Let's Encrypt: Vorgang fehlgeschlagen. Bitte melden sie sich erneut im DSM an und ...

[Datensammler]

Hallo liebes Forum,

Ich wollte für meine DS215j ein Let's Encrypt - Zertifikat installieren. Portweiterleitungen auf 80 und 443 sind gesetzt.
Trotzdem erhalte ich die Fehlermeldung Vorgang fehlgeschlagen. Bitte melden sie sich erneut im DSM an und versuchen Sie es erneut

Da die DiskStation bereits lange in Betrieb ist und ich viele Standardports geändert habe wollte ich fragen welche Dienste und Services wie konfiguriert sein müssen, damit Let't Encrypt funktioniert.

Danke für Eure Hilfe!

 

[Andy14]

Hast du eine eignen Domainnamen oder dynDNS.
Da ich bei mir auch Port 80 nie weitergeleitet hatte, hatte ich für den auch keine Ausnahmeregel in meiner Firewall, da habe ich auch erst später dran gedacht ;-)

 

[Datensammler]

Hast du eine eignen Domainnamen oder dynDNS.

Sowohl als auch. Das Zertifikat sollte eigentlich auf diese Domain laufen.
Muss ich eigentlich im oberen Feld die Subdomain mit angeben?

Da ich bei mir auch Port 80 nie weitergeleitet hatte, hatte ich für den auch keine Ausnahmeregel in meiner Firewall, da habe ich auch erst später dran gedacht ;-)

Ich habe keine Firewall aktiv auf der DiskStation.

 

[Andy14]

In dem Feld muss genau die Adresse rein unter der deine DS dann (auf Port 80) zu erreichen ist (also bei dir wohl die Subdomain).

 

[Datensammler]

@andy14: Vielen Dank! Bin jetzt zwei Schritte weiter.

Aber nun kommt die Fehlermeldung Verbindung zu Let's Encrypt konnte nicht hergestellt werden. Achten Sie darauf, dass der Domain-Name gültig ist. Und ja die Domain ist gültig.
Wenn ich diese mit Copy&Paste in den Browser kopiere wird meine Web-Station-Startseite aufgerufen.

EDIT:

Vielleicht noch ein paar Anmerkungen zu meiner Konfiguration:
1. Meine Domäne bspw. "datensammler.net" ist bei 1&1 gehosted.
2. Ich habe für meine DiskStation eine Subdomäne "subdom" angelegt.
3. Ich habe einen DynDNS-Name bei Sylonogy registriert: bespw. datensammler.myds.me
4. Ich habe eine HTTP-Weiterleitung von sd.datensammler.net auf datensammler.myds.me bei 1&1 eingerichtet.
5. Ich trage beim Let's Encrypt-Zertifizierungsantrag bei Domainname subdom.datensammler.net und bei alternativer Name datensammler.myds.me ein.
6. Die E-Maildresse lautet admin@datensammler.net

Anmerkung: Ich habe noch ein selbst signiertes Zertifikat in meinem Zertifikatsspeicher. Chrome mag dieses nicht und spuckt Warnungen aus. Leider ist es nicht möglich dieses Zertifikat zu löschen.

Irgendwer Irgendeine Idee? Danke!

 

[Fusion]

Eventuell ist die http Weiterleitung ein Problem. Kannst du eventuell stattdessen ein CNAME setzen?

 

[Andy14]

Unter dem alternativen Namen kannst du nur weiter subdomains eintragen. (Also nur welche auf datensammler.net)
https://en.wikipedia.org/wiki/Subject_Alternative_Name

 

[Fusion]

Da sehe ich aber bei Lets Encrypt gegenteiliges
https://community.letsencrypt.org/t/multi-domain-san-certificate-and-webroot-auth/2493

Dass es via DSM GUI nicht geht glaub ich sofort.

Prinzipiell muss ja nur ein Server hinter den aufgerufenen Domains lauschen, oder ein entsprechendes "Geheimnis" zugänglich sein um auch inaktive Webseiten mit Cert ausstatten zu können.
Ist mir jetzt im DSM halt nicht aufgefallen, weil ich eh die Domains getrennt mit LE-Cert versorgt habe, der Übersichtlichkeit halber.

 

[Matis]

Ich hatte das gleiche Problem: http o. frame Weiterleitung geht nicht.
cname konnte ich bei meinem Anbieter auch nicht eintragen.
Ich habe das damit gelöst, dass ich DynDns auf die zweite Domain eingeschaltet habe, Synology datet DDNS dann ab.
Damit konnte ich ein eigenes Zertifikat für die zweite Domain von Let's Encrypt bekommen. Es ist aber ein zweites und kann nicht mit in das erste Zertifikat.
Pro Zertifikat gehen per Userinterface nur Subdomains die unter dem Hauptnamen erreichbar sind.

/var/log/messages hat mir geholfen dem auf die Spur zu kommen.


Gruß,
Matis

 

[Andy14]

Da sehe ich aber bei Lets Encrypt gegenteiliges
https://community.letsencrypt.org/t/multi-domain-san-certificate-and-webroot-auth/2493

Dass es via DSM GUI nicht geht glaub ich sofort.
...

Ahh, gut zu wissen, ausprobiert habe ich das nämlich nicht ;-)
Aber wenn ich Matis richtig verstehe dann ist das über die GUI wirklich so.

 

[Datensammler]

Eventuell ist die http Weiterleitung ein Problem. Kannst du eventuell stattdessen ein CNAME setzen?

Ja, das war es. Vielen Dank!
Nach dem Eintrag von datensammler.myds.me als CNAME-Alias war das Anlegen eines Zertifikats möglich.
Das Feld mit den alternativen Namen habe ich leer gelassen. Aber auch vor der CNAME-Konfiguration führte ein leers Feld zum o.g. Fehler.