08.05.2017, aktualisiert am 09.05.2017

5193

PfSense ACME Packages Refresh CRL im Squid Reverse Proxy

Hallo,
im pfSense ACME Packages kann man Prozesse nach einer Zertifikatserneuerung automatisieren.

Wie wäre der Aufruf für den Refresh CRL des Squid Reverse Proxy?

Danke!!
der Horst

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 337168

Url: https://administrator.de/contentid/337168

Ausgedruckt am: 23.11.2024 um 11:11 Uhr

23 Kommentare

Neuester Kommentar

Einfach in die Source schauen

https://github.com/pfsense/pfsense-packages/blob/master/config/squid3/34 ...
Dort findest du die PHP Funktion squid_refresh_crl() die das macht was geschieht wenn du den Button drückst ...
Zum Aufrufen von PHP Functions siehe dann zusätzlich:
https://doc.pfsense.org/index.php/Using_the_PHP_pfSense_Shell

require_once('squid_reverse.inc');  
squid_refresh_crl();

Hallo derHorst,
@bierverleih (lol

) hat dich schon auf die richtige Fährte gebracht, leider ist sein Skript nicht ganz vollständig.

Deswegen hier nochmal die Anleitung für eine aktuelle pFSense mit installiertem Squid Package.

Man begebe sich auf die Konsole der pfSense und wähle den Menüpunkt 12) um die PHP-Shell zu öffnen
Nun gebe man folgende Kommandos nacheinander ein:

record squid_refresh
require_once("squid.inc");
squid_resync();
stoprecording
exit

Damit ist die Aufzeichnung der PHP-Aktion gespeichert.

Aufrufen kann man sie nun jederzeit über die Shell mit folgendem Befehl:

pfSsh.php playback squid_refresh

Grüße Uwe

[OT]
p.s. @bierverleih : Nimmst du das Bier nach Gebrauch echt wieder zurück

? Na dann Prost ...
[/OT]

Zitat von @colinardo:

[OT]
p.s. @bierverleih : Nimmst du das Bier nach Gebrauch echt wieder zurück

? Na dann Prost ...
[/OT]

Klar

genau so kommts wieder in die Flaschen

Hallo Uwe,
hinter stoprecording tauchen Zahlen auf, ist das richtig??

Danke, der Horst

und dann so einfügen? Oder ist das ein Shell command
Vermutlich muss hier noch der Pfad usr/local/pkg/ vor?

Zitat von @horstvogel:

Hallo Uwe,
hinter stoprecording tauchen Zahlen auf, ist das richtig??

Nein das ist so nicht richtig. Vermutlich nur das falsche Keyboard Encoding gesetzt. Setze es auf der Konsole mit der Eingabe von kbdmap.

und dann so einfügen? Oder ist das ein Shell command

Die Zeile oben ist ein Shell-Command. Wenn du stattdessen die Befehle von oben (ohne record, stoprecording und Exit) direkt verwenden willst ist die Auswahl "PHP Command-Skript richtig. Geht beides, entweder oder.

Vermutlich muss hier noch der Pfad usr/local/pkg/ vor?

Nein, das Skript ist in der Path.

Hallo Uwe,
danke für Deine Hilfe

also so?
Was macht man mit dem Semikolon?
Ich glaube nicht das das richtig ist? Sieht seltsam aus
Danke!

Setze es auf der Konsole mit der Eingabe von kbdmap
Wo setzte ich das? Kann ich dann die Befehle einfach nochmals eingeben? Wird das Script dann überschrieben?

Zitat von @horstvogel:

Hallo Uwe,
danke für Deine Hilfe

also so?
Was macht man mit dem Semikolon?
Ich glaube nicht das das richtig ist? Sieht seltsam aus

Doch das muss sein weil das zwei separate Anweisungen sind und in PHP das Semikolon das Zeilenende bedeutet und die nächste Anweisung folgen kann!!

Setze es auf der Konsole mit der Eingabe von kbdmap
Wo setzte ich das?

Auf der Konsole (im Menü Punkt 8 wählen) und dann eintippen , dann kommt ein grafisches Menü mit dem du die Belegung auswählen kannst.

Kann ich dann die Befehle einfach nochmals eingeben?

Ja.

Wird das Script dann überschrieben?

Ja aber das Skript brauchst nicht mehr wenn du es oben schon als PHP Command-Skript angibst, wie gesagt entweder oder, nicht beides gleichzeitig

Mit dem Script ist klar, dass muss aber nicht gelöscht werden?
Also der PHP Befehl ist so richtig, ohne Leerzeichen und am Ende wieder ein Semikolon?
Danke!!

Zitat von @horstvogel:

Mit dem Script ist klar, dass muss aber nicht gelöscht werden?

Nein, musst du nicht.

Also der PHP Befehl ist so richtig, ohne Leerzeichen und am Ende wieder ein Semikolon?
Danke!!

Korrekt, ob da jetzt vor oder hinter dem Semikolon noch ein Leerzeichen sitzt ist aber egal.
Ganz normales PHP Reglement.

Gerade mal getestet mit

mit Renew
ging leider nicht, Zertifikat wurde erzeugt, aber halt nicht geladen

2017-12-05 20_02_29-pfsense.localdomain - services_ acme_ certificates - internet explorer

Ähm du verwechselst da was! Meine Zeilen oben erneuern dein Zertifikat nicht sondern führen nur deine gewollte Aktion des "CRL Refresh" durch, nicht mehr und nicht weniger!
Deine Frage war ja

Wie wäre der Aufruf für den Refresh CRL des Squid Reverse Proxy?

Eine CRL ist kein Zertifikat, sondern nur eine Liste der zurückgerufenen Zertifikate ! Ich glaube du hast da was missverstanden.

Ist klar, dass Zertifikat wird erneuert indem ich auf Renew drücke, dann sollte durch das PHP Script automatisch CRL Refresh ausgeführt werden. Zertifikat ist neu, aber wurde nicht geladen, von Hand auf CRL Refresh gedrückt und das Zertifikat wurde geladen und der Browser zeigt das neue Datum von heute an.
Danke!

Oder kann man das über Renew nicht testen?

Ich habe nur noch einen Schuss frei, dann habe ich die 5 Stück Renew pro Woche erreicht

Zitat von @colinardo:

Eine CRL ist kein Zertifikat, sondern nur eine Liste der zurückgerufenen Zertifikate ! Ich glaube du hast da was missverstanden.

Wenn ich CRL drücke, dann wird auch ein neuerzeugtes Let´s Encrypt Zertifikat geladen, Ziel ist es, alle 60 Tage soll automatisch das Let´s Encrypt Zertifikat erneuert werden, dieses soll automatisch dem Reverse Proxy zur Verfügung gestellt werden
Das ist mein eigentlicher Wunsch. Ich glaube das habe ich überhaupt nicht geschrieben...
Sorry

Dafür muss die Config neu eingelesen werden, ich hatte nur das CRL Update eingebaut für einen Config Reload müsste noch ein
squid_resync_reverse() dazwischen .
Kann es aber morgen erst testen.

Zitat von @horstvogel:

Ich habe nur noch einen Schuss frei, dann habe ich die 5 Stück Renew pro Woche erreicht

Dafür gibt es das Developer Environment für Testzertifikate bei Lets Encrypt mein Junge

so?

2017-12-05 20_21_33-pfsense.localdomain - services_ acme_ certificate options_ edit - internet explo

Danke!

Das ist dann die Testumgebung? Junge, Junge, das ist etwas viel für mich, dass sagt unser alter Grieche auch immer, wenn er einen im Tee hat

2017-12-05 20_24_59-pfsense.localdomain - services_ acme_ certificate options_ edit - internet explo

Wer lesen kann ist klar im Vorteil... man, ich mache jetzt Schluss, habe auch keinen Schuss mehr frei. Danke! Wäre super wenn Du mir eine Rückmeldung geben könntest.
Danke!!

2017-12-05 20_29_49-pfsense.localdomain - services_ acme_ certificates - internet explorer

Hallo Horst,
hier wie versprochen meine Rückmeldung.
Also Folgendes Skript führt hier zum gewünschten Erfolg (getestet mit einer aktuellen 2.4.2):

require_once("squid.inc"); squid_resync();

Und das Ergebnis einer Zertifikats-Erneuerung:

Aufruf des Reverse-Proxies wurde getestet und die Seriennummer des erneuerten Zertifikats im Browser bestätigt.

Erster Post wurde daraufhin zus. aktualisiert.

Hoffe ich konnte dir helfen.
Schöne Woche weiterhin.

Grüße Uwe