TL;DT
- SSL certificates を renew した後は、nginxをreloadする。
- ブラウザがちゃんとサーバにたどり着けてるか確認するにはnet-exportが使える
詳細な経緯
1. 問題の発覚
ある日、chromium系ブラウザから自宅鯖でホスティングしているgiteaにアクセスできなくなった。エラーはブラウザがサーバまで到達できなかった時によく出るやつ。firefoxではアクセスできるが、証明書周りのエラーが表示されるという感じだった。chromium系では全く見れないが、firefoxではかろうじて見れたので、最初はSSL証明書周りが直接的な原因かと考えた。
2. 証明書の更新
この時にfirefoxのアドレスバーから証明書の詳細を見ると、どうやら有効期限が切れているっぽいので、サーバー側でcertbot renewをした。しかし改善しなかった。
3. ブラウザキャッシュの削除
ブラウザに古い証明書がキャッシュされているのかなと思い、ブラウザのキャッシュ等々を消したが特に改善しなかった。
4. DNS設定の見直し
chromium系ブラウザはそもそもページを読み込むことすらできなくなっていたので、そもそもサーバーに到達出来ていないのでは？と考え、chrome://net-export/ にアクセスし、giteaにアクセスする際のログを取得した(初めて知ったし使った)。ログをhttps://netlog-viewer.appspot.com/#importに読み込んで、Eventからgiteaにアクセスするログを探すと、グローバルIPを見ていることが判明(我が家のルーターはグローバルIPを叩いても接続できない)。これによりchromium系ブラウザはそもそもサーバーに到達出来ていなかったことが判明。これはwindowsのDNS設定で優先DNSを自宅内権威DNSサーバに変更することで解決した(前に変更したのを忘れていた)。
これでchromium系ブラウザからも接続は出来るようになったが、SSLのエラーが出続けた。
5. nginxの再起動
既に証明書はrenewしてるし、ブラウザキャッシュも消しているし、となればパスが間違えているか、nginxの中で古い証明書が残っているのかと思いsystemctl restart nginxをした所、全てエラーが消えた。
6. ついでに
同じLAN内の別のLXCからgitea内のレポジトリをクローンしようとした際に、server certificate verification failed. CAfile: none CRLfile: noneと出てクローン出来なかったのも、これで解決した。
参考