自動更新しているはずのSSL証明書が有効期限切れと表示されるようになった原因

Question

質問の概要

3日前の3/22に、EC2上にNode.jsのExpressで作ったサーバが、突然SSL証明書の有効期限切れ(ERR_CERT_DATE_INVALID)で表示出来なくなりました。

SSL証明書自体は更新を自動化していたので、正しく更新されているようでした。

そこでforever stopでサーバを一度停止し、forever startで再度起動したところ、正常に動きました。

そのため、server.jsのスクリプトの中で読み込んでいるpemファイルが、更新された後も反映されずに、古いもののままサーバが動き続けていたのが原因ではないかと思っているのですが、これは正しいでしょうか？

またその場合、30日毎にSSL証明書が更新されるたびサーバをforeverコマンドで再起動しなければいけない気がするのですが、その手間を省略する方法はあるのでしょうか？

(補足)詳細な状況

SSL証明書は、Cerbotを用いたLet's Encryptを使っており、AWSの公式ドキュメントにある方法で更新を自動化していました。
Certificate Automation: Amazon Linux 2 での Let's Encrypt と Certbot の使用

そのため、opensslのコマンドでSSL証明書の有効期限を確認すると、有効期限は2021年の6/19になっており、たしかに更新されているようでした。

sudo openssl x509 -in /(パス省略)/fullchain.pem -noout -dates
notBefore=Mar 21 20:53:47 2021 GMT
notAfter=Jun 19 20:53:47 2021 GMT

しかし、ブラウザでサーバにアクセスしても上述のエラーで表示出来ず、Chrome dev toolのSecurityタブなどからSSL証明書の有効期限を見ると、3/22が期限のままになっていました。

以下のforeverコマンドでサーバを再起動したところ、最新のSSL証明書が使用されるようになり、表示出来るようになりました。

forever stop 0
forever start server.js

server.jsのファイルの中では、Let's Encryptのpemファイルを読み込んでおり、foreverコマンドでデーモン化し永続実行していたため、pemファイルが更新されても反映されなかったのではないかと思っています。

var options = {
  key: fs.readFileSync("/etc/letsencrypt/live/xxxx.net/privkey.pem"),
  cert: fs.readFileSync("/etc/letsencrypt/live/xxxx.net/fullchain.pem"),
};
var server = https.createServer(options, app);

app.use(timeout(120000));
server.listen(process.env.PORT || 3000, function () {
  console.log("Listening on port 3000");
});

この現象の原因は上述の推測で正しそうか、またその場合、毎回pemファイルが更新されるたびにサーバを再起動する手間を省く方法があるのか、教えて頂ければ幸いです。

Comments

[hoshi-takanori]

SNICallback というのを使うといいかも？
https://github.com/nodejs/node/issues/15115#issuecomment-326257131

[miyaken912]

ありがとうございます。SNICallbackを使ってみることにしました。
ただいまセットしているpemファイルの有効期限が切れないとちゃんと動いてるか確認できないので、どうテストしたらよいかも分からず、本当にこれでよいのかはもう少し先にならないと確定は出来なそうですが・・

Answer 1

質問への追記・修正の依頼で教えて頂いたSNICallbackを使って以下のように直しました。
テスト方法が分からず確認出来ていないのですが、一旦これで様子を見てみようと思います。

var ctx = tls.createSecureContext({
  key: fs.readFileSync("/etc/letsencrypt/live/xxxx.net/privkey.pem"),
  cert: fs.readFileSync("/etc/letsencrypt/live/xxxx.net/fullchain.pem"),
});
var server = https.createServer(
  {
    SNICallback: (servername, cb) => {
      cb(null, ctx);
    },
  },
  app
);

app.use(timeout(120000));
server.listen(process.env.PORT || 3000, function () {
  console.log("Listening on port 3000");
});

module.exports = app;

Comments

[miyaken912]

SNICallbackが上手く動かず再度ERR_CERT_DATE_INVALIDエラーになってしまったため、以下の記事を参考にcronでSSLサーバー証明書更新時に、--deploy-hookでサーバーを再起動するように設定しました
https://qiita.com/kazuhidet/items/9d58a104f93d9ff7302d

39 1,13 * * * root certbot renew --no-self-upgrade --deploy-hook "forever restart server.js"