Kann kein Zertifikat von Selfhost meiner DDNS erstellen

[HeikoH68]

Hallo und guten Tag,
ich bin seit kurzem Besitzer einer DS216+II die auf 7.2.2 upgedatet ist. Habe mir ein Free Subdomain bei Selfhost.de zugelegt.
Alles Läuft soweit wie es soll. Datensichern und kleine Cloud, dafür war sie ja gedacht.
Nur was ich seit nun mehr als 3 Tagen nicht hinbekomme, ist das ich ein Zertifikat implementieren kann so das ich nicht immer eine Fehlermeldung bekomme wenn ich über https auf die NAS zugreife.
Selfhost ist unter DDNS eingegeben, scheint dort auch zu passen.
Nur wenn ich dann das Zertifikat unter Sicherheit erstellen lassen will, meckert er rum, im Router ist Post 80 und 443 freigegeben.
Wenn ich einen Ping auf mein Hostnamen mache wird er auch aufgelöst.
Wo liegt mein Denkfehler beim Zertifikat?

 

[LittleWing]

Hallo @HeikoH68,

ich habe 2 Screenshots vorerst entfernt:

1) 3. Screenshot - Ping_ip.jpg: Hostnamen auch schwärzen, sonst bringt das schwärzen der IP nichts
2) 4. Screenshot - zertifikat.jpg: Mailadresse ebenfalls schwärzen

ansonsten: Herzlich willkommen und gute Unterhaltung im Forum!

Viele Grüße
LittleWing

 

[blurrrr]

Hi,

meckert er rum

was genau wird denn bemängelt?

 

[the other]

Moinsen,
und was genau meinst du mit "erstellen" unter Sicherheit? Da kannst du doch nur a) importieren oder aber b) direkt von Let's Encrypt importieren. Andere musst du doch nur (mit Schlüssel) importieren und dann einstellen, für welche Dienste es gelten soll...oder?

 

[HeikoH68]

Mich stört in erster Linie, das ich eine Fehlermeldung angezeigt bekommen wenn ich über https:// auf meine NAS zugreife.

Nicht Sicher , und wenn ich auf Details gehe, wir mir angezeigt das das Zertifikat (Synology) nicht akzeptiert wird. Wurde beim Einrichten der NAS automatisch erstellt und als Standard hinterlegt. DDNS habe ich eingetragen von Selfhost

 

[blurrrr]

Ich hab es noch immer nicht so richtig verstanden... wird denn nun via LE auch ein Zertifikat ausgestellt und ist auf der Syno verfügbar? Falls ja, müsste dieses dann noch den entsprechend gewünschten Diensten zugewiesen werden (ansonsten bleibt es beim Default-Zertifikat). Falls nicht, wäre die Fehlermeldung beim Zertifikatsbezug relevant.

 

[HeikoH68]

Das was auf den Bildern ist ist auf meiner DS gespeichert.
Habe mir einen Hostname bei Selfhost gemacht um eine sichere Verbindung per https zu bekommen.
Bin davon ausgegangen das wenn ich bei Selfhost ein Subdomain mache, mit dann die Update-Url. in meine FritzBox eintrage und ich dann aus meine DS zugreife, ich eine sichere Verbindung per https bekomme. Sprich ich ein Zertifikat für eine SSL Verbindung bekomme.
Aber ich denke ich habe da einen dicken Denkfehler drin, oder ich muss es anders anpacken um sicher per https auf meine DS zuzugreifen.
Ich hoffe ich habe es soweit verständlich erklärt.
In Sachen Netzwerk ( Protokolle und Ports) bin ich nicht so fit.

 

[blurrrr]

Wenn der entsprechende Record beim DynDNS-Account auf Deine öfffentlichen IPs zeigt und die entsprechenden Portfreigaben/-weiterleitungen eingerichtet sind (IPv4 -> Router-IP + Portweiterleitung auf die Syno, IPv6 -> Syno-IP + Portfreigabe am Router), solltest Du eigentlich auf der Syno ein neues Lets-Encrypt-Zertifikat ausstellen lassen können.

Wenn Du das Zertifikat erfolgreich bekommen hast (s. Zertifikatsliste (Systemsteuerung/Sicherheit/Zertifikate)), dann musst Du dieses noch den entsprechend gewünschten Diensten auf der Syno zuordnen. Dazu klickst Du in der Zertifikatsübersicht auf den Button "Einstellungen". Dort kannst Du dann pro Dienst das gewünschte Zertifikat hinterlegen.

Beim Router wirst Du vermutlich noch eine Ausnahme bzgl. des Hostnamens hinzufügen müssen, da Du ansonsten von aussen vermutlich nicht über den selfhost-Hostnamen auf Dein NAS zugreifen kannst. Bei einer Fritz!Box läuft das unter der Bezeichnung "DNS-Rebind-Schutz", näheres dazu findest Du hier, ansonsten musst Du halt bei Deinem Router-Hersteller mal nach "Hair-Pin-NAT" oder "NAT Loopback" in den jeweiligen Anleitungen schauen.

Wichtig wäre aber erstmal, dass die selfhost-Records (A bei IPv4 und ggf. AAAA bei IPv6) passen. Heisst: Der IPv4-"A"-Record muss auf die WAN-IP vom Router zeigen, sofern IPv6 auch mit im Spiel ist, muss der AAAA-Record bei selfhost auf die öffentliche IP der Syno zeigen. Wenn das nicht richtig funktioniert und der IPv6-Record auf den Router zeigt, wird die Zertifikatsausstellung auf der Syno fehlschlagen, da die LE-HTTP-Challenge dann zum Router geht und nicht - wie gewünscht - zur Syno. Also überprüf erstmal, ob das mit dem IP-Adressen auch so hinhaut