NET::ERR_CERT_AUTHORITY_INVALID - keinen Zugriff von extern

Hallo Nextcloud Community,

nach einem Umzug schaffe ich es nicht mehr meine Nextcloud übers Internet zu erreichen. Wie Ihr anhand des ersten Satzes erkennt, bin ich alles andere als ein Pro.

Zum System:
NextCloudPi version v1.50.3
NextCloudPi image NextCloudPi_03-28-20
OS Raspbian GNU/Linux 10. 5.10.103-v7l+ (armv7l)
Nextcloud version 20.0.8.1

Wie gesagt die Cloud lief etliche Jahre ohne Probleme. Nun nach dem Umzug kann ich sie nur noch über das lokale Netzwerk erreichen. Was hat sich geändert:

  • Anderer Internet Anbieter → ich bekomme nun scheinbar eine IPv6 statt wie zuvor eine IPv4 Adresse
  • neuer Router → Habe die Ports 80 und 443 entsprechend freigegen

Wenn ich nun meine Cloud aufrufe bekomme ich folgenden Fehler:
NET::ERR_CERT_AUTHORITY_INVALID
Expires on: 15.01.2038
Current date: 18.03.2024

PEM encoded chain:
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

---------------------------------------------------------------<

Was habe ich bislang versucht:

  • Ich habe versucht das SLL Zertifikat über mittels Anleitung und über den NextCloudPi-Assistenten zu erneuern. Habe auch eine entsprechende Meldung bekommen, jedoch hat das nicht das Problem gelöst
  • Ich hatte irgendwo gefunden man sollte alte temp Dateien zum Zertifikat löschen. Hat auch nicht geholfen

Ich hoffe irgendwer von Euch kennt sich damit aus und kann mir helfen.
Vielen Dank im Voraus

Henning

Sorry my German is rusty, but your NC is outdated, we (NCP) are on 27.1.6

Die Fehlermeldung bedeutet erst mal dasss die Zertifikat Authority (CA) nicht gültig ist. Das passiert meistens wenn man ein self-signed cert verwendet. Hast du im Rahmen des Umzugs das System neu aufgesetzt?

Ein tls certificate funktioniert generell folgendermassen:

  • der Client (Browser) löst den Host per DNS auf (IPv4 vs IPv6 :warning: )
  • sobald die IP klar ist verbindet der Client mit der IP und prüft das Zert
    • das Zerifikat wird von einer CA ausgestellt (issuer). Vertrauenswürdige öffentliche CAs sind im Betriebssystem/Browser hinterlegt
    • das Zertifikat muss einen passenden Namen im CN (veraltet) oder SAN haben

dein Zert enthällt folgende Informationen:

für mich scheint es dass du ein self-signed Zert (neu?) erstellt hast und hast das nicht in deinem “trusted CA store” abgelegt hast.

Kommt darauf an was du gemacht hast. Bei IPv6 wäre Port-forwarding das richtige… Im Gegensatz zu IPv6 und NAT bekommt jedes Gerät im Netz eine eigene globale IPv6 Adresse und man braucht man eine Firewall Freigabe für entsprechendes Gerät und das DNS muss für Global IP des Server konfiguriert werden.

Schaue dir diesen Artikel NC not reachable over Domain (IPv6) - #2 by wwe es beschreibt eine Fritzbox-spezifische IPv6 Konfiguration… ist aber einfach portierbar… ipv6