Коды ошибок сертификатов и ACME (mpbx-certs)

Возвращаются при загрузке сертификатов, запросах ACME и автоматическом обновлении (W4-SEC-01). Сообщения никогда не содержат закрытый ключ, ключ учётной записи ACME или ключевую авторизацию проверки; в них указываются не более чем идентификаторы сертификатов, DNS-имена и типы проблем ACME. Неудачная попытка ACME также записывается в сертификат (last_error_code, renewal_failures) и учитывается в mpbx_tls_cert_renewal_failures. Руководство: сертификаты.

Код	Тип	Значение	Что делать
MPBX-CERT-NAME-INVALID	invalid_argument	DNS-имя недопустимо: это не две и более метки из a-z 0-9 -, имя длиннее 253 символов, IP-адрес или маска (wildcard) в запросе ACME (HTTP-01 не проверяет маски).	Используйте точные имена хостов для ACME (pbx.example.com); для масок загрузите сертификат.
MPBX-CERT-NAME-NOT-ALLOWED	invalid_argument	Компания запросила сертификат для имени, которое не является её веб-адресом <slug>.<base domain>, либо в установке не задан базовый домен (http.base_domain), поэтому у компаний нет собственных адресов.	Запросите адрес компании (оставьте domains пустым) или управляйте сертификатом для всей установки.
MPBX-CERT-NAME-TAKEN	conflict	Запрос ACME указывает сертификат, который уже существует в этой области как загруженный или с другими именами.	Сначала удалите существующий сертификат или загрузите новый.
MPBX-CERT-PEM-INVALID	invalid_argument	Текст PEM нельзя разобрать, он слишком большой (цепочка 64 КиБ, ключ 16 КиБ), в нём нет сертификата или ключа, есть больше одного ключа либо в поле цепочки содержится закрытый ключ.	Вставьте цепочку (сначала конечный сертификат) и ключ в их отдельные поля.
MPBX-CERT-KEY-UNSUPPORTED	invalid_argument	Тип или размер ключа не поддерживается.	Используйте RSA 2048 бит и больше, ECDSA P-256 или P-384, либо Ed25519.
MPBX-CERT-KEY-MISMATCH	invalid_argument	Закрытый ключ не принадлежит первому (конечному) сертификату цепочки.	Загрузите ключ, который был создан с запросом этого сертификата.
MPBX-CERT-CHAIN-INVALID	invalid_argument	Цепочка не начинается с конечного сертификата, сертификат не подписан следующим, первый сертификат является CA, либо сертификатов больше 10.	Упорядочите цепочку: сертификат сервера, затем каждый промежуточный (корневой — необязательно).
MPBX-CERT-EXPIRED	invalid_argument	Конечный сертификат просрочен или ещё не действителен.	Загрузите действующий сертификат. Если написано «ещё не действителен», проверьте часы сервера.
MPBX-CERT-NAME-MISMATCH	invalid_argument	В конечном сертификате нет DNS-имён в subjectAltName или он не покрывает имя, для которого хранится (сертификат компании должен покрывать адрес компании; выданный сертификат ACME должен покрывать все запрошенные имена).	Используйте сертификат, выданный для правильных имён.
MPBX-CERT-NOT-FOUND	not_found	Нет такого сертификата в этой области. Сертификат компании не виден другим компаниям, а сертификаты уровня установки недоступны через маршруты компании.	Проверьте идентификатор и область (/certificates или /system/certificates).
MPBX-CERT-CHANGED	conflict	Сертификат изменился между чтением и удалением.	Перечитайте его и повторите с новым ETag.
MPBX-CERT-NOT-ACME	invalid_argument	«Продлить сейчас» для загруженного сертификата.	Загрузите вместо него новый сертификат.
MPBX-CERT-RENEW-TOO-SOON	conflict	Компания запросила продление (или повторный запрос) сертификата, выданного менее суток назад. Каждый заказ учитывается в общих лимитах частоты ACME установки, поэтому одна компания не может исчерпать их для других.	Ничего делать не нужно: сертификат продлевается автоматически до истечения срока. Администратор системы всё равно может его продлить.
MPBX-CERT-ORDER-QUOTA	conflict	Администратор компании разместил 5 новых заказов сертификатов ACME за последние 24 часа (удаление сертификата и повторный запрос считаются новым заказом). Лимиты частоты учётной записи ACME и зарегистрированного домена установки общие для всех компаний.	Подождите сутки или обратитесь к администратору системы, на которого это ограничение не распространяется.
MPBX-CERT-CLAIM-LOST	conflict	Процесс обновления задержался дольше своей блокировки на сертификат (пауза, разрыв сети), и другой узел тем временем обновил его; поздний результат отброшен. Только в журнале.	Ничего: сертификат другого узла уже в работе. Частые случаи означают, что заказы занимают больше времени, чем блокировка (10 минут).
MPBX-CERT-TLS-CONFIG	internal	Конфигурацию TLS-сервера нельзя построить.	Сообщите об ошибке: это проблема сборки или платформы.
MPBX-ACME-NOT-CONFIGURED	config	Настройки ACME некорректны: tls.acme_directory не является URL https://, tls.acme_contact не является адресом электронной почты, либо tls.acme_ca_file не читается или не содержит сертификата.	Исправьте настройки [tls] (см. руководство).
MPBX-ACME-ACCOUNT	config	Учётную запись ACME нельзя создать или загрузить (CA требует привязки внешней учётной записи, учётная запись деактивирована или сохранённые учётные данные не читаются).	Проверьте URL каталога и требования CA; удаление строки acme_accounts приводит к созданию новой учётной записи при следующей попытке.
MPBX-ACME-ORDER	invalid_argument	CA отклонил или не выполнил заказ (тип проблемы указан в сообщении) либо вернул сертификат, который не проходит проверку.	Прочитайте тип проблемы; проверьте имена и политику CA (например, записи CAA).
MPBX-ACME-CHALLENGE-FAILED	invalid_argument	CA не смог проверить HTTP-01: имя не разрешается в эту установку, порт 80 недоступен из интернета либо прокси не пересылает /.well-known/acme-challenge/. Повторяется с нарастающими паузами (10 минут, с удвоением, до 12 часов).	Направьте DNS-имя на установку, откройте порт 80 (tls.http_listen) и используйте «Продлить сейчас», чтобы повторить сразу.
MPBX-ACME-RATE-LIMITED	unavailable	CA ограничил частоту запросов. Следующая попытка будет не раньше чем через 3 часа.	Подождите; не удаляйте и не запрашивайте сертификаты повторно без необходимости.
MPBX-ACME-TIMEOUT	unavailable	CA не завершил заказ за отведённое время (2 минуты). Повторяется с нарастающими паузами.	Обычно ничего; если ошибка сохраняется, проверьте страницу состояния CA.
MPBX-ACME-UNREACHABLE	unavailable	Каталог ACME недоступен (DNS, межсетевой экран, доверие TLS). Повторяется с нарастающими паузами.	Разрешите исходящий HTTPS к CA; для частного CA задайте tls.acme_ca_file.