Gibt es beim Anlegen, der DNS-Zonen was zu beachten?
Ich möchte ein Let's Encrypt Zertifikat für eine Domain.
Der notwendige TXT Eintrag wurde angelegt.
Ich warte jetzt aber schon drei Tage, dass er aufgelöst wird.
DNS Zone
-
BavarianGeek -
9. November 2024 um 10:05 -
Erledigt
-
Ja, es gibt was zu beachten. Hilft dir das weiter?
Dann zeig doch mal (anonymisierte) Screenshots der DNS Zone und die Ergebnisse von dig oder nslookup für verschiedene Einträge der Domain, auch für den TXT. Im Moment können wir nur raten.
-
Den DNS-Einstellungen nach, handelt es sich um eine domain, die einem Webhosting zugeordnet ist.
Spricht in deinem Fall etwas dagegen, statt einer DNS-challenge, das Zertifikat einfach direkt über das Hosting zu generieren?
-
Bei Abfragen wird einfach nichts ausgegeben bzw. "Record not found!"
Dann zeige doch mal, was genau du da eingibst.
-
Die Domain ist zusätzlich zu meinem Paket, aber dem Hosting zugeordnet.
Wenn ich in der Verwaltung der Domain auf SSL gehe, steht dort, ich muss es über den Punkt "Produkte" verwalten.
Wenn ich dann unter Produkte das Zertifikat für die Domain anlegen will, kommt eben folgende Aufforderung.Unter Produkte kannst du dein Webhosting öffnen, dort im Dropdownmenü die domain auswählen und dann sollte dort ein Button sein, mit dem du direkt ein lets-encrypt-cert anlegen kannst:
("Kostenloses Basiszertifikat von Let's Encrypt installieren")
Wichtig ist, dass du dort "wildcard" NICHT anhakst.
-
Mache ich hier etwas Falsch?
Die DNS-Challenge wird nur gebraucht, wenn du ein Wildcard-Zertifikat ausstellen möchtest. Wenn du das Zertifikat nur für die Domain selbst und die www Subdomain brauchst, so wie Domains im Webhosting normalerweise verwendet werden, dann wähle den Punkt Wildcard-Zertifikat nicht aus. Ohne das funktionieren die Zertifikatausstellung und vor allem die regelmäßige Erneuerung automatisch, ohne dass du etwas an den DNS-Einstellungen ändern musst. Du kannst dann trotzdem einzelne weitere Subdomains im Webhosting anlegen und separat mit Zertifikaten ausstatten, die ebenfalls automatisch aktualisiert werden.
Nur wenn du ein Wildcard-Zertifikat brauchst, weil du viele wechselnde Subdomains auch extern nutzen möchtest, musst du dich mit der DNS-Challenge beschäftigen. Dann ist aber der manuelle Weg nicht praktikabel, weil diese Zertifikate spätestens alle drei Monate erneuert werden müssen (in Zukunft vielleicht noch öfter). Ohne Automatisierung wird das früher oder später zu abgelaufenen Zertifikaten führen. Da du über das Webinterface sowieso nicht an den Schlüssel kommst, um das Zertifikat außerhalb des Webhostings zu nutzen, gibt es eigentlich nie einen Grund, über das Webinterface ein Wildcard-Zertifikat ausstellen zu lassen.
-
Dann zeige doch mal, was genau du da eingibst.
domain.tld
Da alle anderen Einträge wie A, AAAA korrekt abgefragt werden, denke ich nicht, dass hier ein Fehler vorliegt. -
Unter Produkte kannst du dein Webhosting öffnen, dort im Dropdownmenü die domain auswählen und dann sollte dort ein Button sein, mit dem du direkt ein lets-encrypt-cert anlegen kannst:
("Kostenloses Basiszertifikat von Let's Encrypt installieren")
Wichtig ist, dass du dort "wildcard" NICHT anhakst.
Genau so mache ich es und dann kommt eben das im angehängten Screenshot
Also der Screen kommt unmittelbar, nachdem ich auf den Button klicke. Ein "Let's Encrypt installieren" oder "wildcard" sehe ich gar nicht. -
Mit diesen Einstellungen musst du DNS nicht anfassen.
-
Genau so mache ich es und dann kommt eben das im angehängten Screenshot
Hmmm.... Bist du sicher, dass du den Haken vor "Wildcard-Domain schützen" rausgenommen hast?
-
Es lag am Punkt Wildcard-Domain schützen
Vielen Dank für die Hilfe -
OK, nachdem das Problem gelöst ist, kann mir vielleicht jemand einen Grund nennen, warum diese Option überhaupt existiert? Es ist ja nicht das erste mal, dass die zu diesen Schwierigkeiten führt. Aber wofür ist diese Auswahlmöglichkeit gut? Ich meine konkret diese Umsetzung, nicht wofür Wildcard-Zertifikate allgemein gut sind. Welchen praktischen Sinn hat dieser Punkt im Webinterface?
-
domain.tld
Da alle anderen Einträge wie A, AAAA korrekt abgefragt werden, denke ich nicht, dass hier ein Fehler vorliegt.Nur, um das noch kurz abzuschließen: Du weißt, dass der TXT Record nicht auf domain.tld liegt, sondern auf _acme-challenge.domain.tld?
-
Nur, um das noch kurz abzuschließen: Du weiß, dass der TXT Record nicht auf domain.tld liegt, sondern auf _acme-challenge.domain.tld?
Das war bei mir damals auch ein Aha-Effekt:
DNS TXT-Records verwirren mich - netcup KundenforumHallo zusammen Ich bin verwirrt. Wenn ich einen TXT-Eintrag erstelle und als Host die domain (@) zuordne (wie z.B. bei spf-Einträgen), dann sehe ich diese…forum.netcup.de -
Nur, um das noch kurz abzuschließen: Du weißt, dass der TXT Record nicht auf domain.tld liegt, sondern auf _acme-challenge.domain.tld?
So steht es in dem Hinweis-Screen, der erscheint, und so hatte ich es.Ich hatte deswegen schon Kontakt mit dem Support und dieser hat mich angewiesen, es so zu ändern
Zitat:
Bei der Überprüfung ist mir aufgefallen, dass Ihre DNS-Einstellungen nicht ganz korrekt sind. Sie haben als Host: _acme-challenge.xyz.cloud eingetragen. Richtig wäre es, als Host nur _acme-challenge (ohne die Domain) einzutragen.
Bitte passen Sie dies an, damit die Ausstellung des Zertifikats erfolgreich durchgeführt werden kann.
Leider widersprüchlich. Zudem ist letztlich nicht gelöst, warum meine – wenn auch unnötigen und/oder falschen Einträge – nicht veröffentlicht werden. -
So hatte es frank_m (glaube ich) nicht gemeint.
Dass man nur _acme-challenge eintragen muss, ohne die Hauptdomain dahinter, ist netcup-spezifisch und gilt nur für die Eingabemaske im CCP.
Die Hauptdomain wird automatisch angehängt.
Der TXT-record wird dann also trotzdem unter _acme-challenge.domain.tld veröffentlicht und so muss man ihn dann auch suchen.
Unter domain.tld wirst du den TXT-Record nicht finden, wohl aber unter der subdomain _acme-challenge.domain.tld
-
Deine Screenshots sind widersprüchlich. In der Google-Admin Abfrage ist an der Länge ersichtlich, dass du die TXT-Records für die Domain selbst und nicht für die _acme-challenge Subdomain abfragst. Für die Domain hast du den TXT-Record nicht gesetzt, und das ist der Grund, warum der nicht existiert und nicht abgefragt werden kann. Dass das nicht funktionieren kann, wurde schon erwähnt. Du hast drei Kommentare überlesen, die dir die Lösung, den Haken bei "Wildcard-Subdomain schützen" rauszunehmen, schon genannt hatten. Bitte geh' etwas sorgfältiger mit der Zeit der Leute um, die dir helfen.
-
Aber wofür ist diese Auswahlmöglichkeit gut?
Es ist halt im Plesk, was normalerweise auch DNS verwalten und dann auch Wildcards ordentlich behandeln kann.
Aber eben nicht hier bei uns.
Wobei im Wiki ja explizit und deutlich auf die Wildcardbesonderheit hingewiesen wird.
https://helpcenter.netcup.com/de/wiki/webhosting/ssl-verschluesselung-webhosting
