Zertifikate für Services im LAN (automatisch erneueren)

[thomasmagnum]

Hallo zusammen,

ich habe eine Frage wie ich mein Vorhaben am Besten bzw. geschicktesten umsetzen könnte.

Folgende Situation:
Ich habe einige Services auf meiner DS1621+ als Docker Container laufen. Einige Dienste davon habe ich per Reverse Proxy von aussen her erreichbar gemacht. Zu den extern erreichbaren Services habe ich jeweils ein Let's encrypt Zertifikat. Meine Domain ist bei Febas registriert und ich leite diese per CNAME an einen DynDNS (SPDNS) weiter. Das klappt auch alles. Die Aktualisierung der Zertifikate führe ich via Skript, das den Port 80 auf der FritzBox öffnet und dann eine Aktualisierung durchführt, durch.

Jetzt möchte ich einige Services nur im LAN nutzen, diese aber auch per Zertifikat bzw. Sub Domain zugänglich machen. Da ich hier keine eigene Sub Domain bei Febas anlegen will und auch für die Erneuerung keine Weiterleitung meiner Sub Domain anglegen will, frage ich mich was ich hier zur Lösung unternehmen kann. Die LAN interne Namensauflösung könnte ich ja per Pi-Hole oder ähnlichem vornehmen, nur wie kann ich den Prozess der Zertifikatserneuerung automatisieren ohne die besagte Weiterleitung der Sub Domain auf den Dyn DNS Namen einzurichten?

Ich habe schonmal das Thema acme.sh überflogen, habe aber Febas nicht in der Liste der unterstützten Dienste gefunden, könnte ich das trotzdem irgendwie nutzen?

Ich würde mich sehr über Vorschläge / Erklärungen freuen.

Gruß, Thomas

 

[patrickn]

Den Synology DynDNS Dienst nutzen.
Den kannst du auf die Lokale IP stellen, und Zertifikaterneuerung funktioniert ohne, dass die DS von aussen erreichbar sein muss.

 

[plang.pl]

Ich mache das so: Zertifikate werden auf der DS mit acme.sh erneuert (DNS-Challenge). Ebenso machen meine Proxmox-Hosts und der Proxmox Backup Server eine Erneuerung mittels acme.sh. Alle anderen Dienste laufen über den zentralen Reverse Proxy (nginx Proxy Manager), der wiederum seine Zertifikate mit CertBot aktualisiert. Für keine der genannten Varianten ist eine Portweiterleitung erforderlich

 

[thomasmagnum]

Danke für eure Rückmeldungen, leider ist noch nicht der wirkliche "Aha-Effekt" eingetreten.
Febas stellt leider keine API zur Verfügungm, so das ich die Erneuerung der Zertifikate dann auch gleich komplett manuel durchführen kann.

Ich hatte gehofft es gibt da elegante Möglichkeiten der Erneuerung. Mal schauen, wenn mein Vertrag bei Febas ausläuft ob ich die Domain dann ggf. umziehe.

 

[plang.pl]

Wenn du da noch nach einem "gescheiten" Anbieter suchst, kann ich netcup empfehlen. Die haben immer mal wieder Angebote, wo man sich ne .de Domain für wenige Euros pro Jahr schießen kann inkl. Wildcard DNS und Cert + API mit acme.sh. Support ist auf Zack.