[gelöst] Offizielles Zertifikat für HTTPS einbinden

[Lafarik]

Hallo zusammen!

Letsencrypt hat ja schon die öffentliche Beta gestartet (https://goo.gl/Havj5R).
Hat es einer zufällig schon ausprobiert?
Gruß,
Lafarik

[drhirn]

Hi,

ja, gerade eben auf einem Debian System mit nginx. Für nginx muss man's zwar derzeit noch manuell machen, funktioniert aber trotzdem wunderbar.
Wenn man sich hier eine SSL Konfiguration erstellen lässt bekommt man bei den SSL Labs sogar ein schönes A+
Wie das mit dem automatischen Renew funktioniert, kann ich dann in drei Monaten berichten .

Gruß
Stefan

[harvey1988]

Hallo zusammen,

habe gerade die Anleitung mit StartSSL befolgt.
FHEM startet auch wieder, aber leider greift das Zertifikat nicht.
Ich bekomme immer noch eine Warnung.
Hat sich hier in der Zwischenzeit noch etwas verändert?

Vielen Dank im vorraus.

[herrmannj]

welche Warnung ?
welche adresse genau rufst Du im browser auf ?

vg
joerg

[harvey1988]

Also meine Konstellation:
FritzBox -> Raspberry mit FHEM
Öffentliche Domain über INWX, updatet sich automatisch übe die XML Schnittstelle.
Zertifikat über StartSSL regisitiert und wie hier beschrieben eingespielt.

SSLlabs.com sagt: This server's certificate is not trusted, see below for details.
Grund: Common Names: Mismatch
Er zeigt hier nur die IP an, und keinen Namen an.

Im Browser rufe ich https://fhem.domainname.tech:Port
Wobei Domainname meine Domain ist.

Vielen Dank

[Wuppi68]

das kannst Du über einen Umweg machen

Du definiert bei United Domains einen CNAME Eintrag, der auf Deinen Eintrag zb. meineFritte.myfritz.org oder irgendwinandererpc.noip.org und diese A-Einträge kannst Du dann entsprechend mit dem Dyndns Client dynamisch anpassen lassen.
Wichtig ist nur für das Zertikat, dass dein Server mit dem Namen antwortet auf den es angestellt ist

Beispiel: (rein fakultativ)

FHEM Rechner: speicherknecht
Domain: Elektrolurch.de

dann definiert Du bei UD in den DNS Einstellungen einen CNAME Eintrag für speicherknecht.elektrolurch.de der auf Elektrolurch.noip.org zeigt
Elektrolurch.noip.org wird dann durch den ddnsclient aktualisiert
Jetzt noch eine Mailadresse webmaster oder postmaster@elektrolurch zur Verfügung stellen
und Du kannst bei StartSSL ein Zertifikat für speicherknecht.elektrolurch.de ausstellen und bei Dir auf dem FHEM Rechner installieren
Wenn Du eine Portweiterleitung auf deinen Router eingerichtet hast, dann kannst Du es mit https://speicherknecht.elektrolurch.de:8083/ mit fhem testen

der FHEM Rechner sollte dann auch als FQDN speicherknecht.elektrolurch.de haben

viel Erfolg

Ralf

[harvey1988]

Hallo,

ich habe ja schon eine inwx domain die dynamisch auf meine "FritzBox WANIP" geupdatet wird.
Hierfür lasse ich alle 5 Minuten einen crontab am Raspberry laufen, der dieses Update dann durchführt.

Nun habe ich mir bei start ssl für meine Domain ein Zertifikat erstellt und auch auf der Fritzbox die Portweiterleitung aktiviert.
Ich habe jetzt einen A Eintrag in den DNS Einstellungen erstellt, der nach oben genannter Methode immer auf die richtige IP verweist.
Dieser lautet FHEM.Domain.de:port
Nur das Zertifikat greift leider nicht. Der Balken im Browser bleibt rot.

Vielen Dank im voraus

[herrmannj]

überprüfe ob Dein Zertifikat auch auch exakt FHEM.Domain.de ausgestellt ist.
Wenn Du die Seite aufrufst dann musst Du FHEM.Domain.de:port eintippen.

ansonsten Servertest via https://www.ssllabs.com/ssltest/index.html und Ergebnis posten.

vg
joerg

[Agamemnon]

Hallo zusammen,
da ich gerade per privater Nachricht eine Frage erhalten habe, hier die Antwort für alle:
StartSSL hat seit meiner Anleitung wohl das Vorgehen etwas geändert.
Die benötigte pem Datei kann man sich nun aus der Liste der Zertifikate herunter laden (siehe Anhang).

Gruß
Matze

[drhirn]

StartSSL wurde inzwischen von WoSign (China) übernommen. Beide haben Zertifikate ausgestellt, die sie nicht ausstellen hätten dürfen. Die CAs sind also nicht mehr als vertrauenswürdig einzustufen. Ich würde daher auf einen Einsatz verzichten und nur noch Let's Encrypt verwenden.

[dk3572]

Hallo,
ich habe bei Strato eine Domain. In der Fritz Box habe ich bei Dyndns die Strato Daten eingetragen. Ich möchte per letsencrypt ein Zertifikat erstellen und auf Ubuntu einen Reverse Proxy einrichten. Was muss ich bei Strato alles eintragen /einstellen? SSL? DNS-Einstellungen? A-Rekord?
Habe jetzt schon Tage damit verbracht und Anleitungen gelesen, raffe's aber nicht.
Wäre für Hilfe dankbar.
Gruß Dieter

[Nepumuk4321]

Soweit ich weiß, wird Strato von letsencrypt noch nicht unterstützt. Strato wird da wohl wenig Interesse haben, weil sie lieber ihre eigenen Zertifikate verkaufen.

Gesendet von meinem Redmi Note 3 mit Tapatalk

[Nepumuk4321]

Hallo,

falls es noch jemanden interessiert. Hier die Lösung zur Verwendung von Letsencrypt und Strato als DynDNS Dienst.

Im Strato User Account unter Domains-Domainverwaltung die (Sub-) Domain auswählen die man umleiten möchte. auf Verwalten klicken->DNS-Verwaltung -Dynamic DNS -Verwalten
dann nur "DynDNS aktiviert" häckchen setzen- fertig.   
Unter Sicherheit-Passwörter das "Dynamic DNS Passwort" festlegen.   Es sind keine weiteren Änderungen notwendig.

In der Fritzbox als DynDNS dienst Strato wählen und Domainnamen und StratoDynDNS-Passwort angeben.
Port 80 und Port 443 extern an Port 80 und 443 intern des Rechners weiterleiten, auf dem Letsencrypt laufen soll. Das ist wichtig, weil im Laufe der Registrierung bei letsencrypt die Erreichbarkeit der (umgeleiteten) Domain geprüft wird. Das heißt der Rechner muss über Port 80 und 443 erreichbar sein.

Zur Einrichtung von Letsencrypt mit Nginx ReverseProxy auf einem RaspberryPi ist diese Anleitung ganz hilfreich: https://blog.doenselmann.com/nginx-und-lets-encrypt-auf-raspberry-pi/


Es geht auch ohne Reverse Proxy, dann muss man allerdings die von letsncrypt ereugten Zertifikate von Hand in den Ordner /opt/fhem/certs kopieren und auch umbenennen.

Gruß
Frank

[Morgennebel]

Ihr macht das aber alle umständlich...

https://certbot.eff.org/ - OS und WebServer auswählen (geht sogar für Devuan), die apt-Quelle hinzufügen, certbot installieren.

Der Rest geht eigentlich alleine. Certbot modifiziert die Apache/NGINX/... Konfig, testet die Erreichbarkeit via Port 80/443 und bei Erfolg wird ein Zertifikat erstellt und HTTP auf HTTPS umgeschubst. Das ganze dauert keine 3 Minuten. Und die automatische Erneuerung des Zertifkates erledigt der mitinstallierte Cronjob...

Ciao, -MN