DSM 7.3 https-Fehler trotz Zertifikat

[Verwirrter0815]

Hallo,

seit kurzem kommt beim Aufruf der NAS über die IP-Adresse https://192.168.178.xx:5001 die Fehlermeldung „Sicherheitsrisiko“ „net::ERR_CERT_COMMON_NAME_INVALID“.

Daraufhin habe ich gemäß Synology-Anleitung https://www.youtube.com/watch?v=T8s_OUTwgXo ein neues Let's Encrypt Zertifikat generiert und als Standard eingerichtet.

Die Fehlermeldung ist immer noch da.

Unter Details bei der Fehlermeldung erscheint

„Dieser Server konnte nicht nachweisen, dass es sich bei ihm um 192.168.178.xx handelt. Das Sicherheitszertifikat stammt von xx.myds.me.“

Kann man nachträglich bei dem Zertifikat die IP-Adressen hinzufügen?

 

[Rotbart]

Nein, du kannst normalerweise kein Zertifikat mit einer IP verbinden.
Was du machen kannst:
- damit leben
- deine DS über ihren Namen xx.myds.me ansprechen.
Da das Thema hier laufend kommt findest du bestimmt in der Forensuche weitere Infos.

 

[joku]

Richte in dem Browser eine Ausnahme ein, damit diese Fehlermeldung nicht mehr erscheint.

 

[Adama]

Nein, du kannst normalerweise kein Zertifikat mit einer IP verbinden.

Das ist so nicht ganz richtig, das geht schon:
https://letsencrypt.org/2025/07/01/issuing-our-first-ip-address-certificate

 

[patrickn]

Aber nicht für interne IP Adressen und mit einer dynamischen IP Adresse macht das auch überhaupt keinen Sinn, also für den normalen Kunden/Nutzer ohne feste IP Adresse eigentlich völlig irrelevant

 

[heavy]

Wer erneuert schon alle 6 Tage sein Zertifikat nur damit es auf eine IP ausgestellt ist. @Adama . Aber ja es geht.

 

[JohneDoe]

Wer erneuert schon alle 6 Tage sein Zertifikat

Leute wo das automatisch passiert. Mit ist es egal wie lange ein Zertifikat gültig ist. Ich bekomme davon eh nichts mit. Und wenn das System das täglich erneuert ist es mir doch egal...

Edit: https://letsencrypt.org/2025/02/20/first-short-lived-cert-issued hat auch Vorteile wie LE hier schreibt....

 

[patrickn]

...und dann aktualisiert man jedes Mal auch seine IP in den Anwendungen, wenn sich die wieder ändert?

Macht meiner Meinung nach immer noch keinen Sinn für dynamische IP Adressen. Außer mal zum testen, wenn man etwas verschlüsseltes will, aber nicht gleich ein dyndns/Domain einrichten möchte.

Wie dem auch sei, nette Info (wusstet ich bisher auch nicht, danke dass heise sich von Twitter "verabschiedet" hat) aber letztlich hilft das dem TE auch nicht, ein valides Zertifikat für 192.168.x.x wird's dadurch auch nicht geben, da ist weiterhin manuell absegnen angesagt

 

[JohneDoe]

Ich bezog mich nicht auf die IPs, sondern nur auf die Aussage wer alle 6 Tage Zertifikate erneuert. Und der Link ist auch nicht für Zertifikate für IPs. LE führt short living certs ein. Also für Domains. Statt 90 Tage nur noch 6 Tage gültig.

 

[Adama]

Aber ja es geht.

Mehr wollte ich damit auch gar nicht aussagen. Es wird ja immer wieder behauptet, das ginge nicht, was so halt nicht korrekt ist.

Und es wird sicher auch nicht für dynamische Adressen genutzt.

Und grundsätzlich wird auch die Zeit für "normale" Zertifikate bei LE von 90 auf 45 Tage verringert:
https://www.heise.de/news/Web-PKI-L...it-von-Zertifikaten-auf-45-Tage-11100233.html

P.S. Diesen Artikel finde ich zum Thema IP-basierte Zertifikate interessant:
https://www.uptimia.com/de/questions/kann-man-ssl-zertifikat-fuer-ip-adresse-statt-domain-name-haben

 

[patrickn]

Naja, ging bisher bei LE auch nicht, sondern ist relativ neu und wusste ich bisher auch nicht.

Aber ja, gegen Zertifikate für IP Adressen hat nichts gesprochen, das geht. Nur bei LE bisher halt nicht.