Beschriftung |
Wert |
Beschreibung
|
ACME-Zertifikat hinzufügen
|
ACME-Zertifikat hinzufügenUTM Dialog Bereich Zertifikate Schaltfläche ACME-Zertifikat hinzufügen
|
Name |
acme_ttt-Point |
Name zur Identifizierung des Zertifikates
|
Schlüssellänge: |
2048 |
Schlüssellänge des Zertifikates. Mögliche Werte:
|
ACME Account |
Let's Encrypt |
ACME Account der verwendet werden soll
|
|
Subject Alternative Name konfigurieren mit SAN hinzufügenSubject Alternative Name hinzufügen
|
Subject Alternative Name |
»ttt-point.spdns.org |
Der Subject Alternative Name (SAN) wird im Zertifikat hinterlegt und entspricht der aufgerufenen URL
|
Subject Alternative Name hinzufügen
|
»*.ttt-point.spdns.org |
Es können auch Wildcard-SANs verwendet werden. Für die Verwendung mit einem Captive Portal werden Wildcard-Zertifikate benötigtWird für das Captive Portal im Nameserver eine Forward-Zone benötigt und für diese dann ein A-Record eingetragen, wird dieser nicht mehr im öffentlichen DNS aufgelöst. Die Überprüfung und Verlängerung eines ACME-Zertifikates auf diesen Namen schlägt dann fehl.
|
Alias |
ttt-point.spdns.org |
Ist der SAN ein spDYN Hostname wird er automatisch als Alias übernommen. (Auch bei Wildcard-Domännen ohne * )
|
Token |
••••••••••••• |
Der Token aus dem spDYN-Portal (s.o.) belegt dem ACME-Dienst, daß man über den Hostnamen verfügen darf. zeigt den Token an. Beim Einfügen des Tokens aus der Zwischenablage kann es vorkommen, daß vor oder nach dem eigentlichen Token Leerzeichen enthalten sind. Diese müssen entfernt werden
|
|
Konfiguration prüfen Konfiguration prüfen
|
Status
|
Noch nicht geprüft
|
Vor der eigentlichen Generierung des Zertifiaktes muss zunächst die Konfiguration geprüft werden. Dies erfolgt durch einen Klick auf die Schaltfläche Konfiguration prüfen.
|
|
initialisieren Initialisiert |
Die Überprüfung kann mehrere Minuten in Anspruch nehmen. Dabei wird der Dialog regelmäßig aktualisiert.
|
Gültig |
Ist die Überprüfung erfolgreich wird der Status Gültig angezeigt.
|
DNS Fehler |
Mögliche Ursachen:
- falscher Token
- DNS Auflösung gestört
- Zonen Weiterleitung im DNS konfiguriert
- lokale DNS-Zone im DNS konfiguriert
- Falls im Nameserver der UTM eine Zone für eine Domain liegt, welche auch das ACME-Zertifikat nutzt, schlägt die DNS Auflösung fehl. Lösung: Für diese Zone einen CNAME-Eintrag für diese Domain erstellen.
• Unter Menu/Anwendungen/Nameserver/Zonen nach der Zone suchen • auf Bearbeiten klicken • Im Fenster auf +Eintrag hinzufügen klicken • unter Name: einen passenden Namen eintragen • bei Typ: CNAME auswählen • bei Wert: die Domaine eintragen
|
|
Subject Alternative Name für eine externe DNS-Zone konfigurieren mit SAN hinzufügenSAN für externe DNS-Zone hinzufügen
|
Subject Alternative Name |
ttt-point.anyideas.org |
Der Subject Alternative Name (SAN) aus der externen DNS-Zone |
|
Alias |
ttt-point.spdns.org |
Der Alias muss auch für die externe DNS auf den spDYN Namen lauten.
|
DNS-Provider |
Beim DNS-Provider, der die externe Zone hostet (hier: ttt-point.anyideas.org) muss ein zusätzlicher CNAME-Record mit dem Prefix _acme-challenge und dem anschließenden Hostnamen angelegt werden und entsprechend auf den zugehörigen spDYN-Record mit vorangestellten _acme-challenge verwiesen. _acme-challenge.ttt-point.spdns.org. (Mit "." am Ende!)
Ein beispielhafter Auszug aus einem Zonefile für die Konfiguration der beiden Hostnamen mx.ttt-point.de und exchange.ttt-point.de sieht wie folgt aus:_acme-challenge.mx.ttt-point.anyideas.org. IN CNAME _acme-challenge.ttt-point.spdns.org.
_acme-challenge.exchange.ttt-point.anyideas.org. IN CNAME _acme-challenge.ttt-point.spdns.org. Der Hostname muss im öffentlichen DNS auflösbar sein. Die Erstellung von Zertifkaten für .local, .lan, etc. Zonen ist nicht möglich.
Die UTM muss den Hostnamen über externe Nameserver korrekt auflösen können. notempty Ist die interne und die externe/öffentliche Domain identisch, sollte ein Wildcard-ACME-Zertifikat verwendet werden. Beispiel: Hostname für das Captive Portal: portal.ttt-point.de → ACME Zertifikat: *.ttt-point.de
|
|
Konfiguration prüfen |
Weitere SANs können hinzugefügt und geprüft werden, solang die Schaltfläche noch nicht betätigt wurde. |
|
|
Status |
Gültig |
Sind alle benötigten SAN erfolgreich geprüft, kann das Zertifikat gespeichert werden. |
|
|
notempty Nach dem Speichern des Zertifikates lassen sich keine Änderungen mehr vornehmen. Es kann lediglich bei bestehenden SANs der Alias und der Token geändert werden.
Werden zusätzliche oder andere SANs benötigt muss ein neues Zertifikat angelegt und das Bestehende widerrufen werden.
|
|
Erstellung des ACME ZertifikatesErstellung des ACME Zertifikates
|
|
Wurden die vorherigen Schritte erfolgreich abgeschlossen wird durch einen Klick auf Speichern der eigentliche Prozess zur Validierung und Generierung des Zertifikates angestoßen.
Dieser Vorgang kann einige Zeit in Anspruch nehmen. Um den Status zu aktualiseren ist der Dialog manuell neu zu laden.
|
|
|
|
Folgende Statuswerte können auftreten
|
Status |
Beschreibung |
Hinweis / Fehlerbehandlung
|
Gültig |
Das ACME Zertifikat ist gültig |
|
Noch nicht überprüft |
Das ACME Zertifikat muss noch überprüft werden |
|
Interner Fehler |
Ein interner Fehler ist aufgetreten |
Mögliche Ursachen:
- Kaputte Hardware
- Softwarefehler
- Konfigurationsfehler
|
Verbindungsfehler |
Keine Verbindung möglich/vorhanden |
Die Verbindungseinstellungen überprüfen
|
Ungültig |
Das ACME Zertifikat ist ungültig und kann nicht verwendet werden |
|
DNS-Fehler |
Ein DNS-Fehler ist aufgetreten |
Mögliche Ursachen:
- falscher Token
- DNS Auflösung gestört
- Zonen Weiterleitung im DNS konfiguriert
- lokale DNS-Zone im DNS konfiguriert
- Falls im Nameserver der UTM eine Zone für eine Domain liegt, welche auch das ACME-Zertifikat nutzt, schlägt die DNS Auflösung fehl. Lösung: Für diese Zone einen CNAME-Eintrag für diese Domain erstellen.
• Unter Menu/Anwendungen/Nameserver/Zonen nach der Zone suchen • auf Bearbeiten klicken • Im Fenster auf +Eintrag hinzufügen klicken • unter Name: einen passenden Namen eintragen • bei Typ: CNAME auswählen • bei Wert: die Domaine eintragen
|
Widerrufen |
Das ACME Zertifikat ist widerrufen worden |
Entweder wurde es manuell widerrufen, oder es hat seine Gültigkeit verloren. Zum Beispiel ist das ACME Zertifikat ausgelaufen und wurde nicht verlängert.
|
Initialisieren |
Die Überprüfung des ACME Zertifikats wird eingeleitet |
Dies kann mehrere Minuten in Anspruch nehmen. Der Status wird regelmäßig aktualisiert.
|
Aufgeschoben |
Die Überprüfung des ACME Zertifikats wird verschoben |
Die Aktualisierung des Status wird einige Zeit in Anspruch nehmen, da das Limit der Anfragen bereits erreicht wurde
|
Initialisiert |
Das ACME Zertifikat wird überprüft |
Die Überprüfung des ACME Zertifikats wird eingeleitet
|
|