Résoudre "Échec de la connexion à Let's Encrypt, assurez-vous que le port 80 est ouvert..."

[Jonat]

Pour info si vous rencontrez ce message et que les ports HTTP/HTTPS sont OK (règles NAT / pare-feu), c'est très probablement que le domaine / sous-domaine ne pointe pas vers l'adresse IP publique de la passerelle par défaut du NAS. Ça inclue ce qu'ils appellent "Autre nom de l'objet" dans l'interface.

Ma config : NAS Syno avec 2 ports ethernet. LAN1 branché à un routeur Syno connecté à une Freebox (mode bride) / LAN2 branché à une Livebox. LAN2 sert de passerelle par défaut pour le NAS. LAN1 sert uniquement pour mon paquet Mail Server qui nécessite une conf IP fixe de l'interface du NAS (pas possible de passer par la Livebox car l'interface doit être en mode auto afin de pouvoir créer des règles NAT côté Livebox (la Livebox attribue une "fausse" IP fixe via son DHCP)

Le paquet DNS Server est sur le routeur Syno. Dans ma zone domaine.tld j'ai un champ A pointant vers l'IP publique Orange avec CNAME nas.domaine.tld et j'ai un champ A router.domaine.tld qui pointe vers l'IP publique Free (+ le champ MX)

Si sur le NAS je demande un certificat Let's Encrypt domaine.tld avec en "Autre nom de l'objet" nas.domaine.tld;router.domaine.tld, et bien ça ne marchera car tout ne pointe pas vers l'IP publique Orange dans ma zone DNS (en l’occurrence router.domaine.tld). Si je retire router.domaine.tld, ça passe !

Pour mon routeur Syno j'ai créé un autre certificat router.domaine.tld depuis le NAS (vu que la fonction n'est pas dispo sur SRM pour le moment) mais en mettant ma connexion Free au préalable en passerelle par défaut du NAS. Ensuite, je suis revenu sur Orange. Après ça, export du certif depuis le NAS et import depuis SRM 

Si ça peut aider certains... 

@+

[Fenrir]

En version plus courte

Il faut que letsencrypt puisse accéder au demandeur du certificat sur les ports 80 et 443 avec tous les noms demandés.

Si on ne souhaite qu'un seul certificat, mais contenant tous les noms de domaine, il suffit de modifier temporairement ses enregistrements DNS pour que tout pointe sur la même IP (perso c'est ce que je fais pour éviter de demander/renouveler une dizaines de certificats, j'ai un docker qui ne me sert qu'à ça).

[Jonat]

Au passage j'ai posté dans le forum routeur mais ça concerne plus les NAS 

Quoi que ça permets de générer un certif pour le routeur quand on a un NAS Syno en plus à côté 

Pour info Syno remonte à son équipe dev pour une éventuelle intégration de Let's Encrypt à SRM