确认Salt状态有效性：代理下Certbot与ACME挑战配置检查

问题背景 #

编写了以下Salt状态文件，目标是安装Certbot并通过代理完成Let's Encrypt ACME挑战，已配置系统代理但测试失败，不确定是防火墙还是配置错误导致，需要确认状态文件可行性及ACME挑战是否会通过代理执行。

状态文件代码 #

{% set proxy_url = 'http://' %} 

set-proxy:
  environ.setenv:
    - name: set-proxy
    - value:
        http_proxy: {{ proxy_url }}
        https_proxy: {{ proxy_url }}
    - update_minion: True

certbot:
  pkg.installed:
    - name: certbot
    - require:
      - environ: set-proxy

reload-nginx:
  cmd.run:
    - name: systemctl reload nginx.service
    - require:
      - pkg: certbot

<domain>:
  acme.cert:
    - aliases:
      - <domain>
    - email: <mail>
    - webroot: <webroot path>
    - renew: 14
    - fire_event: acme/<domain>
    - onchanges:
      - cmd: reload-nginx
    - require:
      - environ: set-proxy

配置问题分析 #

1. 代理URL不完整
   proxy_url仅设置为http://，缺少代理服务器的IP/域名和端口（例如http://proxy.example.com:8080），这会导致代理配置完全无效，无法建立代理连接。

2. environ.setenv配置错误
   name: set-proxy字段属于冗余配置，environ.setenv在设置多个环境变量时，不需要指定name参数（该参数用于单个环境变量的定义），多余的name可能导致环境变量未被正确设置。

3. ACME模块代理继承不确定性
   虽然update_minion: True会让Salt Minion进程更新自身环境变量，但部分Salt模块（包括acme.cert）可能不会自动继承系统环境变量，仅依赖环境变量可能无法确保ACME挑战走代理。

修复建议 #

1. 补全代理URL
   将proxy_url修改为完整的代理地址，包含主机和端口：

   {% set proxy_url = 'http://proxy.example.com:8080' %}
   

   若代理需要认证，格式为http://username:password@proxy.example.com:8080。

2. 修正环境变量配置
   移除environ.setenv中的name字段，确保多环境变量正确设置：

   set-proxy:
     environ.setenv:
       - value:
           http_proxy: {{ proxy_url }}
           https_proxy: {{ proxy_url }}
       - update_minion: True
   

3. 显式配置ACME模块代理
   为acme.cert状态添加proxy参数（部分Salt版本支持），直接指定代理，避免环境变量继承问题：

   <domain>:
     acme.cert:
       - aliases:
         - <domain>
       - email: <mail>
       - webroot: <webroot path>
       - renew: 14
       - fire_event: acme/<domain>
       - onchanges:
         - cmd: reload-nginx
       - require:
         - environ: set-proxy
       - proxy: {{ proxy_url }}
   

排查步骤 #

1. 验证代理连通性
   在Minion节点手动执行以下命令，测试能否通过代理访问Let's Encrypt API：

   export http_proxy=http://your-proxy:port
   export https_proxy=http://your-proxy:port
   curl https://acme-v02.api.letsencrypt.org
   

   若无法连通，优先排查代理服务器可用性或防火墙规则。

2. 检查Minion环境变量
   执行Salt命令确认环境变量是否已正确设置：

   salt <minion-id> grains.get env
   

   输出中应包含http_proxy和https_proxy的正确值。

3. 查看日志定位错误

   • 查看Salt Minion日志（通常路径/var/log/salt/minion），确认acme.cert执行时的具体错误。
   • 查看Certbot日志（路径/var/log/letsencrypt/letsencrypt.log），排查ACME挑战的失败原因。

4. 防火墙规则检查

   • 确保Minion节点能访问代理服务器的指定端口。
   • 确保代理服务器能访问Let's Encrypt的ACME API地址（acme-v02.api.letsencrypt.org:443）。

内容的提问来源于stack exchange，提问作者joshi1999