Lets Encrypt automatisch erneuern ohne Portfreigabe

[Swp2000]

Hallo zusammen,

es ist wohl möglich seine Lets encrypt Zertifikate automatisiert mit acme.sh erneuern zu lassen ohne irgendwelche Ports öffnen zu müssen.
Kann mir jemand Schritt für Schritt erklären was hier zu tun ist?
Ich habe schon im Container Manager geschaut, da würde es ein Paket für acme.sh geben, ist dies zu empfehlen?

Besten Dank für Eure Unterstützung.

 

[Kachelkaiser]

Da bist auf der richtigen Spur. Ich nutze den Container auch seit langer Zeit

Such mal hier im forum oder auch oder Google. Da gibts jede Menge Anleitungen dazu.

 

[King3R]

Wie @Kachelkaiser schon geschrieben hat, liegst du mit dem Docker Container für acme.sh schon richtig. Weiterhin benötigst du noch einen Domain-Verwalter, der es dir erlaubt auf seine DNS-Verwaltung per API zuzugreifen. Somit kannst du dann das Zertifikat per DNS-01 ausstellen bzw. erneuern lassen. Dafür sind keine Portfreigaben notwendig. Danach musst du noch dran denken, die Zertifikate per Deploy-Script auf die Diskstation zu übertragen.

Ich hatte das länger zusammen mit dem Reverse Proxy der Diskstation am laufen und war auch ganz zufrieden damit. Mittlerweile habe ich aber auf Zoraxy als Reverse Proxy umgestellt. Dieser kümmert sich um die Zertifikate (inkl. Wildcard) und den Zugriff von außen. Dafür sind im Router nur die Ports 80 und 443 freigegeben.

 

[JohneDoe]

Stichwort ist DNS Challenge statt HTTP cha

 

[Kachelkaiser]

Bei welchem Anbieter hast denn deine Domains?

 

[King3R]

Meine Domains laufen bei hosting.de … weiterhin zu empfehlen wäre noch inwx.de …

 

[Kachelkaiser]

Oder netcup

 

[JohneDoe]

Der Domainanbieter an sich ist egal. Man kann die Nameserver ja ändern, wenn der Anbieter selber nicht bei der API kompatibel ist

 

[patrickn]

Auch das muss der Anbieter erstmal anbieten

 

[chle]

es ist wohl möglich seine Lets encrypt Zertifikate automatisiert mit acme.sh erneuern zu lassen ohne irgendwelche Ports öffnen zu müssen.

Ich kenne deinen konkreten Anwendungsfall nicht. Wenn du nur einen 80er-port für mehrere Server hast und die standardmäßig nur die http-Challenge können: IPv6 kann dir da helfen. Ich habe 2 Synos und die erneuern seit Umstellung IPv6 automatisch ohne zusätzlichen Skript.
Bzgl Provider werfe ich noch HETZNER in den Topf: Hat eine DNS-API

 

[Swp2000]

Bei welchem Anbieter hast denn deine Domains?

Bin bei strato.
Einen ipv6 Anschluss habe ich nicht.
Der einzige Port der hier offen ist, ist der 443.

 

[*kw*]

Und wenn du die Domain nur intern benötigst, wie @Kachelkaiser schon schrieb: netcup.

de-Domain im Angebot für 13ct/mtl. (regulär 42ct), reicht für DNS-Challenge, kein Webhosting notwendig.

 

[Swp2000]

Nein, ich habe noch eine Mailadresse zur Domain, daher wird das benötigt. finde den Preis fair.

 

[ctrlaltdelete]

Schau mal hier:
https://www.christosgeo.com/2022/02/03/renew-lets-encrypt-certificates-on-synology-using-acme-sh/
https://github.com/acmesh-official/acme.sh/blob/master/deploy/synology_dsm.sh
Was für einen Proxy nutzt du denn?

 

[Swp2000]

Ich nutze keinen Proxy, oder was meinst du?
Ich aktualisiere alle 90 Tage manuell.

 

[JohneDoe]

Ich glaube er meint Reverse Proxy. Viele können sich nämlich um die Zertifikate selber kümmern. Da musst du nichts mehr manuell machen

 

[Swp2000]

Achso, ja den Reverse Proxy verwende ich für Vaultwarden.

 

[JohneDoe]

Die Frage war da eher, welchen

 

[ctrlaltdelete]

Den im DSM integrierten Reverse Proxy?

 

[Swp2000]

Den im DSM integrierten Reverse Proxy?

Sorry, ja den integrierten von DSM