「certbot renew」のエラーを解決した話 #Apache

備忘のため記載

先日、Webサーバーにて証明書が執行しそうだったので、certbot renewした際、エラーに悩まされたので、備忘のため記載。
なお、今回は複数の事象によりエラーとなっていたようでした。

環境：CentOS7.6(Apache/2.4.6)

①依存関係？

最初のcertbot renew --dry-run実行時は、以下のエラーが出ました。


Encountered exception during recovery: 
Traceback (most recent call last):
  File "/usr/lib/python2.7/site-packages/certbot/error_handler.py", line 124, in _call_registered
    self.funcs[-1]()
  File "/usr/lib/python2.7/site-packages/certbot/auth_handler.py", line 220, in _cleanup_challenges
    self.auth.cleanup(achalls)
  File "/usr/lib/python2.7/site-packages/certbot/plugins/webroot.py", line 223, in cleanup
    os.remove(validation_path)
OSError: [Errno 2] No such file or directory: '/var/lib/redmine/public/.well-known/acme-challenge/ZPghiKCbW4yZ-uCXOCAMN_HNuoLCA1r3634RiC9yejE'
Attempting to renew cert (xxx.com) from /etc/letsencrypt/renewal/xxx.com.conf produced an unexpected error: [Errno 2] No such file or directory: '/var/lib/redmine/public'. Skipping.
All renewal attempts failed. The following certs could not be renewed:
  /etc/letsencrypt/live/xxx.com/fullchain.pem (failure)

なんかWebrootが変なことになっていましたが、(redmine?誰か使ってたのかな？)いつもrenew時に行うコマンドで解決。
yum -y --enablerepo=epel update certbot

②http通信で80番ポートを開放

①の後にcertbot renew --dry-runを実行すると、エラーは以下に変わりました。


Challenge failed for domain xxx.com
http-01 challenge for xxx.com
Cleaning up challenges
Attempting to renew cert (xxx.com) from /etc/letsencrypt/renewal/xxx.com.conf produced an unexpected error: Some challenges have failed.. Skipping.
All renewal attempts failed. The following certs could not be renewed:
  /etc/letsencrypt/live/xxx.com/fullchain.pem (failure)
・・・(中略)・・・
1 renew failure(s), 0 parse failure(s)

IMPORTANT NOTES:
 - The following errors were reported by the server:

   Domain: xxx.com
   Type:   connection
   Detail: Fetching
   http://xxx.com/.well-known/acme-challenge/ZPghiKCbW4yZ-uCXOCAMN_HNuoLCA1r3634RiC9yejE:
   Error getting validation data

   To fix these errors, please make sure that your domain name was
   entered correctly and the DNS A/AAAA record(s) for that domain
   contain(s) the right IP address. Additionally, please check that
   your computer has a publicly routable IP address and that no
   firewalls are preventing the server from communicating with the
   client. If you're using the webroot plugin, you should also verify
   that you are serving files from the webroot path you provided.

調べてみると、letsencryptの認証サーバーは、httpで通信しにいくようで。
Let's Encrypt 総合ポータル(Let's Encrypt の使い方)

セキュリティ対策として、80番ポートでのhttp通信はfirewallで切っていたので、一時的に追加。
sudo firewall-cmd --add-service=http
sudo systemctl restart firewalld

また、サイトにBasic認証をかけていたので、念の為こちらも一時的にコメントアウト
sudo vim /etc/conf.d/http.conf

#以下の部分をコメントアウト
<Directory "/path/to/webroot">
      AuthUserFile /etc/httpd/conf/.htpasswd
      AuthGroupFile /dev/null
      AuthName "Basic Auth"
      AuthType Basic
      Require valid-user
</Directory>

③webrootの設定

②の後にcertbot renew --dry-runを実行すると、エラーは以下に変わりました。

Challenge failed for domain xxx.com
http-01 challenge for xxx.com
Cleaning up challenges
Attempting to renew cert (xxx.com) from /etc/letsencrypt/renewal/xxx.com.conf produced an unexpected error: Some challenges have failed.. Skipping.
All renewal attempts failed. The following certs could not be renewed:
  /etc/letsencrypt/live/xxx.com/fullchain.pem (failure)

・・・(中略)・・・
1 renew failure(s), 0 parse failure(s)

IMPORTANT NOTES:
 - The following errors were reported by the server:

   Domain: xxx.com
   Type:   unauthorized
   Detail: Invalid response from
   http://xxx.com/.well-known/acme-challenge/kPuYFAZPFbxbMUBy7pvTh3SItdqNI4kYLi_xHtJVDy8
   [xxx.xxx.xxx.xxx]: "<!DOCTYPE html>\n<html>\n<head>\n  <meta
   charset=\"utf-8\" />\n  <title>404 error</title>\n
   <style>\n    body {font-family: \"Tr"

   To fix these errors, please make sure that your domain name was
   entered correctly and the DNS A/AAAA record(s) for that domain
   contain(s) the right IP address.

404エラーが出ているので、一応通信はできているっぽいです。
調べてみると、認証時に一時ファイル(http://xxx.com/.well-known/acme-challenge/〜の部分)を作成するみたいですね。
しかし、/path/to/webroot/.well-known/acme-challengeにアクセスできていない模様。

http.confをいじったりしてもよいのですが、以下のコマンドでwebrootを指定してあげて解決しました。
sudo certbot renew --webroot -w /path/to/webroot
※事前にmkdir -p /path/to/webroot/.well-known/acme-challengeで念の為ディレクトリ作成もしました。

お疲れ様でした。

Webサーバー周りの知識に疎く、結構難儀しました。(15〜20分位かかりました。。。）
ただ、自力で解決できると嬉しいですね。
certbotには、--dry-runがあるので、変更しては再チャレンジを気兼ねなく試せてよかったです。