ConoHa WINGから無料独自SSLの更新失敗通知メール届き、OFF→ONで再発行を試したものの、管理画面は「設定中」のまま。翌日も変わらず、HTTPSでサイトを開くと503エラーが返る状態も確認しました。
手掛かりは、Cloudflareに登録したIPと、外部からのDNS問い合わせに返るIPの違いでした。
今回は、Cloudflareの対象2レコードをProxiedからDNS onlyに変更し、約22分後に確認した時点で「利用中」に戻っていました。
同じ組み合わせを使っている方に向けて、環境の確認、設定を変えた理由、復旧までの経過をまとめます。DNS onlyでは使えなくなる機能もあるため、変更内容だけでなく、その影響も確認してください。
今回の環境と、同じ症状で確認したい条件
私が使っていたのは、次の構成です。
- サーバー：ConoHa WING。無料独自SSLを利用
- DNS管理：Cloudflare
- Aレコード：wwwあり・なし両方にConoHaの接続先IPを登録
- プロキシ状態：対象2レコードともProxied（オレンジ色の雲）
Aレコードは、ドメイン名に対応するIPv4アドレスを登録する項目です。Proxiedは、そのサイトへの通信をCloudflare経由にする設定です。
同じ環境なら、登録IPだけでなくプロキシ状態も確認する手掛かりになります。wwwあり・なしで設定が異なる場合もあるので、両方を見ることが大切です。
Cloudflareを使っていない場合は、今回とは前提が異なります。末尾のConoHa公式「無料独自SSLの更新について」にある、DNSやアクセス制限などの確認項目をご覧ください。
更新失敗の通知から復旧までの4日間
最初の通知が届いた時点では、管理画面はまだ「利用中」で、サイトも表示されていました。
| 時期 | 起きたこと・行ったこと |
|---|---|
| 1日目 | 更新失敗の通知を受け取り、SSLをOFF→ONにした。その後「設定中」が続き、HTTPSで503が返る状態も確認した |
| 1〜2日目 | サポートに問い合わせ、翌日に調査する旨の返事を受けたが、表示は変わらなかった |
| 4日目 | 進捗を問い合わせ、Aレコードの条件を満たしていないと見受けられる、という回答を受けた |
| 同日 | Cloudflareの対象2レコードをDNS onlyに変更。保存直後は「設定中」だったが、約22分後に「利用中」を確認した |
通知には、設定に問題がない場合の選択肢として、OFF→ONによる再発行が案内されていました。私はAIアシスタントの案内に沿って操作しましたが、私もアシスタントも、その前提を十分に確かめていませんでした。
設定を点検してから操作すべきだった、というのが反省点です。なお、OFF→ONが503を引き起こしたかどうかは確認できていません。
登録したIPと、外から返るIPは違った
Cloudflareの画面で、登録した接続先IPがConoHa側のIPと一致していることは確認していました。それで「DNSの設定は問題ない」と思っていたのです。
ところが、ConoHaから届いた個別回答の要旨は、所定のネームサーバー、またはwwwあり・なし両方のAレコードがConoHaを参照する必要があるというものでした。私の環境については、Aレコードの条件を満たしていないため発行できないと見受けられる、と説明されていました。
ここで見直したのが、「画面に登録した値」と「外部への回答」の違いです。Cloudflareの公式説明を、今回のAレコードに当てはめると次のようになります。
| 確認する点 | Proxied | DNS only |
|---|---|---|
| 管理画面に登録するIP | ConoHaの接続先IP | ConoHaの接続先IP |
| DNS問い合わせに返るIP | CloudflareのIP | ConoHaの接続先IP |
| サイトへの通信 | Cloudflareを経由 | サーバーへ直接接続 |
登録値が同じでも、外から見えるIPは変わります。 「IPは合っているはずなのに」と思ったのは、私が登録値だけを見ていたからでした。
設定画面とDNSの回答を見比べる
CloudflareのDNS画面では、対象レコードのIPとプロキシ状態を確認できます。オレンジ色の雲がProxied、灰色の雲がDNS onlyです。
DNSの回答を調べるには、パソコンのターミナルやコマンドプロンプトで、たとえば次のように問い合わせます。example.comは説明用なので、自分のドメインに置き換えます。
nslookup example.com
nslookup www.example.com設定を変更するコマンドではありません。最初に表示されるDNSサーバーのアドレスではなく、その後にある、問い合わせたドメインへの回答をConoHaの接続先IPと比べます。
この例は通常利用しているDNSサーバーへの問い合わせです。社内DNSなど独自の環境では公開DNSと回答が異なる場合があり、変更直後にはキャッシュも影響します。一度の結果だけで反映完了を判断しないようにします。
影響を確認して、対象の2レコードだけ変更した
DNS onlyにしても、CloudflareでのDNS管理は続けられます。一方、対象サイトへの通信はCloudflareのプロキシを通らなくなり、次の影響があります。
- プロキシ経由のWAFやキャッシュなどが働かなくなる
- 接続先サーバーのIPが公開DNSから分かるようになる
Cloudflareの機能を使っているサイトでは、見過ごせない変更です。私はこの違いを確認し、今回の発行条件に対応するため、対象2レコードをDNS onlyに変更して保存しました。
変えたのはプロキシ状態だけです。 レコード名、IPアドレス、ほかのレコード、ネームサーバーは変えていません。
保存直後はまだ「設定中」でしたが、SSLのOFF→ONを繰り返さず、そのまま待ちました。
「利用中」に戻った後、確認できたこと
約22分後に改めて画面を見ると、「利用中」に戻っていました。続いて、自分のブラウザでwwwあり・なし両方のHTTPSのURLを開き、サイトが表示されることを確認しました。
約22分は復旧を確認した時点までの時間で、正確な完了時刻や、ほかの環境での所要時間を示すものではありません。今回の確認には、次の限界もあります。
| 項目 | 記録・検証していないこと |
|---|---|
| 公開DNSの応答 | 変更前後の測定結果は保存していない。画面のプロキシ状態、公式説明、サポート回答を照合して判断した |
| 証明書の詳細 | 実際の有効期限などを、独立したTLS測定では検証していない |
| 以前の発行・更新 | 当時のプロキシ状態、SSL/TLS暗号化モード、HSTS設定を確認できる記録がない |
| 503の発生元 | Cloudflareと接続先サーバーのどちらが返したかは未確認 |
変更後に復旧した経過はサポート回答と整合しますが、サーバー側の認証ログまで調べたわけではありません。この記事で残せるのは、原因を一つに確定した検証結果ではなく、今回の環境で行った変更と、その後に確認した結果です。
次の更新に備えて、先に確かめたいこと
現在、対象2レコードはDNS onlyのままにしています。Proxiedに戻した状態で自動更新できる構成は、今回確かめていません。
ConoHaの公式案内では、無料独自SSLの有効期間は90日で、満了前に自動更新されます。更新時にも新規設定時と同様の認証が行われるため、今回の復旧だけでは、次回の更新まで確認できたことにはなりません。
更新失敗の通知を受けたら、操作を繰り返す前に、次の点を確認しておきたいところです。
- 通知の内容、管理画面の表示、サイトの表示状態を記録する
- ConoHaの接続先IPと、Cloudflareの登録IP・プロキシ状態を照合する
- wwwあり・なし両方のDNSの回答も確認する
- 公式の確認項目に沿って点検し、再発行の操作が必要か判断する
- 解消しなければ、確認した内容を添えてサポートに相談する
設定変更の日時と内容も残しておけば、後から「前回の更新時も同じ設定だったか」を振り返れます。
今回、画面に入れたIPは間違っていませんでした。それでも、その画面だけでは確認が足りませんでした。同じ組み合わせで「設定中」のまま困っている方が、設定を見直す手掛かりになればと思います。
＊関連記事
ConoHa WINGのTypeSquareを止めたらPageSpeed Insightsが改善した話
Cloudflareとはどんな会社？CDNからAI時代のインターネット基盤へ進化した歴史
参考資料
- ConoHa WINGサポート「無料独自SSLの更新について」
https://support.conoha.jp/w/letsencrypt-update/ - Cloudflare Docs「Proxy status」
https://developers.cloudflare.com/dns/proxy-status/
サポート対応は、私が受け取った個別回答の要旨です。対象サイトのドメイン、IPアドレス、アカウント情報、問い合わせ日時などは伏せています。
コメント