带有 letsencrypt 的 nginx 入口：等待 http-01 挑战传播：状态代码错误“404”，预期为“200”

Question

我正试图从GKE重新部署到Digital Ocean。我遇到了一个问题，来自letsencrypt的挑战。我相信K8s告诉我找不到路线。letsencrypt试图完成挑战并失败的两个主机名/域是SendGrid使用的CNAMES。我真的不知道从哪里开始故障排除，我的谷歌功能让我失望。

Namespace:    default
Labels:       <none>
Annotations:  <none>
API Version:  acme.cert-manager.io/v1alpha2
Kind:         Challenge
Metadata:
  Creation Timestamp:  2020-03-19T20:34:04Z
  Finalizers:
    finalizer.acme.cert-manager.io
  Generation:  1
  Owner References:
    API Version:           acme.cert-manager.io/v1alpha2
    Block Owner Deletion:  true
    Controller:            true
    Kind:                  Order
    Name:                  letsencrypt-certs-80407504-346698183
    UID:                   84ab9399-3a61-462e-a1c5-0831bd451a36
  Resource Version:        37060
  Self Link:               /apis/acme.cert-manager.io/v1alpha2/namespaces/default/challenges/letsencrypt-certs-80407504-346698183-813483524
  UID:                     ca14d996-3ecf-4dd8-8c53-057af7ae2b27
Spec:
  Authz URL:  https://acme-v02.api.letsencrypt.org/acme/authz-v3/3449670327
  Dns Name:   7502121.secodify.com
  Issuer Ref:
    Group:  cert-manager.io
    Kind:   ClusterIssuer
    Name:   letsencrypt-prod
  Key:      LiAawBR0bFRQfb2oXrvvNhph3ehQ-35lXJKkpjqgqb0.uWH4RnJfcABYba9T5b-QjoYnIw53rRtVhzsRIHIh39Y
  Solver:
    http01:
      Ingress:
        Class:  nginx
  Token:        LiAawBR0bFRQfb2oXrvvNhph3ehQ-35lXJKkpjqgqb0
  Type:         http-01
  URL:          https://acme-v02.api.letsencrypt.org/acme/chall-v3/3449670327/JGayWw
  Wildcard:     false
Status:
  Presented:   true
  Processing:  true
  Reason:      Waiting for http-01 challenge propagation: wrong status code '404', expected '200'
  State:       pending
Events:        <none>

我的配置图如下所示：

--- 
apiVersion: v1
kind: ConfigMap
metadata:
  name: nginx-config
data:
  nginx.conf: |
    events {
      worker_connections  1024;
    }
    http {
      server {
        access_log /var/log/nginx/access.log;
        error_log /var/log/nginx/error.log;
        listen 8080;
        server_name localhost;
        location ^~ /.well-known/acme-challenge/ {
          default_type "text/plain";
          rewrite /.well-known/acme-challenge/(.*) /$1 break;
        }
        location /static/ {
          autoindex on;    
          alias /code/core/static/; 
          include /etc/nginx/mime.types;
        }
        location = /favicon.ico {
        access_log off;
        log_not_found off;
        }
        location / {
          proxy_set_header X-Real-IP $remote_addr;
          proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
          proxy_set_header X-Forwarded-Proto $scheme;
          proxy_pass http://127.0.0.1:8080/;
        }
      }
    }
---```

Answer 1

我在使用Traefik的K3S上也遇到了同样的错误。原因是DNS和端口转发。CertManager在联系lets加密之前测试自己。如果我使用Ngin x作为路由器，我会得到同样的错误。

我有：

• 树莓皮
• 运行Kubernetes
• 在我的“DMZ”中
• 通过端口转发到路由器上的端口80/443提供访问

我在域提供商的 DNS 服务器中设置了几条 A 记录：

• 外部 https://mypi.example.com 解析到我的路由器，并通过我的树莓派提供的端口转发。
• 在我的DMS中，https://mypi.exampe.com 仍然为路由器的管理网站提供服务

CertManager调用我的路由器来测试它在Raspberry Pi上的lets加密功能，而不是它自己。

这个问题通过将DNS记录添加到我的路由器的DNS服务器来解决，以便它们直接指向树莓派的内部IP地址。

答案是肯定的：

• 我的DMZ应该更安全，路由器管理网站和内部网络不应该从Raspberry Pi访问
• 除了更新之外，我的树莓派应该无法启动与互联网的连接。

Answer 2

结果是，CNAMES没有被使用。将它们从配置中删除后，我将再次执行< code > kubectl get challenges ，但它是空白的。这是因为挑战已经被处理了，我想，因此没有悬而未决的。

我还遇到了另一个问题，我忘记在kubernetes服务和部署pod之间建立关系。

在这两个问题之间，我感到困惑。

Answer 3

将< code > cert manager . k8s . io/cluster-issuer 注释添加到入口配置文件中。类似问题:certmanager。

此外，您在配置地图中的服务器位置定义中存在语法错误：

 location ^~ /.well-known/acme-challenge/

请记住将重写和nginx类注释添加到入口配置文件中。