KKeine Bearbeitungszusammenfassung |
KKeine Bearbeitungszusammenfassung |
||
| Zeile 38: | Zeile 38: | ||
** Die CA selbst ist ebenfalls ein Zertifikat, welches zuerst auf der Apliance erstellt werden muss, damit man Zertifikate erstellen kann, denn Zertifikate müssen bei der Erstellung mit der CA signiert werden. | ** Die CA selbst ist ebenfalls ein Zertifikat, welches zuerst auf der Apliance erstellt werden muss, damit man Zertifikate erstellen kann, denn Zertifikate müssen bei der Erstellung mit der CA signiert werden. | ||
* {{Hinweis| Neu ab v12 |12.1|gr}} durch einen '''{{hoover|ACME|Automatic Certificate Management Environment}}-Dienst''' ausgestellt und von diesem zertifiziert. Zur Verfügung steht hier [https://letsencrypt.org/de/ Let's Encrypt]</p> | * {{Hinweis-neu| Neu ab v12 |12.1|gr}} durch einen '''{{hoover|ACME|Automatic Certificate Management Environment}}-Dienst''' ausgestellt und von diesem zertifiziert. Zur Verfügung steht hier [https://letsencrypt.org/de/ Let's Encrypt]</p> | ||
| 3=<p>The Securepoint firewall uses digital certificates for authentication for various functions: | | 3=<p>The Securepoint firewall uses digital certificates for authentication for various functions: | ||
* VPN connections | * VPN connections | ||
| Zeile 51: | Zeile 51: | ||
** The CA itself is also a certificate that must first be created on the Apliance in order to create certificates, because certificates must be signed with the CA when they are created. | ** The CA itself is also a certificate that must first be created on the Apliance in order to create certificates, because certificates must be signed with the CA when they are created. | ||
* {{Hinweis| New as of v12 |12.1|gr}} issued by a '''{{hoover|ACME|Automatic Certificate Management Environment}}''' service and certified by it. Available here [https://letsencrypt.org/en/ Let's Encrypt]</p>.}} | * {{Hinweis-neu| New as of v12 |12.1|gr}} issued by a '''{{hoover|ACME|Automatic Certificate Management Environment}}''' service and certified by it. Available here [https://letsencrypt.org/en/ Let's Encrypt]</p>.}} | ||
{{var | Allgemeines--Hinweise | {{var | Allgemeines--Hinweise | ||
| Weitere Hinweise zu Zertifikaten anzeigen | | Weitere Hinweise zu Zertifikaten anzeigen | ||
| Zeile 343: | Zeile 343: | ||
| 3=<nowiki>*</nowiki>.ttt-point.spdns.org }} | | 3=<nowiki>*</nowiki>.ttt-point.spdns.org }} | ||
{{var | SAN--Wildcard | {{var | SAN--Wildcard | ||
| Es können auch '''Wildcard'''-SANs verwendet werden. {{Hinweis| ab v12.1.9|12.2}} | | Es können auch '''Wildcard'''-SANs verwendet werden. {{Hinweis-neu| ab v12.1.9|12.2}} | ||
| '''Wildcard''' SANs can also be used. {{Hinweis| as of v12.1.9|12.2}}}} | | '''Wildcard''' SANs can also be used. {{Hinweis-neu| as of v12.1.9|12.2}}}} | ||
{{var | Wildcard-Hinweis für Captive Portal | {{var | Wildcard-Hinweis für Captive Portal | ||
| Für die Verwendung mit einem Captive Portal werden Wildcard-Zertifikate benötigt | | Für die Verwendung mit einem Captive Portal werden Wildcard-Zertifikate benötigt | ||
| Zeile 361: | Zeile 361: | ||
| ttt-point.spdns.org }} | | ttt-point.spdns.org }} | ||
{{var | Alias--spdyn--desc | {{var | Alias--spdyn--desc | ||
| Ist der SAN ein spDYN Hostname wird er automatisch als Alias übernommen.<br>(Auch bei Wildcard-Domännen ohne ''*'' {{Hinweis| § ab v12.1.9|12.2}}) | | Ist der SAN ein spDYN Hostname wird er automatisch als Alias übernommen.<br>(Auch bei Wildcard-Domännen ohne ''*'' {{Hinweis-neu| § ab v12.1.9|12.2}}) | ||
| If the SAN is a spDYN hostname it is automatically taken on as alias.<br>(Also for wildcard domains without ''*'' {{Hinweis| § as of v12.1.9|12.2}}) }} | | If the SAN is a spDYN hostname it is automatically taken on as alias.<br>(Also for wildcard domains without ''*'' {{Hinweis-neu| § as of v12.1.9|12.2}}) }} | ||
{{var | Token | {{var | Token | ||
| Token | | Token | ||
| Zeile 441: | Zeile 441: | ||
| The alias must also be the spDYN name for the external DNS. }} | | The alias must also be the spDYN name for the external DNS. }} | ||
{{var | 1=SAN--extern--acme-challange | {{var | 1=SAN--extern--acme-challange | ||
| 2= | | 2=Beim DNS-Provider, der die externe Zone hostet (hier: ttt-point.de) muss ein zusätzlicher CNAME-Record mit dem Prefix _acme-challenge und dem anschließenden Hostnamen angelegt werden und entsprechend auf den zugehörigen spDYN-Record mit vorangestellten _acme-challenge verwiesen. {{code|_acme-challenge.ttt-point.spdns.org.}} (Mit "." am Ende!)<br> | ||
Ein beispielhafter Auszug aus einem Zonefile für die Konfiguration der beiden Hostnamen mx.ttt-point.de und exchange.ttt-point.de sieht wie folgt aus:<pre> | Ein beispielhafter Auszug aus einem Zonefile für die Konfiguration der beiden Hostnamen mx.ttt-point.de und exchange.ttt-point.de sieht wie folgt aus:<pre> | ||
_acme-challenge.mx.ttt-point.de. IN CNAME _acme-challenge.ttt-point.spdns.org. | _acme-challenge.mx.ttt-point.de. IN CNAME _acme-challenge.ttt-point.spdns.org. | ||
_acme-challenge.exchange.ttt-point.de. IN CNAME _acme-challenge.ttt-point.spdns.org.</pre> | _acme-challenge.exchange.ttt-point.de. IN CNAME _acme-challenge.ttt-point.spdns.org.</pre> | ||
| 3= Basically, an additional CNAME record | | 3=Basically, an additional CNAME record with the prefix _acme-challenge and the subsequent host name must be created at the DNS provider hosting the external zone (here: ttt-point.de). {{code|_acme-challenge.ttt-point.spdns.org.}} (With "." at the end!)<br> | ||
An example excerpt from a Zonefile for the configuration of the two hostnames mx.ttt-point.de and exchange.ttt-point.de looks like this:<pre> | An example excerpt from a Zonefile for the configuration of the two hostnames mx.ttt-point.de and exchange.ttt-point.de looks like this:<pre> | ||
_acme-challenge.mx.ttt-point.de. IN CNAME _acme-challenge.ttt-point.spdns.org. | _acme-challenge.mx.ttt-point.de. IN CNAME _acme-challenge.ttt-point.spdns.org. | ||
| Zeile 459: | Zeile 459: | ||
| Once the certificate has been saved, no more changes can be made. Only the alias and the token can be changed for existing SANs. }} | | Once the certificate has been saved, no more changes can be made. Only the alias and the token can be changed for existing SANs. }} | ||
{{var | SAN--Widerrufen | {{var | SAN--Widerrufen | ||
| Werden zusätzliche oder andere SANs benötigt muss ein neues Zertifikat angelegt und das | | Werden zusätzliche oder andere SANs benötigt muss ein neues Zertifikat angelegt und das Bestehende widerrufen werden. | ||
| If additional or different SANs are required, a new certificate must be created and the existing one has to be revoked. }} | | If additional or different SANs are required, a new certificate must be created and the existing one has to be revoked. }} | ||
{{var | SAN--extern--prüfen--Bild | {{var | SAN--extern--prüfen--Bild | ||
| Zeile 474: | Zeile 474: | ||
| DNS-Provider }} | | DNS-Provider }} | ||
{{var | No-Delegation | {{var | No-Delegation | ||
| Die UTM muss den Hostnamen über externe Nameserver korrekt auflösen können. | | Die UTM muss den Hostnamen über externe Nameserver korrekt auflösen können. <br>{{Hinweis-neu|Ist die interne und die externe/öffentliche Domain identisch, sollte ein Wildcard-ACME-Zertifikat verwendet werden.<br>Beispiel: Hostname für das Captive Portal: ''portal.ttt-point.de'' → ACME Zertifikat: ''*.ttt-point.de''|g}} | ||
| The UTM must be able to resolve the host name correctly via external name servers. | | The UTM must be able to resolve the host name correctly via external name servers. <br>If the internal and the external/public domain are identical, the zone must also be delegated to the internal DNS. }} | ||
{{var | ACME-erstellen | {{var | ACME-erstellen | ||
| Erstellung des ACME Zertifikates | | Erstellung des ACME Zertifikates | ||
UTM/AUTH/Zertifikate.lang: Unterschied zwischen den Versionen
Aus Securepoint Wiki