OK, ein acme kompatibler Dienst klingt wie etwas, das für diesen Zweck passend wäre. Was wäre denn ein acme-kompatibler Dienst, gibt es da etwas fertiges für Ubuntu?
Au mann, jetzt lässt das Forum kein .tar.xz als Endung beim Hochladen zu. Na gut, dann zip. Ich zeige mal, wie ich das per API bei hosting.de hole. Ist aber unspektakulär, denke ich. certbot muss installiert sein. Domain bei hosting.de reservieren. Einmalig wildcard_get.sh (domainname) aufrufen, und das Zertifikat funktioniert dauerhaft.
Ist die Frage, wie ich das ersetze durch etwas, das mir eigenständig das wildcard-Zertifikat holt und ein acme-kompatibler Dienst ist. Aber als ich das eingerichtet habe, habe ich da überhaupt nichts gefunden.
Alternative wäre sowas wie beispielsweise ein git-Repository, in das man das aktuelle Zertifikat pusht. Alle Server/Dienste, die das Wildard-Zertifikat benutzen sollen, machen git pull und wenn sich was geändert hat, ein Reload auf alle Dienste, die das Zertifikat benutzen.
Wobei, das kann mir durchaus helfen. Ich habe das Problem mit DANE, dass das Zertifikat nicht sofort deployt werden soll, sondern erst nach der TTL des MX-Eintrags im DNS. Das kann LE derzeit nicht implementieren, deshalb wird da wild getrickst. Ich behelfe mir bisher, indem der renewal-hook post für MX-relevante Dienste beispielsweise so aussieht:
prompt# cat 00_reload_postfix.sh
#!/bin/bash
echo "systemctl reload postfix"| at now+1day
Das hilft aber nicht, wenn der Server oder Dienst aus einem anderen Grund neu startet. Dann ist ggf mein Mailempfang kaputt bis die TTL um ist. Lasse ich das die Synology machen und deploy das neue Zertifikat erst nach der TTL (oder ein Tag später, das tut auch), dann habe ich diese Sicherheit gewonnen.
@Ronny1978 Wenn ich eine Lösung habe, kann das dir auch helfen. Die Situation ist vergleichbar. Aber erst mal will ich wissen, was die sinnvolle Herangehensweise ist.
