SFB 2019 Edge lets encrypt после выпуска сертификатов не запускаются службы

425

У меня не запускалась одна служба из 4.

Ошибка службы

Глядя на средство просмотра событий, были подняты следующие два идентификатора события: 19008 и 19005. В частности:  19008: закрытый ключ для сертификата сервера не найден службой проверки подлинности LS A/V, или служба не имеет достаточных разрешений для доступа к сертификату.

Private key for server certificate not found by the LS Audio/Video Authentication service or the service does not have sufficient permissions to access the certificate.

Certificate Serial Number: '03EAE11A0A83D9FBA204BECEE1117298C46E' Issuer:'CN=R3, O=Let's Encrypt, C=US'
Resolution:
Install a certificate with the private key in the local machine store, check if the configuration parameters have the correct server certificate serial number. Check if the service has sufficient permissions to access the certificate.

Выполните команду

PS C:\Users\Administrator> Get-ChildItem -Path cert:\localmachine\my |ft subject,privatekey,Thumbprint

Subject                                                PrivateKey                                            Thumbprint
-------                                                ----------                                            ----------
CN=sip.domain.ru, OU=it, O=it, L=ru, S=ru, C=RU  System.Security.Cryptography.RSACryptoServiceProvider DFF4A05CD90A...
CN=WMSvc-SHA2-SRV-EDGE1                                System.Security.Cryptography.RSACryptoServiceProvider B87D4476A85D...
CN=srv-edge1.ctdrus.loc, OU=it, O=it, L=ru, S=ru, C=RU System.Security.Cryptography.RSACryptoServiceProvider 47C8BD13FA80...
CN=sip.domain.ru                                                                                       1A9B09D92FAB...

Обратите внимание, что здесь не определен провайдер PrivateKey, что означает, что сертификат каким-то образом сломался! Странно, так как в этой среде было два пограничных сервера Skype for Business, один работал отлично, другой нет.

Загружаем и экспортируем pfx полученный от lets encrypt

После полученного файла используем инструкцию ниже

1. Я получил бинарные файлы OpenSSL с:  https://indy.fulgan.com/SSL/openssl-1.0.2u-x64_86-win64.zip
2. В распакованную директорию кладем pfx и выполняем команды.

.\openssl pkcs12 -in 123.pfx -nocerts -out private_key.pem -nodes

.\openssl pkcs12 -in 123.pfx -nokeys -out public_key.crt

.\openssl pkcs12 -export -in public_key.crt -inkey private_key.pem -out c:\123.pfx

После импорта сертификата и применения его к службам я проверил, как выглядят сертификаты в PowerShell.

Get-ChildItem -Path cert:\localmachine\my |ft subject,privatekey,Thumbprint

Обратите внимание, что теперь здесь определен провайдер PrivateKey, и две службы Audio/Video Authentication и Audio/Video Edge запустились просто отлично!

Взято со статьи

LS Audio/Video Authentication Server Error 19008 – Private Key not found

Ошибка в конфигурации потологии

Зарархивируйте вашу топологию , проверьте ip адреса совпадают ли они с тем что у нас настроено на сетевых интерфейсах

Проверьте eventviewer

LS A/V Edge Server failed to open a network endpoint.

Protocol TCP Address 172.16.1.110 Port 443
Cause: Either an invalid configuration or another process is using the resource.
Resolution:
Check the configuration of the LS A/V Edge Server and verify the network resource is available.

Касательно этой ошибки в iis на дефолтном сайте был биндинг 443 порта с сертификатом, после удаления его все заработало.

ошибка The TLS certificate WAS not found in the computer’s certificate store

Эта ошибка нам говорит что сертификат который мы выпустили внутренний , не находит CA серфитиката , после скачивания и установки его службы заведутся.

The TLS certificate WAS not found in the computer's certificate store, or the certificate may be invalid. The LS Audio/Video Authentication service will stop.

Certificate Serial Number: '7300004b28295db7fb8cc57560000100004b28' Issuer 'CN=CTDRUS-V12RUCTDMSC2004-CA, DC=CTDRUS, DC=loc'
Cause: The certificate was not found in the computer's certificate store, or the certificate that was found may be invalid.
Resolution:
If there is no certificate, install the certificate on the computer's certificate store and verify that the configuration parameter has the correct serial number. If the certificate was found, verify that it is valid.

С внешним сертификатом не запускаются службы

Самый легкий способ проверить в топологии у вас проблемы или с сертификатом (Почти всегда проблема с сертификатом) , запросите его на вашем центре сертификации c внешними именами и запустите службы.