(standart) SSL Zertifikate via cmd neu laden

[dojo]

Hallo,

wie unter https://github.com/Neilpang/acme.sh/wiki/Synology-NAS-Guide#creating-the-certificate beschrieben, erstelle ich ein neues Zertifikat und kopiere/ersetze anschließend das Standartzertifikat.
Durch den Neustart des ngnix Dienstes, sollen schließlich die Änderungen übernommen werden. Das funktioniert jedoch nur teilweise. Das Zertifkat das vom Webserver verwendet wird, wird dadurch ersetzt (Webinterface der Syno benutzt das neue Zertifikat). Allerdings hat es keine Auswirkung auf die anderen Dienste (z.B. VPN) die dieses Zertifikat nutzen.

Auch unter Systemsteuerung -> Sicherheit -> Zertifikat
ist noch das alte ersichtlich bzw. es hat sich nichts geändert.



Hat einer für mich eine Idee wie ich das Standartzertifikat austauschen kann und im Anschluss sollen alle verknüpften Dienste dieses neue auch nutzen.

Unter dem Punkt Configuring Certificate Renewal (https://github.com/Neilpang/acme.sh/wiki/Synology-NAS-Guide#configuring-certificate-renewal) wird ja erläutert wie das ganze automatisiert werden kann. Das neue Zertifikat wird bspw. auch unter "/usr/local/etc/certificate/VPNCenter/OpenVPN" abgelegt und der Dienst neu gestartet. Jedoch nutzt der Dienst nach wie vor das alte Zertifikat.

P.S. Ein Neustart der Synology hat nichts gebracht (wäre auch keine Lösung für das Problem gewesen). Die Dienste haben nach wie vor das alte Zertifikat benutzt und nur das Webinterface das neue.


Danke

Gruß

 

[Mahoessen]

Hi, rechte Maustaste auf dem neuen Zertifikat, "bearbeiten", Haken bei "als Standardzertifikat festlegen"
Die Dienste weist du dann über den Button "konfigurieren" zu.

vg

 

[dojo]

Hallo Mahoessen,

bitte nochmal genau lesen was ich vor habe.
Das Zertifikat wurde bereits teilweise importiert, sonst würde das Webinterface nicht das neue Zertifikat ausgeben.

Im Repo von acme.sh gibt es dazu schon ein Issue, da es wohl ein bekanntes Problem ist. Hier ist ein Tipp um ein Teil des Problems zu beheben: https://github.com/Neilpang/acme.sh/issues/1317#issuecomment-378645112

Nachdem man das Zertifikat im Unterordner (/usr/syno/etc/certificate/_archive/..) austauscht und nicht mehr im Hauptordner, wird es schießlich richtig im DSM angezeigt. Der OpenVPN Dienst nutzt allerdings immer noch ein altes Zertifikat und nicht das neue..

 

[dojo]

Habe die Lösung dazu gefunden und in meiner Signatur darauf verwiesen:
siehe: https://github.com/Neilpang/acme.sh/issues/1317#issuecomment-499433451

Das Thema kann geschlossen werden!

 

[blinddark]

Hast du dir somit ein Wildcard-Zertifikat erzeugt?

 

[dojo]

Sogar 4 Stück in Summe: "*.sub.my-domain.de", "*.my-domain.de", "*.sub.my-domain.info", "*.my-domain.info"

Die Wildcards benutze ich nun auf der Syno, da ich die (Sub)Domains auf diese verweise. Das "normale" Zertifikat wird vom Webhoster erstellt und liegt auf der Webseite. Das brauch ich ja nirgends wo sonst..

 

[Fusion]

Ist das wirklich ein Wildcard Cert, dass für alle Domains ala abc.my-domain.de, xyz.my-domain.de, test.my-domain.de etc gilt?
Ich war der Meinung, dass hierfür die DNS Validierung notwendig sei, bei der im DNS immer aktulisierte TXT records angelegt werden müssten.

Falls ja, dann muss ich mir das wohl mal näher anschauen.

 

[Adama]

Ich war der Meinung, dass hierfür die DNS Validierung notwendig sei, bei der im DNS immer aktulisierte TXT records angelegt werden müssten.

Das ist immer noch so, für Wildcard musst Du einen TXT record erzeugen. Das geht nur über den DNS Challenge mode:

11. Issue Wildcard certificates

It's simple, just give a wildcard domain as the -d parameter.

acme.sh --issue -d example.com -d '*.example.com' --dns dns_cf

 

[Fusion]

Ja, danke für die Bestätigung. Hab meinen eigenen Ratschlag, paar Minuten lesen bevor Nachfragen, ausnahmsweise nicht befolgt, aber in der Zwischenzeit nachgeholt.
Da muss ich erst am Domain-Hosting und DNS-Provider noch basteln oder umziehen bevor ich das mit dem Script dann angehen kann für die Wildcards.

 

[Adama]

Gerne...

Ich bin von den Wildcard-Zertifkaten wieder abgekommen, seit ich für die Devices CNAMEs eingerichtet habe. Da ein paar Sachen dabei sind, bei denen ich sowieso die Zertifikate von Hand importieren muss, aktualisiere ich die dann einfach über einen meiner Raspberries.

Er legt sie einfach auf einem Mount auf dem NAS ab und ich verteile sie dann an die Stellen, wo sie gebraucht werden.

 

[Fusion]

Hänge grad auch in so einer Zwischenlösung. Hab die Zertifikate über eine DS (weil 80/443 dort offen) und verteile sie dann von da woanders hin, wo Dienste ssl verschlüsselt auf anderen Geräten und Ports intern oder extern erreichbar sind.
Kommt Zeit, kommt Rat.