Certificato Let’s Encrypt non si attiva per un utente client su ISPConfig: causa e soluzione
Può capitare in ISPConfig che un utente di tipo client non riesca ad attivare il certificato Let’s Encrypt, mentre l’amministratore sì.
Il comportamento tipico è questo:
- si attivano le opzioni SSL e Let’s Encrypt;
- si salva il sito;
- la spunta di Let’s Encrypt si disattiva automaticamente.
Il tutto spesso avviene senza errori visibili nei log.
In questo articolo vediamo quando succede e come risolvere definitivamente questo specifico problema.
Il sintomo
- utente admin: Let’s Encrypt funziona correttamente;
- utente client: Let’s Encrypt non si attiva;
- nei log di ISPConfig non compaiono errori utili;
- l’SSL standard può risultare attivabile.
In questo scenario il problema riguarda quindi l’utente client e non, almeno in prima battuta, il server o il dominio.
Prima verifica: escludere problemi tecnici generali
Prima di intervenire sui permessi utente, conviene comunque verificare che non ci siano problemi infrastrutturali, ad esempio:
- DNS del dominio non puntato correttamente al server;
- porta 80 non raggiungibile dall’esterno;
- virtual host configurato in modo errato;
- problemi nella challenge HTTP di Let’s Encrypt.
Queste cause sono frequenti in generale, ma nel caso specifico descritto in questo articolo c’è un indizio molto preciso: l’admin riesce ad attivare Let’s Encrypt, mentre il client no.
Quando accade questo, la causa è molto probabilmente interna a ISPConfig.
La causa reale: i gruppi associati all’utente
Se tutto è configurato correttamente e il problema si presenta solo con un utente client, allora bisogna controllare i permessi interni dell’utente ISPConfig.
In particolare, il punto chiave è il campo groups della tabella sys_user.
Un utente client tipico può avere una configurazione simile a questa:
groups = "2"Mentre l’utente admin può avere una configurazione come questa:
groups = "1,2"In questo contesto, il gruppo 1 corrisponde al gruppo amministrativo interno usato da ISPConfig per determinate operazioni sensibili.
Perché Let’s Encrypt viene bloccato
L’attivazione di Let’s Encrypt in ISPConfig non si limita a salvare una semplice preferenza dell’utente. Il sistema deve infatti eseguire operazioni più delicate, tra cui:
- modifica del virtual host;
- scrittura della configurazione SSL;
- gestione del certificato e delle relative impostazioni.
Se l’utente client non appartiene anche al gruppo corretto, ISPConfig può mostrare regolarmente la checkbox, permettere il salvataggio della scheda, ma annullare l’operazione in modo silenzioso.
Il risultato è proprio quello che si osserva nel pannello: la spunta di Let’s Encrypt si disattiva subito dopo il salvataggio.
La soluzione
La soluzione consiste nell’aggiungere all’utente client anche il gruppo amministrativo richiesto da ISPConfig.
In pratica, nella tabella sys_user, il campo groups va modificato da:
groups = "2"a:
groups = "1,2"Cosa fare dopo la modifica
Dopo aver aggiornato il campo, conviene:
- effettuare il logout da ISPConfig;
- accedere nuovamente con l’utente client;
- riaprire la scheda del sito;
- attivare di nuovo Let’s Encrypt.
A questo punto il certificato dovrebbe attivarsi correttamente anche per l’utente client.
Attenzione: non serve rendere l’utente admin
Per risolvere questo problema non è necessario trasformare l’utente in amministratore modificando il tipo utente.
Non serve quindi impostare:
typ = "admin"L’utente può restare un normale utente client. Nel caso analizzato, è sufficiente correggere l’associazione ai gruppi.
Come riconoscere subito questo caso
Questo problema ha una firma abbastanza precisa. Se si verifica questa combinazione:
- l’admin riesce ad attivare Let’s Encrypt;
- il client non riesce ad attivarlo;
- i log non mostrano errori evidenti;
- la spunta si disattiva subito dopo il salvataggio;
allora vale la pena controllare subito la configurazione dell’utente nella tabella sys_user, in particolare il campo groups.
Conclusione
Quando il certificato Let’s Encrypt non si attiva per un utente client su ISPConfig, il problema può sembrare legato al server, ai DNS o a Let’s Encrypt stesso. In realtà, se l’attivazione funziona da admin ma non da client, la causa può essere molto più specifica: i permessi interni associati ai gruppi utente.
Correggendo questa impostazione, l’attivazione torna a funzionare regolarmente anche per l’utente client, senza dover modificare il ruolo dell’utente o intervenire sulla configurazione generale del server.
