Apache Fehler AH02217: ssl_stapling_init_cert: can't retrieve issuer certificate! (gelöst) (Editoren, Versionsverwaltung und andere Tools)

[thread]21170[/thread]

Apache Fehler AH02217: ssl_stapling_init_cert: can't retrieve issuer certificate! [gelöst]

Leser: 6

Articles: hide open all | hide show old branches

+13 replies
bianca

2021-02-18 12:43
User since
2009-09-13
7016 Artikel
BenutzerIn
Guten Morgen!

Seit ich vorgestern mein Let's Encrypt Zertifikat verlängert habe wirft der Apache 2.4.37 auf Windows 10 bei jedem Start (nur beim Start, danach nicht mehr) diese Fehler ins error.log:
Code: (dl )

1 2

AH02217: ssl_stapling_init_cert: can't retrieve issuer certificate! [subject: CN=meine.domain.de / issuer: CN=R3,O=Let's Encrypt,C=US / serial: XYZ / notbefore: Feb 16 07:55:37 2021 GMT / notafter: May 17 07:55:37 2021 GMT] AH02604: Unable to configure certificate meine.domain.de:443:0 for stapling
Das Zertifikat ist aus April '19 und wurde jetzt zum 13. mal verlängert und hatte diesen Fehler bei allen vorherigen Verlängerungen nie.
Ich habe ein paar alte Funde in Google aber ich verstehe nicht, worum es hier geht und wie das behoben wird.

Im Thread IO::Socket::SSL verweigert sich hatte ich diese Fehlermeldungen in anderem Zusammenhang schon mal aber das X3 Zertifikat hat sich nicht geändert, daher hilft mir das nicht weiter. In Windows sieht das so aus wie im angehängten Screenshot. Fehlt da was?

Ich bitte um Hilfe.
Danke
Anhänge

image/jpeg
1283 x 967

ScreenerZert.jpg

10 print "Hallo"
20 goto 10
- +11 replies
- GwenDragon
  
  2021-02-18 14:49
  
  User since
  2005-01-17
  14748 Artikel
  Admin1
  
  Quote
  AH02604: Unable to configure certificate meine.domain.de:443:0 for stapling
  
  Die Let's Encrypt-Zertifikate unterstützen kein OCSP Stapling.
  Da musst du auf dem Apache das in der VHost-Konfiguration deiner Domain ausschalten.
  http://httpd.apache.org/docs/2.4/ssl/ssl_howto.htm...
  http://httpd.apache.org/docs/2.4/mod/mod_ssl.html#...
  
  SSLUseStapling off
  
  Quote
  AH02217: ssl_stapling_init_cert: can't retrieve issuer certificate!
  
  Siehe R3 as Signierer der Zertifikate:
  https://letsencrypt.org/2020/11/06/own-two-feet.ht...
  CA-Zertifikate + Intermnediate: https://letsencrypt.org/certificates/
  
  Was den Issuer anbelangt, hast du denn auch per SSLCertificateChainFile die Kette eingebunden?
  Last edited: 2021-02-18 14:59:34 +0100 (CET)
  die Drachin Gwen
  
  Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
  - +8 replies
  - bianca
    
    2021-02-18 15:06
    
    User since
    2009-09-13
    7016 Artikel
    BenutzerIn
    
    2021-02-18T13:49:40 GwenDragon
    SSLUseStapling off
    
    Tatsache. Und warum ging das jetzt fast zwei Jahre ohne Fehlermeldung? An der httpd-ssl.conf war keiner dran.
    
    2021-02-18T13:49:40 GwenDragon
    Siehe R3 as Signierer der Zertifikate:
    https://letsencrypt.org/2020/11/06/own-two-feet.ht...
    CA-Zertifikate + Intermnediate: https://letsencrypt.org/certificates/
    
    Was den Issuer anbelangt, hast du denn auch per SSLCertificateChainFile die Kette eingebunden?
    
    Habe es gelesen und nichts verstanden. Kann deine Frage nicht beantworten. Hat das mit dem Screenshot der Zertifikate in der Ausgangsfrage zu tun?
    10 print "Hallo"
    20 goto 10
    - +6 replies
    - GwenDragon
      
      2021-02-20 12:47
      
      User since
      2005-01-17
      14748 Artikel
      Admin1
      
      Warum das früher mit dem Stapling ging weiß ich nicht, vielleicht hat da Apache für Windows das ignoriert.
      
      Wenn der Apache nicht den Windows Zertifikatspeicher nutzt, musst du Zertifikate per SSLCertificateFile und SSLCACertificateFile einbinden.
      das Server-Zertifikat über SSLCertificateFile und SSLCACertificateFile das ISRG Root X1 + Let’s Encrypt R3
      
      Mit SSLCertificateFile kannst du möglicherwweise auch auch die ganze Zertifikatskette in eine Datei werfen, also Server + ISRG Root + R3 als PEM-kodiert. Dann brauchst du SSLCACertificateFile nicht.
      Mit SSLCertificateKeyFile wird der private Server-Schlüssel (auch PEM) eingebunden.
      Last edited: 2021-02-20 12:55:29 +0100 (CET)
      die Drachin Gwen
      
      Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
      - +4 replies
      - bianca
        
        2021-02-21 09:26
        
        User since
        2009-09-13
        7016 Artikel
        BenutzerIn
        
        Zum ersten Satz: ich habe nur das Zertifikat verlängert. Den Apache habe ich nicht angefasst.
        
        Zum übrigen Text: hat das mit dem Screenshot aus dem Windows Zertifikate Manager zu tun? Da habe ich auch nichts dran geändert.
        
        Der Fehler ist ja weg seit ich SSLUseStapling off gesetzt habe. Das stand auf on. Ist es ratsam jetzt noch mehr zu tun im Zusammenhang mit der Ausgangsfehlermeldung oder nicht?
        10 print "Hallo"
        20 goto 10
        
        +2 replies
        
        GwenDragon
        
        2021-02-21 11:22
        
        User since
        2005-01-17
        14748 Artikel
        Admin1
        
        2021-02-21T08:26:00 bianca
        Zum ersten Satz: ich habe nur das Zertifikat verlängert. Den Apache habe ich nicht angefasst.
        Glaub ich dir, hast du den Apache mal als neuere Version installiert, kann ja sein, dass die beim OCSP was geändert haben? Ode deine Version hat einen Bug.
        OSCP Stapling hat seine Tücken wie z.B. bei Nichterreichbarkeit des OCSP-Servers, deswegen haben es manche Webserveradmins auch nicht aktiviert.
        
        2021-02-21T08:26:00 bianca
        Zum übrigen Text: hat das mit dem Screenshot aus dem Windows Zertifikate Manager zu tun? Da habe ich auch nichts dran geändert.
        Wenn du nichts dran geändert hast, passt wohl auch, wenn du dein Windows aktuell gehalten hast.
        
        2021-02-21T08:26:00 bianca
        Ist es ratsam jetzt noch mehr zu tun im Zusammenhang mit der Ausgangsfehlermeldung oder nicht?
        Musst nicht mehr machen. Wenn der Apache2 nun läuft, ist das doch in Ordnung.
        
        Schönen Sonntag noch.
        Last edited: 2021-02-21 11:28:00 +0100 (CET)
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        bianca
        
        2021-02-21 14:37
        
        User since
        2009-09-13
        7016 Artikel
        BenutzerIn
        
        Danke und gleichfalls schönen Sonntag!
        10 print "Hallo"
        20 goto 10
        
        gelöscht 2021-10-11 18:26
      - gelöscht 2021-10-11 18:26
    - gelöscht 2021-10-11 18:26
  - bianca
    
    2021-02-20 09:18
    
    User since
    2009-09-13
    7016 Artikel
    BenutzerIn
    
    Vielleicht sieht noch jemand meine Rückfrage in der Antwort hier drüber. Wenn nicht ist auch nicht schlimm.
    
    An GwenDragon vielen Dank für die Lösung!!
    10 print "Hallo"
    20 goto 10
  - gelöscht 2021-10-11 18:26
- gelöscht 2021-10-11 18:26

View all threads created 2021-02-18 12:43.