DSM 6.x und darunter Zertifikat Lets Encrypt über DSM 6.x erzeugen

[DerFaerdder]

Hallo,

Kurzfristig ist mein Ziel, ein SSL Zertifikat bei Lets Encrypt zu beantragen und zu nutzen.
Ziel ist es langfristig, vom Internet aus Daten auf meinem NAS ablegen zu können - und mich evtl per VPN ins eigene Netz zu verbinden / mein eigener Mailprovider zu werden.

Trotz einiger Stunden Recherchen bin ich heute beim Thema Zertifikat keinen Schritt weitergekommen.
Mir ist aktuell unklar, was genau ich bestens in welcher Reihenfolge machen muss, um
- ein kostenfreies Zertifikat von Lets Encrypt zu beziehen (HTTPS, WebDav, ?VPN, ?Mail)
- dieses auf der DSM einzuspielen
- und zu pflegen (Verlängerung etc)
Daher dieser Post.

Ich hoffe, ich bin in diesem Forum (DSM) richtig.

############################################
Status / aktuelles Wissen

Mir ist klar, dass ich für das Zertifikat eine Domäne benötige - diese ist bereits bei united-domains registiert (mydom1.org, mydom2.org)
Ich habe gelesen,
- dass in DSM 6.x der Lets Encrypt Client eingebaut ist.
- dass man unter Systemsteuerung - Sicherheit - CSR einen direkten Request an die CA Lets Encrypt senden kann
- dass zum Zeitpunkt des Requests das NAS vom Internet aus erreichbar sein muss

Frage:
Kan mir jemand sagen, ob der Request in DSM auf Basis der IP oder auf Basis des Domain Names läuft?
- wenn das NAS erreichbar sein muss, kann das im günstigsten Fall über die temporäre IP laufen, die mir mein Provider Telekom vergibt - dann muss ich Port 80 an meiner Fritzbox forwarden ans NAS, und gut.
- falls dies nicht über IP läuft, würde ich DDNS benötigen - das wird dann noch etwas aufwendiger ...

Frage:
Wie genau muss ich in DSM vorgehen ('welche Knöpfe muss ich nacheinander drücken'), um das Zertifikat zu beantragen?

Frage:
In welchen Unterforen poste ich sinnigerweise die folgenden drei Fragen:
- Was genau sollte ich bestens als "Subject Alternative Name" im Zertifikat berücksichtigen? Welche Subdomains plant man sinnigerweise gleich ein?
- Darf die im Zertifikat angegebene Email auch aus einer anderen Domäne stammen (also für mydom1.org-Zertifikat eine mail admin@andereDom.net)
- Bevor ich den Port 80 forwarde, sollte ich die DSM einem Hardening unterziehen. Was sollte ich tunlichst berücksichtigen?

und finale Frage:
Auf welche Fettnäpfchen auf meinem Weg (Zertifikatsanfrage) könnt ihr mich noch hinweisen?


Habe in den letzten Tagen viel Zeit investiert, aber der Teufel steckt im Detail.
Zumindest ermöglicht jetzt ein selbst signiertes Zertifikat, den Passwort-Manager (Keepass) zufriedenstellend für diverse PCs und Androids encrypted zu syncen.
Zudem ist es erfreulich, die DSM jetzt mit HTTPS zu bedienen.

Bin dankbar für jeden Rat der mich weiter bringt.

 

[DerFaerdder]

Hab grad noch nen Hinweis gefunden auf einen Artikel der c't 4 2018, S. 84.
Da scheint das vernünftig beschrieben zu sein - ich hoffe, dass sich dort meine Fragen lösen (DDNS ja/nein, 'fremde' Mailadresse, subject alternative name, step by step)

Wäre trotzdem dankbar für fundierten Input aus dem Forum

 

[DerFaerdder]

Links zum Hardening
https://diktiosolutions.eu/en/security/synology-hardening/ (kurze Checkliste)
https://www.wijngaard.org/hardening-access-to-your-synology-diskstation-and-prepare/ (schon älter aber ausführlich)
https://forum.synology.com/enu/viewtopic.php?t=133508 (mit Verweis auf https://www.synology.com/en-us/know...ow_to_add_extra_security_to_your_Synology_NAS )

 

[Fusion]

Die Grundvoraussetzung ist, dass die Domains die du in den Zertifikaten benutzen willst alle bis auf deine DS kommen an Port 80, da hierüber die Domain-Validierung (http-01 Challenge) mit dem LE Client auf der NAS läuft.
Ob das normal gehostete Domains oder dynDNS Domains sind ist egal, aber die Namensauflösung muss eben auf deine IP an deinem Anschluß landen (bzw. bei IPv6 direkt auf deinem NAS).
Also zuerst sollten die Domains und das DNS eingerichtet sein bevor du die Zertifikate holst.
Für den SSL verschlüsselten Verkehr sollten dann auch 443 oder andere passende Ports pro Dienst offen sein, oder im Fall von benutzerdefinierten Domains oder Reverse Proxies sich die Ports 80/443 "teilen".

Die email Adresse im Zertifikat muss nur gültig sein, einen Bezug zu den Domain Namen im Zertifikat muss nicht gegeben sein.

Die Subject Alternative Names kann man auch später noch hinzufügen, genauso wie weitere Zertifikate. Nur übertreiben sollte man es nicht, da die Anzahl an Versuchen pro Domain und pro Konot (email) begrenzt sind.
Solange man jetzt aber nicht 10 Mal am Tag umentscheidet sollte das kein Problem sein.

Die Ausstellung geht via
- Zertifikat > Hinzufügen
- Neues Zertifikat hinzufügen
- Zertifikat von Let's Encrypt abrufen
- Die Daten eintragen und OK.
Wenn sonst alles passt dann sollte das neue Zertifikat nach wenigen Sekunden auftauchen.

Unter "Konfigurieren" kann man den Zertifikatten noch die gewünschten Dienste zuweisen.
Für alle nicht anderweitig konfigurierten Dienste greift das Zertifikat welches für den Dienst "System default" oder "Systemvoreinstellung" (war glaube die Übersetzung) eingestellt ist.
Zusätzlich kann man ein Zertifikat als Standard-Zertifikat / default certificate (entweder bei der Erstellung, oder nachträglich via Rechts-Klick > Bearbeiten) setzen. Dieses wird dann (glaube ich) als gesetztes Zertifikat für alle neu hinzukommenden (neu installierte/konfigurierte) Dienste benutzt.

 

[blinddark]

Hallo, mach es dir nicht so schwer! Mal in aller Kürze:
- du richtest deine Domain als DynDNS unter Systemsteuerung, Externer Zugriff ein
- nun gehst du auf Sicherheit, Zertifikat und klickst auf Hinzufügen
- hier sagst du "Vorhandenes Zertifikat ersetzen aus und markierst das von Synology.
- nun sagst du von le importieren
- trag nun deine Domain ein und klicke auf übernehmen

Wichtig! Webstation muss installiert sein und Port 443 und 80 müssen offen sein.
Nachstehend noch eine Anleitung:
https://idomix.de/synology-diskstation-lets-encrypt-ssl-zertifikat-installieren

 

[Fusion]

@blinddark - lasst doch alle mal das Standard Synology Zertifikat in Ruhe. hihi
Speziell, wenn man noch am Anfang steht. Wenn man z.B. Zertifikate löschen will muss immer eines am Ende übrig bleiben.
Hat man das Synology Zertifikat ersetzt oder gelöscht muss man sich wieder ein neues selbst-unterzeichnetes ausstellen.
Wenn man also stark genug ist das "Werkszertifikat" von synology in der Liste stehen zu lassen stört es kein Stück.

 

[blinddark]

Ich bring es einfach nicht über mich, das Syno-eigene versauern zu lassen. ;-) Aber du hast schon recht, man kann es auch einfach stehen lassen und das von Le als Standard setzen.

 

[ottosykora]

an einer DS die wir als Testobjekt betreiben, bestellt sich jeder für seinen Bedarf wieder einen LE. Die sammeln sich halt, aber sind alle da inklusive des Syno Orig.
Schadet nicht und offenbar werden irgendwie alle vorhandenen Zert versucht wenn eine url nicht drin steht.
So habe ich eines für dies und jenes und Wordpress bezogen, mein Kollege hat nun ein bezogen in dem seine Nextcloud Baustelle steht.
Alles wird schön mit grünem Schloss bewertet.

 

[DerFaerdder]

Vielen herzlichen Dank für den schnellen und inhaltlich hochwertigen Support!!

Ich muss noch etwas nachfragen - da ich im Bereich Netzwerk nicht so firm bin, aber gern verstehen möchte was passiert.

Die email Adresse im Zertifikat muss nur gültig sein, einen Bezug zu den Domain Namen im Zertifikat muss nicht gegeben sein.

Das ist schon mal eine gute Nachricht.

Die Grundvoraussetzung ist, dass die Domains die du in den Zertifikaten benutzen willst alle bis auf deine DS kommen an Port 80, da hierüber die Domain-Validierung (http-01 Challenge) mit dem LE Client auf der NAS läuft.

Aktuell landet die Adresse http://mydom1.org auf einer Seite bei dem Provider, bei dem ich die Domain habe registrieren lassen.

Warum wird diese Seite angezeigt? Diese Seite wurde automatisch erstellt. Sie wird bei jeder neuen Domain hinterlegt und zeigt, dass die neue Domain erreichbar ist.
Ohne diese Platzhalter-Seite würden Besucher eine Fehlermeldung erhalten. Als Kunde von united-domains können Sie diese Domain in Ihrem Domain-Portfolio jederzeit selbst online konfigurieren (z.B. Web-Weiterleitungen, E-Mail-Einstellungen, Webspace hinzubuchen, DNS-Einträge ändern).

Kann also iwie einen DNS-Eintrag sogar selbst bearbeiten.
Aber ... meine Fritzbox hat keine feste IP - bin normaler 0815 Internet User.
Hätte meine Fritzbox eine feste IP, würde ich annehmen, dass ich bei united domains darum bitten könnte, die Domain zu mir umzuleiten.
Aber ohne feste IP - kann ich meine Domain überhaupt auf diese Art nutzen? Muss ich zwangsweise DDNS nutzen?
Ich nehme an, an dieser Stelle ist ein Anruf bei United Domains angesagt ...

 

[DerFaerdder]

Habe gelernt, dass United Domains kein DDNS unterstützen.
Der Rat war, mir einen Provider zu suchen, der DDNS unterstützt, und dann meine Domains umzuziehen.

Dann reden wir jetzt von mydom1.bayern und mydom1.one - meine Maildomain lass ich dann vorerst unangetastet.
(zumindest gut, dass ich im Zertifikat eine andere Domain angeben kann )
War bisher bei denen, weil ich meine Mails nicht bei Google & Co liegen haben wollte.


ALSO
Habt ihr einen Tip für
- günstiger Anbieter
- unterstützt, dass http://mydom1.bayern / http://mydom1.one dynamisch auf meine fritzbox geroutet werden

 

[Fusion]

Ich umreiße mal den einfachsten Fall der Umsetzung:

Du legst bei United Domains die Subdomain sub.mydom1.org an.
Bei einem dynDNS Dienst holst du dir eine Adresse xyz.dyndns.de (welcher Dienst das ist, ist egal. Einzig wenn du spezielle Anforderungen hast wie IPv4 und IPv6 Erreichbarkeit etc. geht es nicht mit jedem)
Persönlich nutze ich dafür dynv6.com oder spdns.de oder freedns von HE. Du kannst aber genauso gut den synology.me oder den Dienst von AVM und fritzbox nutzen.
Dann legst du in den DNS Einstellungen von sub.mydom1.org bei United Domains einen CNAME Eintrag an der "xyz.dyndns.de." als Ziel hat (der Punkt am Ende ist wichtig. Weiß aber nicht wie United Domains das handhabt und den eventuell still und heimlich in der config schreibt und man ihn eventuell nicht angeben muss)
Damit landen ALLE Aufrufe die an sub.mydom1.org gehen am Ende dort, wo auch xyz.dyndns.de landet, und das ohne dass sich die Anzeige im Browser ändert.

Das ist die 0815 Lösung für 0815 Anschlüsse mit wechselnder IP.

Und für sub.mydom1.org kannst du dir dann auf der DS ein LE Zertifikat holen.

Edit
United Domains hat zwar sachlich korrekt geantwortet, aber inhaltlich Müll, weil sie deinen Kontext, den du eventuell auch nicht erwähnt hast, nicht berücksichtigen.
Das United Domains selbst kein DDNS unterstützt tut überhaupt nichts zur Sache. Deshalb muss man keine einzige Domain umziehen.

 

[DerFaerdder]

Wohin soll ich das Bier schicken?

Ich werde das mal so probieren!

EDIT:
Gibt es 'best practice' Namenskonventionen für die Subdomain (z.B. web.mydom1.org - da http/https)?

 

[DerFaerdder]

- web.mydom1.org erstellt bei united domains.
- web-mydom1.spdyn.de host be spdyn.de erstellt

Edit
CNAME eingetragen web.mydom1.org TL 600 auf web-mydom1.spdns.de. (habe die Sterne weggelassen - korrekt?!)
Hier steht wie man DDNS in der Fritzbox einträgt
https://wiki.securepoint.de/SPDyn/Hostverwenden#Verwendung_mit_Fremdhardware

Update-String
https://update.spdyn.de/nic/update?hostname=<domain>&myip=<ipaddr>
(ich verstehe: Da wird nix reingeschrieben, das sind Variablen und ich lass das so)

 

[Fusion]

Nein Namenskonventionen kenne ich keine. Vielleicht nicht gerade satan.mydom1.org für die Bibelgruppe

 

[DerFaerdder]

Nein Namenskonventionen kenne ich keine. Vielleicht nicht gerade satan.mydom1.org für die Bibelgruppe

Muahaha !!!

 

[DerFaerdder]

So, meine Fritzbox meint jetzt:

DynDNS : aktiviert, web-mydom1.spdns.org, IPv4-Status: erfolgreich angemeldet

Wie kann ich jetzt prüfen, ob ich von http://web.mydom1.org aufgelöst werde -> web-mydom1.spdns.org -> fritz.box IP?
Sollte ich im Log der Fritz.box finden.

Edit: spdyn.de sagt bei host web-mydom1.spdns.org
Aktiv: Nein, wird durch automatisches Update aktiv
(und die Fritzbx meint, das sei schon getan)
DynDNS : aktiviert, web-mydom1.spdns.org, IPv4-Status: erfolgreich angemeldet
?

 

[DerFaerdder]

hmm ... aufruf http://web.mydom1.org mit Ergebnis: 'ERR_ADDRESS_UNREACHABLE'

DAS GEHT!!!
... dann mach ich den Port mal wieder zu an der Fritzbox.

Danke!!!

Frage: Gibts ein Log in DSM, wo ich sehen kann, was passiert? (Bin Windows-lastig und Linux-blind, noch)

 

[Fusion]

Also web.mydom1.org landet inzwischen auf der DS? Konnte dir nicht mehr ganz folgen bei der stichwortartigen Auflistung.

Es gibt viele Logs auf Linux. Das EINE Log in der DSM GUI wo du ALLES sehen kannst, gibt es nicht.

 

[DerFaerdder]

Hallo Fusion,

ja, wenn ich die Port-Weiterleitung in der Fritz.Box aktiviere, dann lande ich mit http://web.mydom1.org auf der Homepage der NAS.
Vielen herzlichen Dank für deine Hilfe - ohne dich hätte ich spätestens nach dem Anruf bei United Domains die Flinte ins Korn geworfen.

Hab den Port jetzt wieder zu gemacht - mir ist das zu heiss im Moment. Ich hab aktuell noch keine Ahnung, wie ich die DSM sinnig schütze.
Ich kann aber im Lauf des Tages dann mein Zertifikat beantragen und einspielen.
Ggf werd ich im Lauf des Abendss als finalen Post noch das gesamte Procedere zusammenfassen, für die Nachwelt.

Frage: In welchem Forum bin ich richtig zum Thema hardening?

 

[Fusion]

Wenn du die Web Station laufen hast unter der Adresse und dort auch nur Web Seiten erreichst die du als vHost oder anderweitig unterhalb von /web liegen hast, also NICHT das DSM Interface, gibt es nicht wirklich was zu härten.
Entweder der Web Server hat Sicherheitslücken, oder bekannte Lücken die Syno gestopft hat, oder keine Lücken.
Anwendungen (also der Webserver und die Webseiten oder andere Webanwendungen die du darauf laufen läßt) die von außen erreichbar sind sind immer gefährdet. Das ist Betriebsrisiko.

Wenn du indirekte Maßnahmen meinst, die beziehen sich alle auf andere Bereiche denke ich.
Also Passwörter 2-Faktor-Auth, Benutzerrechte, etc.
Einzig noch die Firewall könnte mit geo-Block etc noch was einschränken.

Ansonsten ist ja schon mal durch die Portweiterleitung nur Vekehr auf Port 80/443 der bis zum Webserver auf der DS durchkommt. Und das willst du ja, sonst wären ja die Webseiten und Anwendungen die du dort laufen lassen willst nicht erreichbar.
Nur wenn du also keine Besucher aus Russland oder China oder irgendeinem anderen Land auf den Webseiten haben willst könnte man mit der Firewall noch teilweise was erreichen (Geo-IP Blocks sind nie 100%).
Für den Rest muss eben der Webserver und die darauf laufenden Anwendungen sicher sein bzw selbst gehärtet sein, dass sie z.B. nicht alle Eingaben ungefiltert an die verwendete Datenbank oder ähnliches durchreichen. Da kannst du selbst relativ wenig tun außer auf aktuelle Versionen zu achten.

Ein explizites Sub-Forum zur Härtung gibt es nicht.