Info: Let's Encrypt Zertifikat per Aufgabenplaner und Skript automatisch aktualisieren

[DirkNe]

Zur Aktualisierung eines Let's Encrypt Zertifikates für z.B. DynDNS benötigt man die Ports 80 und 443, die bei mir per Firewall geschlossen sind.

Die Vorgehensweise ist wie folgt:

Duplizieren der Firewall Konfiguration und öffnen der beiden Ports in der Kopie. Namen "profil1geschlossen" und "profil2offen"

Per Aufgabenplaner täglich das nachfolgende Skript ausführen, das das Firewall Profil wechselt, das Zertifikat abruft und dann das Firewall Profil zurückwechselt. Die Ports sind dann nur für die kurze Zeit offen.

#!/bin/sh

# Befehl zum Ausschalten des Firewall-Profils
/usr/syno/bin/synofirewall --disable

# Befehl zum Wechseln des Firewall-Profils
/usr/syno/bin/synofirewall --profile-set profil2offen

# Befehl zum Speichern des Firewall-Profils
/usr/syno/bin/synofirewall --enable

# Pause
sleep 10

# Zertifikat erneuern
/usr/syno/sbin/syno-letsencrypt renew-all

# Pause
sleep 30

# Befehl zum Ausschalten des Firewall-Profils
/usr/syno/bin/synofirewall --disable

# Befehl zum Wechseln des Firewall-Profils
/usr/syno/bin/synofirewall --profile-set profil1geschlossen

# Befehl zum Speichern des Firewall-Profils
/usr/syno/bin/synofirewall --enable

 

[JohneDoe]

Mit der Firewall ist das doch nicht getan. Die Ports müssen doch auch im Router geöffnet werden. Ansonsten würde ich immer DNS Challenge (acme.sh oder certbot) vorziehen, wenn ich keine Ports öffnen will.

 

[wegomyway]

Ich hab nur 443 und nix weiter. Script läuft und hat oft genug automatisch "gewerkelt".

 

[JohneDoe]

@wegomyway du verwendest wahrscheinlich auch synology.me oder? Da braucht man keine offnen Ports zum verlängern.

 

[plang.pl]

Jap. Man braucht nur bei nicht Synology Domains einen Port zu öffnen oder dann gleich auf acme.sh setzen. Da ist das auch nicht nötig.

 

[Hagen2000]

acme.sh

… in Verbindung mit DNS-01 Challenge braucht man keinen Port öffnen, bei HTTP-01 Challenge doch schon?

 

[JohneDoe]

Genau... Man muss nur bei DNS Challenge keine Ports öffnen. Wenn man weiterhin HTTP Challenge nutzt, dann müssen die Ports natürlich auf sein.