Wechseln zu:Navigation, Suche
Wiki






























Unterstützung von ACME Zertifikaten (Let's Encrypt)

Letzte Anpassung zur Version: 12.1

Vorherige Versionen: -

Neu

  • Unterstützung von ACME Zertifikaten (Let's Encrypt) in v12


ACME Zertifikate (Let's Encrypt)

ACME Dienst aktivieren

ACME Dienst aktivieren

Um ACME Zertifikate nutzen zu können muss der Dienst im Reiter ACME zunächst aktiviert werden

  • ACME-Dienst Ein Dienst aktivieren
  • Sobald der Dienst aktiviert wurde, wird der Link zu den Nutzungsbedingungen geladen und es lassen sich die Einstellungen aufrufen
  • Mit der Schaltfläche Aktivieren Ja und dem hinterlegen einer E-Mail Adresse für Benachrichtigungen durch den ACME Dienstanbieter (hier: Let's Encrypt) lassen sich die Angaben Speichern
  • Daraufhin wird ein Dialog eingeblendet mit einem Link zu den Nutzungsbedingungen, die akzeptiert Ja werden müssen.

Token generieren

Token generieren

spDYN Für die Erzeugung der Zertifikate ist zunächst der ACME-Token im spDYN Portal zu generieren.
Innerhalb des spDYN-Portals ist der entsprechende Host zu öffnen.

  • spDyn Host aufrufen
  • Im Dropdown Menü für Token den ACME Challenge Token wählen
  • Token generieren
    Der Token wird einmal bei der Generierung angezeigt und kann nicht erneut angezeigt werden.
    Der Token sollte notiert und sicher aufbewahrt werden.


ACME-Zertifikate

ACME-Zertifikate

Nach Abschluss der vorherigen Schritte kann nun das eigentliche Zertifikat erzeugt werden. Ein Klick auf ACME-Zertifikat hinzufügen öffnet den entsprechenden Dialog.

Beschriftung: Wert: Beschreibung:

ACME-Zertifikat hinzufügen

UTM Dialog → Authentifizierung →ZertifikateReiter Zertifikate Schaltfläche ACME-Zertifikat hinzufügen
UTM v12.1 Zertifikate ACME hinzufügen.png
ACME-Zertifikat hinzufügen
Name ttt-Point Name zur Identifizierung des Zertifikates
Schlüssellänge: 2048 Schlüssellänge des Zertifikates. Mögliche Werte: 1024 / 2048 (default) / 4096
ACME Account Let's Encrypt ACME Account der verwendet werden soll
Subject Alternative Name konfigurieren mit SAN hinzufügen

Subject Alternative Name hinzufügen

Subject Alternative Name ttt-point.spdns.org Der Subject Alternative Name (SAN) wird im Zertifikat hinterlegt und entspricht der aufegrufenen URL UTM v12.1 Zertifikate ACME SAN.png
Subject Alternative Name hinzufügen
Alias ttt-point.spdns.org Ist der SAN ein spDYN Hostname wird er automatisch als Alias übernommen.
Token ••••••••••••• Der Token aus dem spDYN-Portal (s.o.) belegt dem ACME-Dienst, daß man über den Hostnamen verfügen darf.
zeigt den Token an.
Beim Einfügen des Tokens aus der Zwischenablage kann es vorkommen, daß vor oder nach dem eigentlichen Token Leerzeichen enthalten sind. Diese müssen entfernt werden
Speichern
Konfiguration prüfen
Status Noch nicht geprüft Vor der eigentlichen Generierung des Zertifiaktes muss zunächst die Konfiguration geprüft werden. Dies erfolgt durch einen Klick auf die Schaltfläche Konfiguration prüfen. UTM v12.1 Zertifikate ACME initialisiert.png
initialisieren
Initialisiert
Die Überprüfung kann mehrere Minuten in Anspruch nehmen. Dabei wird der Dialog regelmäßig aktualisiert.
Gültig Ist die Überprüfung erfolgreich wird der Status Gültig angezeigt.
DNS Fehler Der Token kann z.B. falsch sein.
Subject Alternative Name für eine externe DNS-Zone konfigurieren mit SAN hinzufügen

SAN für externe DNS-Zone hinzufügen

Subject Alternative Name ttt-point.anyideas.org Der Subject Alternative Name (SAN) aus der externen DNS-Zone UTM v12.1 Zertifikate ACME SAN extern.png
Alias ttt-point.spdns.org Der Alias muss auch für die externe DNS auf den spDYN Namen lauten.
DNS-Provider Grundsätzlich wird ein zusätzlicher CNAME-Record mit dem Prefix _acme-challenge und dem anschließenden Hostnamen angelegt und entsprechend auf den zugehörigen spDYN-Record mit vorangestellten _acme-challenge verwiesen. _acme-challenge.ttt-point.spdns.org. (Mit "." am Ende!)
Ein beispielhafter Auszug aus einem Zonefile für die Konfiguration der beiden Hostnamen mx.ttt-point.de und exchange.ttt-point.de sieht wie folgt aus:
_acme-challenge.mx.ttt-point.de. IN CNAME _acme-challenge.ttt-point.spdns.org.
_acme-challenge.exchange.ttt-point.de. IN CNAME _acme-challenge.ttt-point.spdns.org.

  • Der Hostname muss im öffentlichen DNS auflösbar sein.
    Die Erstellung von Zertifkaten für .local, .lan, etc. Zonen ist nicht möglich.
  • Die UTM muss den Hostnamen über externe Nameserver korrekt auflösen können. Die Delegierung der Zone an interne DNS-Server ist nicht möglich.
  • Konfiguration prüfen Weitere SANs können hinzugefügt und geprüft werden, solang die Schaltfläche Speichern noch nicht betätigt wurde. UTM v12.1 Zertifikate ACME SAN überprüft.png
    Status Gültig Sind alle benötigten SAN erolfgreich geprüft, kann das Zertifikat gespeichert werden. UTM v12.1 Zertifikate ACME SAN gültig.png
    Speichern Nach dem Speichern des Zertifikates lassen sich keine Änderungen mehr vornehmen. Es kann lediglich bei bestehenden SANs der Alias und der Token geändert werden. Werden zusätzliche oder andere SANs benötigt muss ein neues Zertifikat angelegt und das bestehende widerrufen werden.

    Erstellung des ACME Zertifikates

    Erstellung des ACME Zertifikates
    Speichern Wurden die vorherigen Schritte erfolgreich abgeschlossen wird durch einen Klick auf Speichern der eigentliche Prozess zur Validierung und Generierung des Zertifikates angestoßen.


    Dieser Vorgang kann einige Zeit in Anspruch nehmen. Um den Status zu aktualiseren ist der Dialog manuell neu zu laden.

    UTM v12.1 Zertifikate ACME-init-valid.png