Fehlerbehebung
Ausgesperrt nach einer Zertifikatsänderung, unverschlüsseltes HTTP, Namenswarnungen und Fehlermeldungen bei Let's Encrypt.
Ausgesperrt nach einer Zertifikatsänderung
Ihr Browser akzeptiert das neue Zertifikat nicht, sodass Sie Settings → HTTPS nicht mehr erreichen? Setzen Sie die HTTPS-Einstellungen im Installationsverzeichnis auf dem Host zurück:
cd /root/proxmox-dashboard
npm run tls:reset
systemctl restart vexcore-hvDas setzt die Zertifikatsquelle auf Automatic, schaltet HSTS aus und verschiebt ein hochgeladenes Zertifikat samt Schlüssel nach data/tls/backup-<Zeitpunkt>/. Gelöscht wird nichts; das Proxmox-Zertifikat bleibt unberührt. Laden Sie die Seite danach neu.
HTTPS ganz abschalten
Hilft das nicht, schalten Sie HTTPS vorübergehend ab. Ergänzen Sie in .env.local im Installationsverzeichnis die Zeile
VEXCORE_TLS=offund starten Sie den Dienst neu (systemctl restart vexcore-hv). VexCore HV läuft dann unverschlüsselt per HTTP. Entfernen Sie die Zeile und starten Sie neu, um HTTPS wieder einzuschalten.
Ohne HTTPS gehen Passwörter und Sitzungen unverschlüsselt über das Netz. Nutzen Sie das nur kurz zur Reparatur.
Die Oberfläche läuft nur per HTTP
Eine rote Leiste meldet „HTTPS is down: no certificate could be loaded“. VexCore HV sperrt Sie in diesem Fall nicht aus, sondern liefert die Oberfläche unverschlüsselt aus. Ursachen:
VEXCORE_TLS=offsteht in.env.local.- Kein Zertifikat konnte geladen werden. Den Grund zeigen Settings → HTTPS und das Protokoll:
journalctl -u vexcore-hv | grep '\[tls\]'Nach einem Neustart des Hosts kurz ein anderes Zertifikat
Startet VexCore HV, bevor Proxmox sein Dateisystem /etc/pve bereitgestellt hat, liefert es in der ersten Minute ein selbst signiertes Ersatzzertifikat aus. Neue Installationen sind dagegen abgesichert; bei älteren ergänzen Sie die Startreihenfolge wie unter Ports → Ältere Installationen beschrieben.
Der Browser warnt vor dem Namen
„Dieses Zertifikat deckt … nicht ab“: Sie rufen VexCore HV unter einer Adresse auf, die nicht im Zertifikat steht – etwa über die IP-Adresse statt über vexcore.firma.de. Settings → HTTPS weist darauf hin. Rufen Sie VexCore HV unter einem Namen auf, der unter Names steht.
Nach Stop using Let's Encrypt liefert VexCore HV wieder das Node-Zertifikat aus. Rufen Sie es dann über die IP-Adresse des Hosts auf; unter dem bisherigen Namen lädt die Seite zwar, der Browser blockiert aber ihre Anfragen.
Der Browser verweigert die Seite wegen HSTS
Haben Sie HSTS eingeschaltet und wurde danach ein nicht vertrauenswürdiges Zertifikat ausgeliefert, bietet der Browser kein Übergehen der Warnung an. Warten Sie die gewählte Zeit ab (höchstens einen Tag) oder löschen Sie den HSTS-Eintrag für die Seite im Browser (Chrome: chrome://net-internals/#hsts).
Seite zeigt „Can't reach VexCore“
Nach einer Zertifikatsänderung laden Tabs, die bereits offen waren, nicht automatisch neu. Laden Sie sie von Hand neu.
Server-Einträge funktionieren nach Let's Encrypt nicht mehr
Ein Eintrag auf der Seite Cluster, der das Proxmox-Zertifikat prüft, verbindet sich über eine Adresse, die nicht mehr im Zertifikat steht. Ändern Sie die Adresse des Eintrags auf einen Namen des Zertifikats oder schalten Sie die Zertifikatsprüfung für diesen Eintrag aus.
Fehlermeldungen bei Let's Encrypt
VexCore HV übersetzt fehlgeschlagene Bestellungen und Erneuerungen in Klartext. Unter Details stehen Proxmox' Originalmeldung und das Protokoll.
| Meldung (sinngemäß) | Ursache und Lösung |
|---|---|
| Let's Encrypt's rate limit was hit. | Limit erreicht: 5 identische Zertifikate pro Woche bzw. zu viele fehlgeschlagene Prüfungen pro Stunde. Warten (bis wann, steht unter Details) oder mit einem Staging-Konto testen. |
| Let's Encrypt won't issue a certificate for … | Der Name ist nicht zulässig. Erlaubt sind nur öffentliche DNS-Namen in einer Domain, die Ihnen gehört – keine Namen auf .local, .lan, .home oder .internal und keine IP-Adressen. |
| A CAA record on the domain doesn't allow Let's Encrypt | Ein CAA-Eintrag Ihrer Domain erlaubt Let's Encrypt nicht. letsencrypt.org im CAA-Eintrag ergänzen (oder den Eintrag entfernen), dann neu bestellen. |
| The ACME account is missing or deactivated. | Konto neu registrieren oder ein anderes wählen, Namen erneut speichern, dann bestellen. |
| The DNS plugin the names use no longer exists in Proxmox. | Plugin neu anlegen oder den Namen ein anderes Plugin zuweisen und speichern. |
| … rejected the credentials | Das API-Token ist falsch, abgelaufen oder hat keinen Zugriff auf die Zone. Token im DNS-Plugin prüfen bzw. ersetzen. Bei Cloudflare: Zone → DNS → Edit für die Zone; ohne Zone → Read zusätzlich CF_Zone_ID. |
| … didn't create the TXT record | Das Token ist gültig, darf aber keine DNS-Einträge dieser Zone bearbeiten. Rechte des Tokens prüfen. |
| Let's Encrypt couldn't confirm the TXT record | Der Eintrag wurde gesetzt, aber (noch) nicht gesehen. Prüfen Sie, dass die öffentlichen Nameserver der Domain die Ihres DNS-Anbieters sind, und erhöhen Sie die Validation Delay des Plugins in Proxmox (Datacenter → ACME → Plugin; Standard 30 Sekunden). |
| Let's Encrypt didn't find the TXT record … through its challenge alias | Siehe nächster Abschnitt. |
| Proxmox couldn't reach Let's Encrypt or the DNS provider. | Internetzugang und DNS-Auflösung des Nodes prüfen. |
| The DNS plugin … failed while setting the TXT record | Die Antwort des Anbieters steht im Protokoll unter Details; meist sind Zugangsdaten oder Zonen-Einstellungen des Plugins zu korrigieren. |
Nach jeder Korrektur: in Schritt 4 erneut Order certificate bzw. Renew now. Das bisherige Zertifikat bleibt bis zum Erfolg in Gebrauch.
Let's Encrypt findet den TXT-Eintrag nicht
Bei einem Challenge-Alias bedeutet das fast immer: Der CNAME-Eintrag fehlt, zeigt auf ein falsches Ziel oder wurde erst vor wenigen Minuten angelegt. VexCore HV prüft die CNAME-Einträge direkt unter der Fehlermeldung erneut („Right now: …“).
- Prüfen Sie den Eintrag beim DNS-Anbieter des Namens:
_acme-challenge.<Name>→ CNAME →_acme-challenge.<Hilfszone>. - Entfernen Sie einen TXT-Eintrag unter demselben Namen.
- Warten Sie, bis Check CNAME den Eintrag bestätigt, und bestellen Sie dann neu.
Router blockiert die Namensauflösung
Löst der Name in Ihrem Netzwerk nicht auf den Host auf, obwohl der A-Eintrag stimmt, blockiert oft der DNS-Rebind-Schutz des Routers Antworten mit privaten IP-Adressen. Tragen Sie die Domain dort als Ausnahme ein – bei der FRITZ!Box unter Heimnetz → Netzwerk → Netzwerkeinstellungen → DNS-Rebind-Schutz.
Weitere Hilfe
Hilft nichts davon, schreiben Sie an contact@colvex.de. Legen Sie die Meldung aus Details bei, aber keine API-Tokens, Passwörter oder privaten Schlüssel.