GitLabへhttps通信ができない（「接続が拒否されました」と表示される）

Question

さくらのVPSにGitLab-CEをインストールし、SSL化の設定を行なったつもりでしたが、ブラウザで接続確認すると表題のエラーとなりました。

行なったこと

こちらの記事のHTTPSの設定箇所にならって設定を行いました。

gitlab.rbの記述も変更し、gitlab-ctl reconfigureとsudo gitlab-ctl restart nginxで設定の反映、nginxの再起動を行いましたが、上記のエラーでブラウザに表示されません。

解決にお力を貸していただけると大変助かります。

お願いいたします。

【firewall設定】

[root@localhost ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0
  sources:
  services: dhcpv6-client http https ssh
  ports: 443/tcp
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

【iptables】

[root@localhost ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
ACCEPT     all  --  anywhere             anywhere
INPUT_direct  all  --  anywhere             anywhere
INPUT_ZONES_SOURCE  all  --  anywhere             anywhere
INPUT_ZONES  all  --  anywhere             anywhere
DROP       all  --  anywhere             anywhere             ctstate INVALID
REJECT     all  --  anywhere             anywhere             reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
ACCEPT     all  --  anywhere             anywhere
FORWARD_direct  all  --  anywhere             anywhere
FORWARD_IN_ZONES_SOURCE  all  --  anywhere             anywhere
FORWARD_IN_ZONES  all  --  anywhere             anywhere
FORWARD_OUT_ZONES_SOURCE  all  --  anywhere             anywhere
FORWARD_OUT_ZONES  all  --  anywhere             anywhere
DROP       all  --  anywhere             anywhere             ctstate INVALID
REJECT     all  --  anywhere             anywhere             reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere
OUTPUT_direct  all  --  anywhere             anywhere

Chain FORWARD_IN_ZONES (1 references)
target     prot opt source               destination
FWDI_public  all  --  anywhere             anywhere            [goto]
FWDI_public  all  --  anywhere             anywhere            [goto]

Chain FORWARD_IN_ZONES_SOURCE (1 references)
target     prot opt source               destination

Chain FORWARD_OUT_ZONES (1 references)
target     prot opt source               destination
FWDO_public  all  --  anywhere             anywhere            [goto]
FWDO_public  all  --  anywhere             anywhere            [goto]

Chain FORWARD_OUT_ZONES_SOURCE (1 references)
target     prot opt source               destination

Chain FORWARD_direct (1 references)
target     prot opt source               destination

Chain FWDI_public (2 references)
target     prot opt source               destination
FWDI_public_log  all  --  anywhere             anywhere
FWDI_public_deny  all  --  anywhere             anywhere
FWDI_public_allow  all  --  anywhere             anywhere
ACCEPT     icmp --  anywhere             anywhere

Chain FWDI_public_allow (1 references)
target     prot opt source               destination

Chain FWDI_public_deny (1 references)
target     prot opt source               destination

Chain FWDI_public_log (1 references)
target     prot opt source               destination

Chain FWDO_public (2 references)
target     prot opt source               destination
FWDO_public_log  all  --  anywhere             anywhere
FWDO_public_deny  all  --  anywhere             anywhere
FWDO_public_allow  all  --  anywhere             anywhere

Chain FWDO_public_allow (1 references)
target     prot opt source               destination

Chain FWDO_public_deny (1 references)
target     prot opt source               destination

Chain FWDO_public_log (1 references)
target     prot opt source               destination

Chain INPUT_ZONES (1 references)
target     prot opt source               destination
IN_public  all  --  anywhere             anywhere            [goto]
IN_public  all  --  anywhere             anywhere            [goto]

Chain INPUT_ZONES_SOURCE (1 references)
target     prot opt source               destination

Chain INPUT_direct (1 references)
target     prot opt source               destination

Chain IN_public (2 references)
target     prot opt source               destination
IN_public_log  all  --  anywhere             anywhere
IN_public_deny  all  --  anywhere             anywhere
IN_public_allow  all  --  anywhere             anywhere
ACCEPT     icmp --  anywhere             anywhere

Chain IN_public_allow (1 references)
target     prot opt source               destination
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ssh ctstate NEW,UNTRACKED
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:http ctstateNEW,UNTRACKED
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:https ctstate NEW,UNTRACKED
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:https ctstate NEW,UNTRACKED

Chain IN_public_deny (1 references)
target     prot opt source               destination

Chain IN_public_log (1 references)
target     prot opt source               destination

Chain OUTPUT_direct (1 references)
target     prot opt source               destination

Answer 1

まず、GitLabのサーバー上で以下のコマンドを打って、localhost(127.0.0.1)宛てに接続して
GitLabへのHTTPS接続が拒否されないかどうか確認してみるというはどうでしょうか？

curl --insecure https://localhost

この時点で、レスポンスが返ってこない場合は、そもそもGitLabのHTTPSが正しく設定されていないように思います。

Comments

[GenkiSugiyama]

ご回答ありがとうございます。
いただいたコマンドをサーバー上で試してみましたが
速攻でエラーが帰ってきてしまいました。。
「curl: (7) Failed connect to localhost:443; Connection refused」

[TeeTeeRuu]

```
sudo lsof -i -nP | grep :443
```

でポートを443ポートがリッスンしているか分かります。

```
nginx 9666 root 12u IPv4 2354589 0t0 TCP *:443 (LISTEN)
nginx 9685 gitlab-www 12u IPv4 2354589 0t0 TCP *:443 (LISTEN)
nginx 9686 gitlab-www 12u IPv4 2354589 0t0 TCP *:443 (LISTEN)
```

こんな風にnginxが443ポートを受け付けているはずですが..。

Answer 2

アクセスログが記録されないということなので、Web サーバーの前でブロックされていますね。

さくらの VPS ということですが、「パケットフィルタ」の設定はどうなっていますか？

パケットフィルタ

Comments

[GenkiSugiyama]

コメントありがとうございます。
パケットフィルタの設定はさくらのVPSコンパネ上で、
フィルタの用途：Web
プロトコル：TCP
ポート番号：80 / 443
を「全て許可する」と設定しています。

Answer 3

まずはpingが通るか。
次にfirewall、iptablesなどの確認。
nginxのステータス、nginxのログ。
レンタルサーバーならレンタルサーバのポートの解放の有無。
ディレクトリ、ファイルの権限回り。
gitlabではない単純なhtmlにはweb上でアクセスできるか。
などをひとつずつ潰しましょう。

Comments

[GenkiSugiyama]

コメントありがとうございます。
pingは通りました。
firewallでもhttp、httpsを有効化しており、443ポートも許可しています。
アクセスログ（/var/log/gitlab/nginx/gitlab_access.log）にはhttpでブラウザから確認したログのみ残っており、httpsで通信した場合のログはたまりませんでした。
エラーログ（/var/log/gitlab/nginx/gitlab_error.log）も確認しましたがこちらには何も残っていませんでした。。

http通信では問題なく動くのですが、httpsに変更すると動かなくなってしまっています。

[firegrape]

https://gitlab.com/gitlab-org/omnibus-gitlab/-/issues/1891
こちらは関係なさそうですか？

[GenkiSugiyama]

情報ありがとうございます！
すみません、英語にあまり強くなく、「httpだと動くけどhttpsで動かすと『安全ではない』と表示される」的なissueでしょうか、、？
自分の場合はhttpsでアクセスしようとすると即「接続が拒否されました」と表示されるので少し異なるのかたと思いました。
telnetやcurlコマンドで接続しましたが、httpだと問題なく接続しhttpsだと同様に拒否となります。。。