ACME Zertifikate

UTM v12.6 Zertifikate ACME registriert.png

ACME Zertifikate (Let's Encrypt)

Erstellen und Verwalten von Zertifikaten

Letzte Anpassung: 02.2023

Neu:

Hinweis bei DNS Fehler bei ACME Zertifikat und Nameserver in gleicher Zone einer Domain
Unterstützung von ACME Zertifikaten (Let's Encrypt) in v12
Es sind auch Wildacard SANs möglich

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

-

ACME Zertifikate (Let's Encrypt)

ACME Dienst aktivieren

Um ACME Zertifikate nutzen zu können, muss dies unter Authentifizierung Zertifikate Bereich ACME Aktiviert: Ja aktiviert werden.

ACME-Dienst Ein Dienst aktivieren
Sobald der Dienst aktiviert wurde und dies mit

gespeichert wurde, wird der Link zu den Nutzungsbedingungen geladen und es lassen sich die Einstellungen aufrufen.
Mit der Schaltfläche Aktivieren Ja und dem Hinterlegen einer E-Mail Adresse für Benachrichtigungen durch den ACME Dienstanbieter (hier: Let's Encrypt) lassen sich die Angaben unter

speichern.
Daraufhin wird ein Dialog eingeblendet mit einem Link zu den Nutzungsbedingungen, die akzeptiert Ja werden müssen.

ACME-Dienst Ein Dienst aktivieren

UTM v12.6 Zertifikate ACME Nutzungsbedingungen geladen.png

Sobald der Dienst aktiviert wurde und dies mit

gespeichert wurde, wird der Link zu den Nutzungsbedingungen geladen und es lassen sich die Einstellungen aufrufen.

UTM v12.6 Zertifikate ACME aktivieren.png

Mit der Schaltfläche Aktivieren Ja und dem Hinterlegen einer E-Mail Adresse für Benachrichtigungen durch den ACME Dienstanbieter (hier: Let's Encrypt) lassen sich die Angaben unter

speichern.

UTM v12.6 Zertifikate ACME Nutzungsbedingungen bestätigen.png

Daraufhin wird ein Dialog eingeblendet mit einem Link zu den Nutzungsbedingungen, die akzeptiert Ja werden müssen.

UTM v12.6 Zertifikate ACME Regestrierung.png

Daraufhin wird eine Registrierung bei dem ACME Dienstanbieter durchgeführt

Die erfolgreiche Registrierung wird mit dem Status OK angezeigt.

Token generieren

spDYN Für die Erzeugung der Zertifikate ist zunächst der ACME-Token im spDYN Portal zu generieren.
Innerhalb des spDYN-Portals ist der entsprechende Host zu öffnen.

spDyn Host aufrufen
Im Dropdown Menü für Token den ACME Challenge Token wählen
Token generieren

Der Token wird einmal bei der Generierung angezeigt und kann nicht erneut angezeigt werden.

Der Token sollte notiert und sicher aufbewahrt werden.

spDyn Host aufrufen

Zertifikate ACME SpDYN Token waehlen.png

Im Dropdown Menü für Token den ACME Challenge Token wählen

Token generieren

Der Token wird einmal bei der Generierung angezeigt und kann nicht erneut angezeigt werden.
Der Token sollte notiert und sicher aufbewahrt werden.

ACME-Zertifikate

Nach Abschluss der vorherigen Schritte kann nun das eigentliche Zertifikat erzeugt werden. Ein Klick im Bereich Zertifikate auf ACME-Zertifikat hinzufügen öffnet den entsprechenden Dialog.

Beschriftung	Wert	Beschreibung	ACME-Zertifikat hinzufügen
ACME-Zertifikat hinzufügen UTM Dialog → Authentifizierung →ZertifikateReiter Zertifikate Schaltfläche ACME-Zertifikat hinzufügen
Name	ttt-Point	Name zur Identifizierung des Zertifikates
Schlüssellänge:	2048	Schlüssellänge des Zertifikates. Mögliche Werte:
ACME Account	Let's Encrypt	ACME Account der verwendet werden soll

Subject Alternative Name konfigurieren mit SAN hinzufügen Subject Alternative Name hinzufügen
Subject Alternative Name	»ttt-point.spdns.org	Der Subject Alternative Name (SAN) wird im Zertifikat hinterlegt und entspricht der aufgerufenen URL	Subject Alternative Name hinzufügen
Subject Alternative Name	»*.ttt-point.spdns.org	Es können auch Wildcard-SANs verwendet werden. Für die Verwendung mit einem Captive Portal werden Wildcard-Zertifikate benötigt Wird für das Captive Portal im Nameserver eine Forward-Zone benötigt und für diese dann ein A-Record eingetragen, wird dieser nicht mehr im öffentlichen DNS aufgelöst. Die Überprüfung und Verlängerung eines ACME-Zertifikates auf diesen Namen schlägt dann fehl.
Alias	ttt-point.spdns.org	Ist der SAN ein spDYN Hostname wird er automatisch als Alias übernommen. (Auch bei Wildcard-Domännen ohne * )
Token	•••••••••••••	Der Token aus dem spDYN-Portal (s.o.) belegt dem ACME-Dienst, daß man über den Hostnamen verfügen darf. zeigt den Token an. Beim Einfügen des Tokens aus der Zwischenablage kann es vorkommen, daß vor oder nach dem eigentlichen Token Leerzeichen enthalten sind. Diese müssen entfernt werden
Speichern
Konfiguration prüfen Konfiguration prüfen
Status	Noch nicht geprüft	Vor der eigentlichen Generierung des Zertifiaktes muss zunächst die Konfiguration geprüft werden. Dies erfolgt durch einen Klick auf die Schaltfläche Konfiguration prüfen.
	initialisieren Initialisiert	Die Überprüfung kann mehrere Minuten in Anspruch nehmen. Dabei wird der Dialog regelmäßig aktualisiert.
	Gültig	Ist die Überprüfung erfolgreich wird der Status Gültig angezeigt.
	DNS Fehler	Mögliche Ursachen: falscher Token DNS Auflösung gestört Zonen Weiterleitung im DNS konfiguriert lokale DNS-Zone im DNS konfiguriert Falls im Nameserver der UTM eine Zone für eine Domain liegt, welche auch das ACME-Zertifikat nutzt, schlägt die DNS Auflösung fehl. Lösung: Für diese Zone einen CNAME-Eintrag für diese Domain erstellen. • Unter Menu/Anwendungen/Nameserver/Zonen nach der Zone suchen • auf Bearbeiten klicken • Im Fenster auf +Eintrag hinzufügen klicken • unter Name: einen passenden Namen eintragen • bei Typ: CNAME auswählen • bei Wert: die Domaine eintragen

Subject Alternative Name für eine externe DNS-Zone konfigurieren mit SAN hinzufügen SAN für externe DNS-Zone hinzufügen
Subject Alternative Name	ttt-point.anyideas.org	Der Subject Alternative Name (SAN) aus der externen DNS-Zone
Alias	ttt-point.spdns.org	Der Alias muss auch für die externe DNS auf den spDYN Namen lauten.
DNS-Provider	Beim DNS-Provider, der die externe Zone hostet (hier: ttt-point.anyideas.org) muss ein zusätzlicher CNAME-Record mit dem Prefix _acme-challenge und dem anschließenden Hostnamen angelegt werden und entsprechend auf den zugehörigen spDYN-Record mit vorangestellten _acme-challenge verwiesen. _acme-challenge.ttt-point.spdns.org. (Mit "." am Ende!) Ein beispielhafter Auszug aus einem Zonefile für die Konfiguration der beiden Hostnamen mx.ttt-point.de und exchange.ttt-point.de sieht wie folgt aus: _acme-challenge.mx.ttt-point.anyideas.org. IN CNAME _acme-challenge.ttt-point.spdns.org. _acme-challenge.exchange.ttt-point.anyideas.org. IN CNAME _acme-challenge.ttt-point.spdns.org. Der Hostname muss im öffentlichen DNS auflösbar sein. Die Erstellung von Zertifkaten für .local, .lan, etc. Zonen ist nicht möglich. Die UTM muss den Hostnamen über externe Nameserver korrekt auflösen können. notempty Ist die interne und die externe/öffentliche Domain identisch, sollte ein Wildcard-ACME-Zertifikat verwendet werden. Beispiel: Hostname für das Captive Portal: portal.ttt-point.de → ACME Zertifikat: *.ttt-point.de

Konfiguration prüfen	Weitere SANs können hinzugefügt und geprüft werden, solang die Schaltfläche noch nicht betätigt wurde.

Status	Gültig	Sind alle benötigten SAN erfolgreich geprüft, kann das Zertifikat gespeichert werden.
Speichern	Nach dem Speichern des Zertifikates lassen sich keine Änderungen mehr vornehmen. Es kann lediglich bei bestehenden SANs der Alias und der Token geändert werden. Werden zusätzliche oder andere SANs benötigt muss ein neues Zertifikat angelegt und das Bestehende widerrufen werden.

Erstellung des ACME Zertifikates Erstellung des ACME Zertifikates
Speichern	Wurden die vorherigen Schritte erfolgreich abgeschlossen wird durch einen Klick auf Speichern der eigentliche Prozess zur Validierung und Generierung des Zertifikates angestoßen. Dieser Vorgang kann einige Zeit in Anspruch nehmen. Um den Status zu aktualiseren ist der Dialog manuell neu zu laden.