50 lines
2.3 KiB
Markdown
50 lines
2.3 KiB
Markdown
---
|
|
tags:
|
|
- upnote-import
|
|
---
|
|
|
|
# SSL-Zertifikat straso.com
|
|
|
|
## Aktuelle Verwaltung (Stand 2026-05-25)
|
|
|
|
Wildcard-Cert für `*.straso.com` wird automatisiert via **ACME-Plugin auf OPNsense** mit Let's Encrypt ausgestellt. **Kein manueller IONOS-Cert-Download mehr nötig.**
|
|
|
|
- **CA:** Let's Encrypt R12
|
|
- **Validation:** DNS-01 über IONOS API (Account `kauer`)
|
|
- **altNames:** `kbha`, `git`, `paper`, `nas`, `photo`, `cloud`, `mail` (alle als `*.straso.com`)
|
|
- **Renewal:** automatisch alle 60 Tage, Cron 03:55 täglich
|
|
- **Restart-Action:** `Restart HAProxy` ist dem Cert zugewiesen → HAProxy reloaded automatisch nach jedem Renewal
|
|
- **WebUI:** Services → ACME Client → Certificates → `straso.com`
|
|
|
|
## Aktuelle Verwendung
|
|
|
|
| Dienst | Reverse-Proxy | Zertifikat-Quelle |
|
|
| --------------------- | ------------------------ | ---------------------------------- |
|
|
| `kbha.straso.com` | HAProxy auf OPNsense | ACME auf OPNsense |
|
|
| `git.straso.com` | HAProxy auf OPNsense | ACME auf OPNsense |
|
|
| `paper.straso.com` | HAProxy (Backend disabled) | ACME auf OPNsense |
|
|
| weitere altNames | aktuell nicht aktiv | im Cert vorbereitet |
|
|
|
|
NPM-Addon auf Pi (Home Assistant) ist seit 2026-05-25 gestoppt — wird nicht mehr für SSL benötigt.
|
|
|
|
## API-Credentials
|
|
|
|
IONOS DNS-API Token: hinterlegt in OPNsense unter Services → ACME Client → Validations → `ionos` (DNS-01 dns_ionos). **Niemals exportieren oder in Notizen schreiben.**
|
|
|
|
## Diagnose
|
|
|
|
```bash
|
|
# Cert extern prüfen
|
|
echo | openssl s_client -connect kbha.straso.com:443 -servername kbha.straso.com 2>/dev/null \
|
|
| openssl x509 -noout -dates -issuer -subject
|
|
|
|
# Cert im HAProxy-Store auf OPNsense
|
|
ssh root@192.168.1.1 'openssl x509 -in /tmp/haproxy/ssl/68fb9ea001876.pem -noout -dates'
|
|
```
|
|
|
|
Bei Problemen siehe FAQ-Sektion in [[03 Bereiche/Heimnetz/Zugriff aus dem Web/Home Assistant über HAProxy]] ("Cert abgelaufen trotz erfolgreichem ACME-Renewal").
|
|
|
|
## Legacy (historisch)
|
|
|
|
Früheres manuelles Setup (IONOS-Cert-Download → NPM auf KBNAS / EC2 / KBHA) ist obsolet. Die alte Anleitung mit OneDrive-Backup unter `C:\Users\d-chrka.INTERNAL\OneDrive\Backup\straso_certificate` ist nicht mehr Teil des Prozesses, das Verzeichnis hält nur noch das alte IONOS-Cert als Fallback.
|