Die aktuelle Methode ist sehr unpraktisch. Hier wäre eine Anpassung, wie oben vorgeschlagen, wichtig.

Wir stehen ebenfalls vor dem Problem eine Lösung für automatisiertes Zertifikats-Management innerhalb der Securepoint UTM zu finden.

Die angebotene CNAME Lösung auf eine Securepoint DynDNS Adresse ist aus vielerlei Gründen im Praxisbetrieb nicht umsetzbar, allein schon im Hinblick auf MX Funktionen wenn die UTM als externer Posteingangsserver läuft.

Wir haben zwei ISP Anschlüsse mit dutzenden von festen IPv4 / IPv6 Adressen. Wir haben hinter der Securepoint diverse Services, die mittels Reverseproxy und passenden SSL Zertifkaten erreichbar sein müssen.

In der jetzigen Form mit dem integrierten Reverseproxy und dem ACME Funktionen ist das nicht zu handhaben.

Wo ist der praktische Nutzen, bei ACME Zertifikaten den Umweg über SPDyn Hostnamen und CNAME / Alias Namen im DNS zu gehen? Außer das es aktuell der einzige Weg aus der UTM Software heraus ist.

Es gibt ACME Clients, die sich mit den zuständigen DNS einer Domäne verbinden um Let´s Encrypt Zertifikate über DNS-01 Challenge zu autorisieren. Warum wird bei Securepoint zwingend der SPDYN Dienst verwendet?

Der Nginx Proxy Manager (https://nginxproxymanager.com/) bietet diese Möglichkeit und wird von uns zwischenzeitlich als Ersatz für den integrierten Nginx Reverseproxy verwendet. Kein Huddel mehr mit dem Import von Zertifikaten oder Umwege über CNAME. Damit haben wir saubere Zertifikate, die nicht auf umgebogenen Aliasadressen zielen.

Kann Securepoint den Nginx Proxy Manager mit der darüber integrierten ACME Let´s Encrypt Funktion und einer freien DNS-01 Challange an eigene DNS in die UTM integrieren? Das wäre aus meiner Sicht ein echter Featuregewinn für die UTM.

Sicher gibt es auch andere Möglichkeiten mit der DNS-01 Challange eigene DNS Dienste zur Zertifikatsautorisierung in die UTM zu integrieren.

Die zwanghafte Let´s Encrypt Bindung via CNAME an SPDyn ist aus meiner persönlichen Sicht der falsche Weg.

Hallo,

wir haben ACME über die DNS-01 challenge implementiert, da es im Gegensatz zum Weg über die HTTP-01 challenge keinen freien Port 80 oder 443 auf der UTM benötigt und Wildcard-Zertifikate ermöglicht.

Viele Grüße,

Michel Jockheck

Hallo Herr Jockheck,

ich möchte meine FQDN Adressen nicht als Alias auf eine SPDyn Adresse umbiegen. Wir haben eigene öffentliche IPv4 und IPv6 Subnetze und verwalten unsere DNS Records komplett. Warum soll ich statt auf unsere IP´s auf Alias Namen setzen. Wenn ich MX-Records oder ähnliches nutzen muss, die auf die UTM verweisen, brauche ich "richtige" Auflösungen zu unserer Domain und passende Reverslookups die ich mit unserem ISP abstimme.

Warum wird kein ACME-Client in die Securepoint verbaut? Das würde vieles vereinfachen, insbesonders im Hinblick auf die nun ständig verkürzten SSL Zertifikatslaufzeiten.

Das wäre für die UTM ein echter Mehrwert..

Hallo Herr Jockheck,

so wie sich das für mich darstellt, ist das doch aber nicht dasselbe. Ich würde einen Weg komplett ohne SpDyn ebenfalls bevorzugen, weil mir die Abhängigkeit der beiden Dienste nicht schlüssig bzw. notwendig erscheint.

Freundliche Grüße

Hallo Herr Freud,

es ist möglich, die Let's Encrypt für SPDYN FQDNs per CNAME mit anderen Domains zu verknüpfen: https://wiki.securepoint.de/UTM/AUTH/Zertifikate-ACME#SAN_f%C3%BCr_externe_DNS-Zone_hinzuf%C3%BCgen

Viele Grüße,
Michel Jockheck