Zugriff ohne VPN

[heckmannju]

Hm. Könntest Du nicht einfach ein Customfeld für Letsencrypt anbieten, wo man einen zusätzlichen Hostnamen angeben kann der dann via ACME verifiziert wird? AFAIK kann man bei Letsencrypt auch mehrere Hostnamen auf einmal validieren lassen und in dasselbe Cert packen.

Das es so geht hätte ich mir auch vorgestellt!

VG
Jürgen

[heckmannju]

das geht leider nicht. Das funktioniert nur mit Domains bei denen ich DNS-Einträge modifizieren kann.

Müsste dann das Zertifikat von Feste-IP gemacht werden?

[trollvottel]

Müsste dann das Zertifikat von Feste-IP gemacht werden?

Es muss nur in dem Moment der Validierung bei Letsencrypt (ACME-Protokoll) sichergestellt sein, dass das well-known-secret über beide Hostnamen gelesen werden kann. Das müsste Callidomus aber erst einbauen, dass weitere Hostnamen ins beantragte Cert aufgenommen werden sollen.

Das Cert ist dann für beide Hostnamen ausgestellt, den einen bei mycd.eu und den anderen bei feste-ip.de und somit valide für beide.

IMO wäre das eh sinnvoll, um eigene Domains zu supporten. Es birgt halt Potenzial für Fehler, wenn der A-Eintrag im DNS nicht aktuell ist.

[callidomus]

Hallo,

ich denke das funktioniert nicht, da man die Autorisierung für ein Cert nicht pro Domainname differenzieren kann.
Für mycd.eu verwende ich DNS Auth. Die Autorisierung über Files auf einem Webserver benötigt einen HTTP-Server (ohne TLS). Den will/braucht man normalerweise nicht im Internet für das Thema Haussteuerung. Und man muss einen zusätzlichen Port weiterleiten.

Man kann doch auch ein Zertifikat auf dem Reverseproxy einrichten/verwenden. Von dort geht es dann verschlüsselt oder umverschlüsselt weiter zu callidomus.

Bis bald

Marcus

[heckmannju]

Man kann doch auch ein Zertifikat auf dem Reverseproxy einrichten/verwenden. Von dort geht es dann verschlüsselt oder umverschlüsselt weiter zu callidomus.

Welchen Referseproxy meinst du da? Ist der auf dem Image installiert?

[callidomus]

trollvottel und hotzen (siehe parallel Thread) betreiben einen. Auf dem Image steht keiner zur Verfügung. Würde das Problem aber nur auf diesen Verlagern.

[heckmannju]

Für mycd.eu verwende ich DNS Auth.

Und warum kann man das gleiche nicht auch für feste-ip machen?

[trollvottel]

Btw: Ich nutze eine Sophos UTM als Reverseproxy (basiert auf Apache2, Homelizenz ist kostenlos). Mit modifizierter Config, sodass auch Websockets durchgehen. Bisher mit einem cert von StartSSL. Aber wie es mit dieser CA weitergeht, wird man erst noch sehen müssen. Alle paar Monate cert renewal bei Letsencrypt ist mir manuell zu nervig, da die UTM das nicht selber macht. In der Sophos community treiben sich aber schon welche rum, die das per script auch schon auf der UTM machen - Da muss ich auch mal schauen.

[heckmannju]

Btw: Ich nutze eine Sophos UTM als Reverseproxy (basiert auf Apache2, Homelizenz ist kostenlos). Mit modifizierter Config, sodass auch Websockets durchgehen. Bisher mit einem cert von StartSSL. Aber wie es mit dieser CA weitergeht, wird man erst noch sehen müssen. Alle paar Monate cert renewal bei Letsencrypt ist mir manuell zu nervig, da die UTM das nicht selber macht. In der Sophos community treiben sich aber schon welche rum, die das per script auch schon auf der UTM machen - Da muss ich auch mal schauen.

also ich habe noch nicht verstanden wie dieser Reverseproxy helfen sollte für das Problem mit dem Zertifikat.

[trollvottel]

also ich habe noch nicht verstanden wie dieser Reverseproxy helfen sollte für das Problem mit dem Zertifikat.

Tut er, denn man kann eigene Zertifikate einspielen. Frontendseitig hast Du SSL mit eigenen cert z.B. für feste-ip.de und backendseitig Callidomus.

Weiterer Vorteil: Man kann weitere Backends neben Callidomus auf dem Defaultport betreiben. Mache ich persönlich z.B. für den Embedded Host Client des ESXi (VMware), DVBLink PVR, Windows Home Server Web Client, FritzBox, ...

[callidomus]

Hallo Jürgen,

Und warum kann man das gleiche nicht auch für feste-ip machen?

Ich/Du dürfen wahrscheinlich keine TXT-Records für die feste-ip Domain machen.

Bis bald

Marcus

[heckmannju]

Hi,
dann muss das Zertifikat von den Inhabern der feste-ip Domain gemacht werden und diese müsste ich dann irgentwie auf meiner Instanz installieren?
Viele Grüsse
Jürgen

[trollvottel]

Hi,
dann muss das Zertifikat von den Inhabern der feste-ip Domain gemacht werden und diese müsste ich dann irgentwie auf meiner Instanz installieren?
Viele Grüsse
Jürgen

Nein. Es gibt auch andere Wege, via ACME zu validieren. Eben z.B. einfach über ein File mit einem bestimmten Inhalt auf einen HTTP-Server zu legen und über genau den Hostnamen zugänglich zu machen, für den das SSL cert ausgestellt werden soll. Und eben dieses Cert in einem Callidomus vorgeschalteten Reverseproxy einspielen.

[heckmannju]

Hi,
die Complexität und den weiteren Rechner für einen Reverseproxy würde ich mir nur ungern antun außer Marcus macht das out of the box auf dem Callidomus image.

Frage:
Funktioniert den der Zugrif von einem Handy mit IPV6 IP (gibt es von der Telekom) auf mycd.eu auf den Callidomusrechner der über DS-Lite angeschlossen ist?

VG
Jürgen

[callidomus]

Hallo Jürgen,

Frage:
Funktioniert den der Zugrif von einem Handy mit IPV6 IP (gibt es von der Telekom) auf mycd.eu auf den Callidomusrechner der über DS-Lite angeschlossen ist?

momentan nicht, das könnte ich aber relativ einfach umsetzen. Dein Kabelanbieter verwendet aber schon statische IPv6 Adressen? Ich würde denen auch zutrauen die zu würfeln.

Bis bald

Marcus