Problem mit Reverse Proxy und Let´s Encrypt Zertifikat

[Reismann]

Schönen guten Morgen,

ich hoffe ich bin hier richtig für meine Frage. Ich habe schon mehrfach die Suchfunktion bemüht, aber keinerlei ähnliche Themen gefunden.
Falls ich hier falsch bin, verweist mich bitte an die richtige Stelle. Ich würde mich freuen

Zu meinem Problem:

Ich nutze seit geraumer Zeit folgende Konstellation:
Zugriff per Remote Proxy auf diverse Dienste der Diskstation und andere Server in meinem Internen Netzwerk über Subdomains von außerhalb.

Subdomain1.MeineDomain.de --> Diskstation
Subdomain2.MeineDomain.de --> Filestation
Subdomain3.MeineDomain.de --> Webserver 1
Subdomain4.MeineDomain.de --> Webserver 2
Subdomain5.MeineDomain.de --> Surveillance Station

Für jede Domain hatte ich ein eigenes Let´s Encrypt Zertifikat über das UI der Diskstation automatisch installiert.
Auch die automatische Portweiterleitung von http zu https war eingestellt und hat anstandslos funktioniert.

Monatelang war ich mit dieser Konfiguration glücklich. Es hat alles funktioniert.

Jetzt stand die regelmäßige aktualisierung der Let´s Encrypt Zertifikate an und ich bekam folgendes Problem:

Erneuern der Zertifikate für Subdomain 3 & 5 verlief ohne Probleme. Die anderen Zertifikate können nicht erneuert werden da der Webserver nicht erreichbar ist. Ich hatte vor einiger Zeit schon mal das Problem, dass das Erneuern nicht funktionierte. Also habe ich die Zertifikate gelöscht und versucht neue anzulegen. Auch ohne Erfolg. Immer war der Server nicht erreichbar. Erneuern und neu ausstellen der Zertifikate für Subdomain 3 & 5 klappt aber immer anstandslos.

Ich habe alle Subdomains mehrfach verglichen. Alle verweisen per CNAME auf die gleiche Adresse. Auch die Reverse Proxy Einstellungen sind korrekt und funktionieren wie sie sollen. (Ich kann per https://Subdomain1.MeineDomain.de auch auf die Diskstation zugreifen, nur eben mit Zertifikatswarnung) Lediglich die automatische Umleitung der http Verbindung zu https funktioniert für die betroffenen Subdomains auch nicht.

Ich verzweifel so langsam... auch neu angelegte subdomains kann ich nicht mit einem Zertifikat versehen.

Kennt irgendjemand dieses Problem, und kann mir dabei helfen es zu lösen?

Bin für jeden Tipp dankbar.

Viele Grüße,
Reismann

 

[Fusion]

Die Zertifikate werden ja für die Reverse Proxies ausgestellt, ob der Dienst auf den du dahinter weiterleitest erreichbar ist, ist in dem Fall egal.
Die SSL Verbindung wird hier ja an der ersten DS mit den Reverse Proxies terminiert. Falls die Weiterleitung per https erfolgt wird hier eine zweite SSL Verbindung zwischen Proxy und Ziel aufgebaut.

Hast du mal auf den Konsole die Erneuerung probiert mit debug Ausgabe?
/usr/syno/sbin/syno-letsencrypt renew-all -vv

Die https Umleitung würde ich rausnehmen und lieber die Hosts mit HSTS betreiben. Sorgt auch für SSL Zwang, aber macht nach meiner Erfahrung weniger Probleme.

Eventuel hilft auch mal Reverse Proxy einträge zu löschen und neu anzulegen und nochmal zu kontrollieren, ob auch Port 80 weitergeleitet ist.
Weiß nicht welchen Router du hast, aber z.B. bei der Fritzbox kam es mehr als einmal vor, dass augenscheinlich korrekte Einträge nicht mehr wirksam waren, bis die Weiterleitung gelöscht und neu angelegt war.

Ansonsten kannst du mir, wenn du willst, auch mal eine der Subdomains für die es nicht mehr funktioniert per PN schicken, dann würde ich mal schauen, ob ich was sachdienliches hier von außen feststellen kann.

 

[Reismann]

Vielen Dank für deine ausführliche Antwort. Hier ein paar Antworten auf deine Fragen und ein paar weitere Details:

- Ich bin leider kein Experte, was die Konsole betrifft. Ich habe mich per PuTTY auf der DIskstation angemeldet und den Befehl ausgeführt. Nichts ist passiert. Muss ich die Debug Ausgabe noch irgendwo einstellen?

- https Umleitung habe ich in der DS rausgenommen. Die Haken bei HSTS im reverse Proxy sind gesetzt. Meintest du das so? Hat mein Problem zwar auch nicht gelöst, aber gut zu wissen das es auch so funktioniert.

- Reverse Proxy Einträge habe ich schon mehrfach gelöscht und neu erstellt. Sie funktionieren ja auch wie sie sollen, nur ich bekomme kein Zertifikat dafür eingerichtet. Auch die Portfreigaben an der Fritzbox habe ich gelöscht und neu eingerichtet.

Was mich stutzig macht ist die Tatsache, dass es ja bei zwei Subdomains funktioniert, und beim rest nicht, obwohl ich auch bei diesen Subdomains beim richtigen Ziel lande.

 

[Fusion]

Auf der Konsole musst du vermutlich zuerst auf root wechseln. Also nach dem einloggen mit einem Konto in der Admin Gruppe oder mit "admin" ein "sudo -i" ausführen und nochmal blind das Passwort eintippen.
Sichtbar ist der Wechsel an dem Teil der links neben der Eingabe steht.

ja, hsts habe ich so gemeint wie von dir beschrieben

Bei welchem Ziel du landest ist wie gesagt egal, weil der Reverse Proxy ja schon davor sitzt und auch dort schon die SSL Verbindung beendet bzw die Domainprüfung abfängt.
Fällt mir gerade leider nichts weiter ein.