Externer Zugriff, https und vorhandenes Zertifikat für eigene Domain/Sub-Domain

[BlackGuest]

Hallo Forengemeinde,

Ich habe mir eine DS218+ zugelegt. Haupteinsatzzweck: Datenserver in einem kleinen Firmennetzwerk.
Den externen Zugriff möchte ich über https per WebDAV realisieren und die Freigaben als Netzlaufwerke einbinden.

Für HTTPS brauche ich aber ein gültiges Zertifikat. Bin bei 1und1 und habe für meine Domain und für alle Subdomains ein gültiges, was ich nutzen könnte/will.

Für meine Tests verwende ich jetzt erst einmal die DSM Oberfläche über Port 5001. Der ist im Router frei geschaltet.
DDNS verwende ich von Synology. Der Zugriff per "https://MeinName.synology.me/5001" funktioniert, nachdem ich eine Sicherheitsausnahmeregel erstelle.

Jetzt habe ich zu meiner Domain eine Subdomain "nas.MeineDomain.de" angelegt. Wenn diese auf den Webspace zeigt, dann habe ich das grüne Schloss, also eine zertifizierte verschlüsselte Verbindung.
Trage ich als CNAME "MeinName.synology.me" ein und rufe das Ganze mit "https://nas.MeineDomain.de:5001" auf, dann geht´s auch nur weiter, wenn ich eine Ausnahmeregel erstelle. Also keine zertifizierte Verbindung...

Was mache ich falsch, bzw. wo liegt mein Denkfehler? Bei dem Vorgehen muss doch das Zertifikat nicht auf die DS218+ oder ist das das Problem?

Sorry, wenn die Fragen schon beantwortet wurden. Habe aber jetzt schon eine Ewigkeit gesucht und nicht das passende gefunden...

Beste Grüße
BlackGuest

[Edit] Nach gründlichem Nachdenken bin ich zu folgendem gekommen:
Der Aufruf wird auf die DS218+ weiter geleitet. Diese muss dann das Zertifikat liefern, eigentlich logisch. Das geht mit dem zertifikat von 1und1 aber nicht, weil ich die Infos dazu nicht runter laden kann...
Wenn ich mir ein zusätzliches Zertifikat bei Let´s Encrypt austellen lasse, dann sollte es funktionieren oder?
Kann ich leider erst morgen testen. Router steht in der Firma und Port 80 ist nicht freigeschaltet.

 

[Fusion]

Ja, und ja, und ja bezüglich deines erkannten Denkfehlers und deinen Schlußfolgerungen im Edit.

Der Client schaut nur im DNS nach und findet für nas.meineDomain.de ein CNAME Eintrag der auf die IP deiner dynDNS verweist.
Der Verbindungsaufbau erfolgt dann direkt vom Client zum Ziel, End to end verschlüsselt. Der Webserver deines Hosters wird dabei gar nicht kontaktiert (und damit sind auch dortige Zertifikate total irrelevant).
Die in letzter Zeit via LE verfügbaren Zertifikate bei vielen Hostern sind eben nur für dort gehostete Inhalte gedacht.

 

[BlackGuest]

Hallo Fusion,

ja, war ein Denkfehler. Hatte damit bisher noch nie was zu tun gehabt.
Heute den Port 80 frei geschaltet und ein neues Zertifikat ausstellen lassen.

Siehe da, kaum macht man es richtig, schon funktioniert´s.

Läuft super und auch recht flott. Jetzt kann ich zu Hause arbeiten, wie in der Firma! Einfach genial!