client krijgt webdirect niet geopend

[jw]

Ik heb FMS19 draaien, de database voor webdirect ingesteld. Deze server staat extern, in een datacenter ( Mac Mini M1 )

Het certificaat is actief, call via https//....

Zelf kom ik keurig in de webdirect pagina. 

de client krijgt steeds: 

Internal Server Error

The server encountered an internal error or misconfiguration and was unable to complete your request.

 

Wie heeft er een tip?

[bigbadwolf]

Heb het in het verleden ook meegemaakt, al weet ik niet meer precies hoe en wat. Destijds lag het volgens mij aan het certificaat.

Op de één of andere manier bleek dat niet goed geladen/geïnstalleerd te zijn.

[jw]

dank,

zou het kunnen dat het certificaat zelf niet op orde is?

Moet het van een bepaalt type zijn?

Ik heb er een van leverancier Sectigo, product PositiveSSL.

[bigbadwolf]

On 10/17/2024 at 4:13 PM, jw said:

Ik heb er een van leverancier Sectigo, product PositiveSSL

Dat is op zich goed, daar komen mijn certificaten ook vandaan.

De vraag is of je de juiste bestanden geladen hebt. Het ‘eigen’ certificaat is vrij duidelijk. Het ‘intermediate’ certificaat vind ik zelf nogal een vaag begrip.

[Banach]

2 hours ago, bigbadwolf said:

Het ‘intermediate’ certificaat vind ik zelf nogal een vaag begrip.

Dit zegt Claris daar zelf over:

https://help.claris.com/en/server-help/content/ssl-intermediate.html

[bigbadwolf]

Waar ik meer op doel is de hoeveelheid bestanden die je krijgt bij een certficaat en waar je dan als goedbedoelde amateur (zo beschouw ik mezelf in ieder geval op dat gebied) maar de juiste uit moet vissen…

[menno]

Als je een "Sectigo" certificaat hebt via bijvoorbeeld "xolphin.nl" of "sslcertificaten.nl" dan zit er in de map die je hebt gekregen een mapje "root" en daarin staat het bestand:

Sectigo_RSA_Domain_Validation_Secure_Server_CA.crt

en dat is het intermediate certificaat dat je in FMServer moet mee-importeren

Ik heb het betreffende bestand even aan deze post toegevoegd .... het werkt alleen als je een Sectigo-certificaat hebt

Sectigo_RSA_Domain_Validation_Secure_Server_CA.crt

[jw]

ik zie nu jullie antwoorden, fijn. Ik heb dat certificaat, moet het juist vernieuwen. Ik ga er mee aan de slag en laat mijn ervaring zo weten.  Dank.

[jw]

Vroeger kon ik SSL certificaten bellen, kreeg ik iemand die in het Nederlands kon uitleggen hoe het werkt. Nu krijg je een indiër met slecht engels. Mijn engels is ook niet zo en wordt communicatie wel erg lastig.

Daarom toch maar de vraag hier: Ik kan het root certificaat wel ergens op zetten, maar waar dan, in welke map? En is deze dan direct actief? Of moet ik dan nog herstarten? En kun je dan zien in Terminal of Keychain dat de 2 certificaten actief zijn? ( het domein certificaat en het root certificaat ).

Ik hoop dat een van jullie mij inwijden.

[menno]

Je hebt de private key die heb je gebruikt om een CSR (certificate signing request) mee te genereren nodig. Waarchijnlijk heb je daar een wachtwoord op ingesteld (is verplicht), dus die heb je ook nodig. 

In de mapstructuur staan pijlen bij de benodigde bestanden die je van SSLcertificaten hebt gekregen.

En in FMServer kan je die bestanden op deze plek neerzetten (allemaal tegelijk) en vergeet niet om het wachtwoord van de private key op te geven, anders werkt het niet:

 

[bigbadwolf]

Hoewel ik het inmiddels weet… dank voor de duidelijke uitleg. Zou van Claris moeten komen…

[menno]

Ik heb deze info over ssl-certificaten al jaren in mijn wiki staan, maar die is niet openbaar. Dus bij deze even een pdf-je met de gegevens waar ik iedere keer op teruggrijp.

Voor sommige klanten regel ik de ssl-certificaten, maar soms doet hun systeembeheerder dat en dan gebruiken ze vrijwel altijd iets anders FMServer of openssl op de commandline. Je krijgt dan bijvoorbeeld een pfx-bestand of je krijgt een p7b-bestand met een key en dan moet je het verder maar uitzoeken.

In principe staat in deze pdf voldoende informatie om daar dan toch de juiste informatie te verkrijgen .... een intermediate-certificate heb je in bijna alle gevallen gewoon  nodig. Je weet echter altijd wie de uitgever van een certificaat is, dus dan kan je altijd om hún domeinvalidatie-certificaat vragen.

FYI  

Certificaat voor SSL op FMServer.pdf

[jw]

Menno,

Tof, dank voor je pdf. Ik heb gisteravond een nieuwe private en public  key binnen FMS gemaakt, en dan een certificaat aangevraagd bij Xolphin en deze op de FMS ingelezen met het root certificaat. En dat leek succesvol. Echter niet volgens de klant.

Mijn url naar de webdirect loopt via de pagina: https://www.dhaag.nl/hifi/, en daarna de inlog-knop.

Deze inlog-knop roept pas de webdirect aan. Je kunt hem proberen.

 

Ik zal de hele procedure vanavond via de terminal-route nog eens doorlopen aan de hand van je pdf.

[bigbadwolf]

4 minutes ago, jw said:

Echter niet volgens de klant.

Als ik naar je WebDirect ga geeft Safari netjes aan dat er een geldig certificaat is…

[jw]

Interessant. Dank voor je testje.

[menno]

Nee, het certificaat is onjuist.

De URL voor fmserver/webdirect begint met fmnext, maar jouw certificaat is alleen jouw hoofddomeinnaam. Je moet het certificaat aanvragen voor de 'fully qualified domain name' of FQDN en dat is de naam die je hebt ingesteld in de console van fmserver: fmnext.dhaag.nl en niet dhaag.nl zoals in dit certificaat:

Je kan eventueel een 'wildcard' certificaat aanvragen en installeren, dan wordt het: *.dhaag.nl Het maakt dan niet uit wat je voor de eerste punt in de domeinnaam invult, zolang dat maar wél overeenkomt met hetgeen je in de admin-console van fmserver hebt ingesteld.

[jw]

Aaaaaaaaah, kijk, wat simpel en ingewikkeld.  Blijft gek dat het bij de ene wel werkt en de ander niet.

Anyway, hier kan ik mee verder. Fijn dat we elkaar helpen.

Jammer dat Xlophin of Filemaker niet is ingericht om bij zoiets te helpen.

[jw]

Ik zit nog even te kijken. Toch heb ik het wel goed?

De website www.dhaag.nl/hifi staat inderdaad in mijn Wordpress-site onder www.dhaag.nl

De link, achter de inlog-knop, stapt pas over naar mijn FMS. En dat is een andere server, staat achter een ander domein met een eigen certificaat en dat certificaat is aangemaakt op fmnext.dhaag.nl 

[menno]

Je kan zowel bij Claris als bij Xolphin de benodigde info denk ik eigenlijk wél vinden:

https://help.claris.com/nl/security-guide/content/set-up-ssl-encryption.html 

https://help.claris.com/nl/security-guide/content/test-for-ssl-encryption.html 

https://www.sslcertificaten.nl/support/Filemaker/FileMaker_Server_19_-_Aanmaken_CSR 

(Ssl-certificaten = Xolphin) en de info voor fms 21 is hetzelfde als voor 19  

[menno]

20 minuten geleden, jw zei:

Ik zit nog even te kijken. Toch heb ik het wel goed?

De website www.dhaag.nl/hifi staat inderdaad in mijn Wordpress-site onder www.dhaag.nl

De link, achter de inlog-knop, stapt pas over naar mijn FMS. En dat is een andere server, staat achter een ander domein met een eigen certificaat en dat certificaat is aangemaakt op fmnext.dhaag.nl 

De link van de knop 'Inlog" verwijst naar fmnext.dhaag.nl en na enig doorklikken kom je hier:

Die URL boven is toch de URL van jouw fmserver met webdirect en het certificaat (van diezelfde server is uitgegeven op dhaag.nl en niet op fmnext.dhaag.nl) 

Wellicht heb je daar wél een certificaat op aangevraagd, maar het is dan niet het certificaat dat Xolphin voor jou heeft klaargezet c.q. dat jij hebt gedownloaded en daarna geïnstalleerd.

 

[bigbadwolf]

Toch apart… als ik de link volg. Op inlog klik krijg ik toch echt een geldig certificaat:

[Banach]

Hier idem met FireFox. Certificaat is prima in orde. Wat wel opvalt is dat de startpagina (www.dhaag.nl) met Let's encrypt werkt. Ook dit certificaat is prima in orde.

Wellicht een caching artefact bij Menno?

24 oktober 2024 aangepast door Banach

[menno]

Certificaten cachen niet van websites wanneer je die voor de eerste maal bezoekt. Ik denk dat Joost het certificaat inmiddels heeft vervangen voor het juiste  ... opgelost 👍

[jw]

Mijn vraag met het certificaat is opgelost. Het was niet het certificaat maar de DNS records. Er was een IPv4 en een IPv6 adres als record en die verwezen niet allebij naar dezelfde server. Het record van het IPv6 adres is verwijderd en voila, nu is het goed. Wel grappig dat de leverancier van het certificaat en mijn website providers ( van die grote jongens ) die zien het niet, mijn kleine Mac mini host-provider die zag het.

Dank voor jullie meedenken.