CNAME Weiterleitung bringt Zertifikat Fehler

[icritter]

Hallo,

ich habe bei meinem Webhoster einen CNAME auf meine synology ddns Adresse eingetragen. Diese funktioniert auch.
leider kommt aber eine ssl Zertifikat-Fehlermeldung. Dass die Seite nicht privat sei. Es wäre ein ungültiges Zertifikat.

wenn ich die synology DNS Seite manuell aufrufe funktioniert es aber.

woran liegt so etwas?

danke

 

[AgentMax]

Vermutlich passt das Zertifikat nicht zu der Adresse welche du im Browser aufrufst. Bzw von der, von der du weiterleitest.

 

[WollFuchs]

Hat das zertifikat die cname adresse als alternative subject name?

 

[icritter]

Wie kann ich das einsehen?

 

[AgentMax]

Für welche hast du denn das Zertifikat beantragt? Nur diese sind dann auch drin.

 

[WollFuchs]

Zertifikat anschauen im browser oder mal im syno unter zertifikate ..
vielleicht hast du nur das zertifikat angelegt bevor du die cname angelegt und dort mit angegeben hast.

 

[icritter]

Das habe ich sicherlich. Aber wie muss ich das dann machen?

 

[ElectricWizard]

Woher hast du denn das Zertifikat? Let's Encrypt?

 

[WollFuchs]

hatte Dir ne Anleitung geschickt, konntest Du damit was anfangen?

 

[mj]

Für gültige Zertifikate braucht es einen Common Name (CN) sowie mindestens einen oder mehrere DNS Names (X509v3 Subject Alternative Name).
Am Beispiel des Zertifikats für diese Webseite:

Diese SAN müssen mit der von dir gewünschten URL übereinstimmen, ansonsten passen Zertifikat und URL nicht zusammen und es gibt eine entsprechende Fehlermeldung.

 

[icritter]

Und wie gibt man die dns Name an?

 

[ElectricWizard]

Ich frag' einfach nochmal: Woher hast du das Zertifikat?

 

[icritter]

Ich frag' einfach nochmal: Woher hast du das Zertifikat?

Ja Lets Encrypt

 

[HerrMoinsen]

Ja Lets Encrypt

Dann kannst du (z.B. mit certbot) die weiteren Namen relativ leicht mittels -d angeben, z.B. so:

certbot certonly --manual -d macuser.de -d www.macuser.de -d mail.macuser.de -d static.macuser.de

 

[WollFuchs]

Geht halt ohne Muschel auf der Syno eher suboptimal .. will ja nicht jeder in den Untiefen rumkrauchen.

Im Prinzip, da eine Syno mit LE Zertifikat ja vorliegt.

Port 80 und 443 auf dem Router aufmachen und auf die Syno zeigen lassen (dort soll das Zert ja genutzt werden)

Nun einfach Systemsteuerung -> Sicherheit > Zertifikat > Zertifikat hinzufuegen

nun kannst Du das existierende LE ersetzen (um eines mit beiden Namen zu verwenden) oder ein komplett neues
fuer den neuen CNAME erstellen und dort die syno dddns als "Betreff alternativer Name" (das ist der Subject alternative Name)
angeben. Dann sind beide in einem abgefruehstueckt und man muss beim Update der Zertifikate nur eines machen ...
ist aber auch flugs fuer beide gemacht .. ist ja nur ein Mausklick.

Wichtig ist, dass es als "Standardzertifikat" hinterlegt ist und alle Deine Dienste, die auf den Namen hoeren, auch
dort angegeben sind.
Kann man immer noch im Nachgang aenden, einfach das Zertifikat markieren und auf "konfigurieren" und dann eben
die Dienste dem passenden Zertifikat zuweisen.