Zertifikat im lokalen Netzwerk

[Paddy0293]

@krownhill Vielleicht hilft dir ja meine Anleitung, sollte auch mit der Synology via Docker funzen
Vlt hilft es ja -> Https local

 

[krownhill]

da fällt mir ein, muss ich eigentlich openssl bei Windows installieren? Vielleicht liegt es daran, xca würde ohne openssl da trotzdem funktionieren?

Ergänzung (27. April 2022)

@Helge01 habe openssl installiert und den Export noch mal durchgeführt, diesmal aber in der Menüleiste oben bei XCA drauf geachtet, dassZertifikate angewählt war, habe glaube ich vorhin aus private Schlüssel exportiert.
Jetzt konnte ich auch .crt auswählen und es hat funktioniert, das Root Ca Zertifikat wurde in Android importiert, Halleluja! Vielen Dank für die tolle Hilfe.

Eine Frage noch, welches Zertifikat muss ich in die Synology importieren und welches in Windows, also wohin mit dem Root-CA und wohin mit dem Server Zertifikat?

 

[Helge01]

Du möchtest ja von deinem Windows PC auf deine Synology per HTTPS zugreifen. Dein PC ist damit der Client und Synology ist der Server. In der Web-GUI der Synology gibt es bestimmt eine Möglichkeit das Serverzertifikat + CA Zertifikat zu importieren. Auf allen anderen Geräten wie z.B. dein Windows PC oder Android kommt nur das CA Zertifikat.

 

[krownhill]

@Helge01 Ich habe das Root-CA in Windows und auch Firefox importiert, in Android auch und auf der Synology das Serverzertifikat mit dem Schlüssel. Das neue Zertifikat auf Standard im DSM gestellt, trotzdem wird immernoch das Synology Zertifikat genommen und entsprechende Fehlermeldung beim Aufruf angezeigt.

Ergänzung (27. April 2022)

@Helge01 Ich hab´s! Der Fehler war jetzt, obwohl ich das neue Zertifikat auf standard gestellt habe, waren die Einträge trotzdem noch dem Synology Zertifikat zugewiesen, nach manueller Änderung läuft es.
Vielen Dank für die Hilfe!!

 

[MGFirewater]

Für jedes neues Serverzertifikat sind die Schritte ab Bild 8 zu wiederholen. Man kann zu den Zertifikaten mehr Angaben machen (Bild 3, 10), das ist aber für die Funktion nicht notwendig. Wichtig ist nur der commonName (cn) für den DNS Namen und wie in deinem Fall, wenn der Zugriff auch über die IP-Adresse erfolgen soll, der Subject Alternative Name (SAN) mit der IP-Adresse.

ich kann nicht das Server Zertifikat nicht anders anwählen als "selbst unterzeichnend, was ist der grund dafür?

 

[MGFirewater]

habe es mittlerweile hinbekommen. habe auch in dsm 7.2. das alte domain zertifikat mit dem xca schlüssel für die lokale ip ersetzt bekommen. also private schlüssel der ds218 (pem) und das zertifikat der ds218 (crt).

allerdings meckert firefox immer noch das die verbindung nicht sicher ist. wobei die Zertifikate-details korrekt aussehen.

zu erklärung. ich habe früher die synology per familyds domain aus dem internet erreicht inkl. gültigem zertifikat. habe jetzt aber die web-domain abgeschaltet und in der fritzbox einen vpn tunnel mit wireguard eingerichtet. sodass alle endgeräte aus dem wan per vpn über die lan ip adresse eine verbindung zum server aufbauen, z.b. android handy per ds file. das funktioniert soweit auch. allerdings wrid die verbindung weiterhin als nicht sicher klassifiziert.

 

[Helge01]

Hallo @MGFirewater , ich denke du nutzt das CA Zertifikat und das wäre logischerweise auch selbsigniert. Kannst du mal bitte die Zertifikatsübersicht zeigen?

 

[MGFirewater]

@Helge01 so schaut's aus

ist es wirklich notwendig für jeden client end instanz zertifikate zu erstellen und zu importieren?

 

[MGFirewater]

ich habe das root zertifikat über einstellungenn -> zertifikate installiert und jetzt geht es. die tutotials sagten immer man sollen die crt. datei mit ff einfahc öfnen und dann würde die abfrage kommen, dem war aber nicht so.

in wiefern und warum behandelt mozilla dieses zertifikat jetzt immer noch als eines der 2.klasse?

 

[Helge01]

Es hat mal wieder nicht die Benachrichtigung von CB funktioniert.
Soweit scheint ja alles in Ordnung zu sein.

in wiefern und warum behandelt mozilla dieses zertifikat jetzt immer noch als eines der 2.klasse?

Mit deiner eigenen CA bist du nicht gleich eine offizielle Zertifizierungsstelle.