen. Aber mit einem https://192.168.178.19:4433 bekomme ich immer eine weisse Seite mit einer Browserfehlermeldung - im Firefox den Fehlercode: SSL_ERROR_RX_RECORD_TOO_LONG, im Edge

Die Verbindung mit dieser Website ist nicht sicher.​

192.168.178.19 hat eine ungültige Antwort gesendet.
ERR_SSL_PROTOCOL_ERROR

Meine config.php sieht so aus:

<?php
$CONFIG = array (
'passwordsalt' => 'xxx',
'secret' => 'xxx',
'trusted_domains' =>
array (
0 => 'localhost',
1 => '192.168.178.19',
3 => 'raspberrypi-iob',
4 => 'nextcloudpi.local',
5 => 'nextcloudpi',
6 => 'nextcloudpi.lan',
7 => 'mydns',
8 => 'https://mydns',
),
'datadirectory' => '/var/www/nextcloud/data',
'dbtype' => 'mysql',
'version' => '21.0.4.1',
'overwriteprotocol' => 'https',
'overwrite.cli.url' => 'https://mydns',
'dbname' => 'nextcloud',
'dbhost' => 'localhost',
'dbport' => '',
'dbtableprefix' => 'oc_',
'mysql.utf8mb4' => true,
'dbuser' => 'ncadmin',
'dbpassword' => 'xxx',
'installed' => true,
'instanceid' => 'ocerw4in4l88',
'memcache.local' => '\\OC\\Memcache\\Redis',
'memcache.locking' => '\\OC\\Memcache\\Redis',
'redis' =>
array (
'host' => '/var/run/redis/redis.sock',
'port' => 0,
'timeout' => 0.0,
'password' => 'xxx',
),
'tempdirectory' => '/var/www/nextcloud/data/tmp',
'mail_smtpmode' => 'smtp',
'mail_smtpauthtype' => 'LOGIN',
'mail_from_address' => 'mail',
'mail_domain' => 'maildomain.de',
'loglevel' => '2',
'log_type' => 'file',
'twofactor_enforced' => 'true',
'twofactor_enforced_groups' =>
array (
),
'twofactor_enforced_excluded_groups' =>
array (
),
'allow_local_remote_servers' => true,
'maintenance' => false,
'htaccess.RewriteBase' => '/',
'mail_sendmailmode' => 'smtp',
'mail_smtpsecure' => 'ssl',
'mail_smtpauth' => 1,
'mail_smtphost' => 'mx2f0b.netcup.net',
'mail_smtpport' => '465',
'mail_smtpname' => 'mail@maildomain.de',
'mail_smtppassword' => 'xxx',
'trusted_proxies' =>
array (
11 => '127.0.0.1',
12 => '::1',
13 => 'raspberrypi-iob',
14 => '127.0.0.1',
),
);

Laut System info von nextcloud pi sind die Ports 80 und 443 auch geschlossen, obwohl sie ordnungsgemäss geöffnet sind. Letztlich hat ja das Abholen des Lets Encrypt Zertifikats ja schonmal geklappt.

Ich weiss wirklich nicht mehr weiter.

 

[Rickmer]

ERR_SSL_PROTOCOL_ERROR

Mein erster Gedanke wäre, das Zertifikat neu zu machen. Sollte mit lets encrypt ja nicht zu lange dauern.

Der Zweite wäre das Backup von vor dem Update einzuspielen und nochmal zu versuchen.
Angenommen du hast ein Backup vom Raspi... (sowas ist einer der Gründe warum ich meinen Heimserver mit echtem Hypervisor und zweckgebundenen VMs aufgebaut habe.)

 

[topcaser]

Let's encrypt update schlägt fehl, Backup hab ich leider keins gemacht. Ziemlich blauäugig

 

[topcaser]

Ok, ich habe nun die nextcloud.conf in /etc/apache2/sites-available geändert (und zwar den Port), jetzt komme ich wieder auf die Cloud:

### DO NOT EDIT! THIS FILE HAS BEEN AUTOMATICALLY GENERATED. CHANGES WILL BE OVERWRITTEN ###

<IfModule mod_ssl.c>
<VirtualHost default:4433>
DocumentRoot /var/www/nextcloud
ServerName mydns
CustomLog /var/log/apache2/nc-access.log combined
ErrorLog /var/log/apache2/nc-error.log
SSLEngine on
SSLProxyEngine on
SSLCertificateFile /etc/letsencrypt/live/bernd.dyndns.info/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/bernd.dyndns.info/privkey.pem

# For notify_push app in NC21
ProxyPass /push/ws ws://127.0.0.1:7867/ws
ProxyPass /push/ http://127.0.0.1:7867/
ProxyPassReverse /push/ http://127.0.0.1:7867/
</VirtualHost>

<Directory /var/www/nextcloud/>
Options +FollowSymlinks
AllowOverride All
<IfModule mod_dav.c>
Dav off
</IfModule>
LimitRequestBody 0
SSLRenegBufferSize 10486000
</Directory>
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=15768000; includeSubDomains"
</IfModule>
</IfModule>

Nervös macht mich aber die erste Zeile, dass man die Datei nicht überschreiben sollte. Wo konfiguriere ich das dann?

Und das Lets Encrypt Zertifikat erneuern geht auch noch nicht. Das bekomme ich als Fehlermeldung:

[ letsencrypt ] (Sat Sep 25 06:20:04 CEST 2021)
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator webroot, Installer None
Renewing an existing certificate
Performing the following challenges:
http-01 challenge for mydns
Using the webroot path /var/www/nextcloud for all unmatched domains.
Waiting for verification...
Cleaning up challenges
Failed authorization procedure. mydns (http-01): urn:ietfarams:acme:error:unauthorized :: The client lacks sufficient authorization :: Invalid response from http://bernd.dyndns.info/.well-known/acme-challenge/23R3SpIQYYgZE3pMdFm-rDEo3_zwwvraEGQK69qNsPA [79.215.178.20]: "<!DOCTYPE HTML PUBLIC \"-//IETF//DTD HTML 2.0//EN\">\n<html><head>\n<title>404 Not Found</title>\n</head><body>\n<h1>Not Found</h1>\n<p"
IMPORTANT NOTES:
- The following errors were reported by the server:

Domain: mydns
Type: unauthorized
Detail: Invalid response from
http://mydns/.well-known/acme-challenge/xxx
[79.215.178.20]: "<!DOCTYPE HTML PUBLIC \"-//IETF//DTD HTML
2.0//EN\">\n<html><head>\n<title>404 Not
Found</title>\n</head><body>\n<h1>Not Found</h1>\n<p"

To fix these errors, please make sure that your domain name was
entered correctly and the DNS A/AAAA record(s) for that domain
contain(s) the right IP address.

 

[Web-Schecki]

Für die Autorisierung der Erneuerung des Zertifikats muss die ACME-Challenge auf Port 80 unter der angegebenen Domain erreichbar sein, siehe hier bei Let's Encrypt.

Scheinbar kommt einfach ein 404, was dafür spricht, dass der Webserver erreichbar, aber für Let's Encrypt nicht richtig konfiguriert ist. Genaueres kann ich aber nicht sagen, ohne die Konfiguration zu kennen.
Das Ändern der Standardports ist auf jeden Fall nicht vorgesehen und in meinen Augen auch überflüssig. Was erhoffst du dir dadurch?

 

[topcaser]

Es gibt eigentlich keinen Grund mehr.
Wenn ich wüsste, wie ich es umstelle, dann würde ich es machen

 

[Rickmer]

Da fehlt mir auch das Wissen.

Eine potentielle Lösung, die mir einfallen würde: einen reverse Proxy zwischen schalten, auf dem du dann deinen Sonderport angeben kannst und der dann das Zertifikat hinterlegt hat weil der auch der nach außen offen gestellte Server ist.