SSL-Zertifikate und DNS-01

    Hallo,

    ich experimentiere gerade mit Stalwart-Mail im rootless Container (Quadlet). Damit ich das entsprechende SSL-Zertifikat (das mir derzeit Caddy auf dem Host erstellt) nicht umständlich in das Stalwart-Volume kopieren muss, wäre es schön, wenn ich das Zertifikat direkt aus Stalwart heraus abrufen könnte. Als Challenge type kommt dann nur DNS-01 infrage. Wird das seitens netcup unterstützt? Ich habe dazu bisher nichts gefunden und wäre für Hinweise zur Doku dankbar.

    Danke und viele Grüße
    Martin

    Caddy 2 unterstützt/nutzt libdns und es gibt ein DNS Provider Plugin Modul für netcup.

    Gehe zur Download-Seite von von Caddy ( https://caddyserver.com/download ) und gib dort im Feld "Filter packages and modules..." caddy-dns/netcup ein.

    Das Modul selbst befindet sich auf Github unter https://github.com/caddy-dns/netcup

    Ein paar Infos dazu gibt es auch noch hier:

    https://caddy.community/t/how-to-use-dns-provider-modules-in-caddy-2/8148

    Ich kenne weder Stalwart noch Quadlet und ich habe bei netcup auch nur eine Inklusiv-Domain von einem Webhosting. Aber ich gehe davon aus, dass das, wenn richtig konfiguriert, funktionieren wird.

    pgloor Danke, aber ich habe keine Probleme, auf dem Host das Zertifikat abzurufen. Stalwart läuft hingegen in einem rootless Container und kann selbst kein libdns/netcup, sondern nur DNS-01. Daher hatte hatte mich interessiert, ob das netcup auch "spricht". Wenn nicht, ists auch kein Beinbruch, aber es wäre vom Setup halt einfacher gewesen.

    Ich muss noch erwähnen, dass ich jetzt nicht sicher bin, ob ich alles rictig verstanden habe.

    Zitat von beedaddy

    ... Damit ich das entsprechende SSL-Zertifikat (das mir derzeit Caddy auf dem Host erstellt) nicht umständlich in das Stalwart-Volume kopieren muss, wäre es schön, wenn ich das Zertifikat direkt aus Stalwart heraus abrufen könnte. ...

    Brauchst du denn das Zertifikat überhaupt im Container? Warum überlässt du die Sache mit dem Zertifikat nicht einfach Caddy und leitest deine Requests über http an den Container weiter? Oder nutzt du den Reverse Proxy gar nicht und möchtest Caddy nur zur Zertifikatsverwaltung?

    [O.T.] Ich bin gespannt wie sich dein Projekt bewährt, da ich selber noch nach einer Lösung für einen Mailserver suche, der für Familie und kleine Gruppen (Verein) geeignet ist und sich auch selber verwalten lässt. Das ist zwar schon lange her, aber ich habe über 10 Jahre Erfahrung mit Mailserver-Umgebungen (mit 30 bis 4000 Benutzern) und weiss daher, was das mit sich bringt.

    Zitat von pgloor

    Brauchst du denn das Zertifikat überhaupt im Container? Warum überlässt du die Sache mit dem Zertifikat nicht einfach Caddy und leitest deine Requests über http an den Container weiter? Oder nutzt du den Reverse Proxy gar nicht und möchtest Caddy nur zur Zertifikatsverwaltung?

    Eine gute Frage. Zumindest wenn man STARTTLS ermöglichen will, benötigt Stalwart selbst das Zertifikat. Und ich meine für SMTP auf Port 25 (kein implizites TLS) ist es ebenfalls notwendig.

    Zitat von pgloor

    Ich bin gespannt wie sich dein Projekt bewährt

    Ich stehe zwar noch am Anfang und nutze Stalwart im Testbetrieb für eine (selten genutzte) Domain von mir. Der Rest läuft noch mit Postfix/Dovecot.

    Ich kann aber jetzt schon sagen, das mir Stalwart ausgesprochen gut gefällt und das Setup – verglichen mit Postfix und Co. – sehr einfach ist. Bei mir kommt halt erschwerend hinzu, dass ich mich gerade für Podman Container interessiere und daher Stalwart entsprechend aufsetzen wollte.

    Zitat von beedaddy

    Als Challenge type kommt dann nur DNS-01 infrage. Wird das seitens netcup unterstützt?

    Ja du kannst Domains bei Netcup über eine DNS-API steuern, siehe Wiki, dort wird die Schnittstelle beschrieben und einige Clients benannt.

    Sofern entsprechende Letsencrypt-Clients eine Netcup-Unterstützung eingebaut haben (wie zb der acme.sh Client), lässt sich also die DNS 01 challenge darüber absolvieren. Wichtig ist nur die Einhaltung einer 10 minütigen wait time, da der Zonen-Refresh bei Netcup so lange dauert. Beherzigt man das, klappts problemlos.

    In der Stalwart-Dokumentation zur Konfiguration bei der Installation unter Docker habe ich im Abschnitt TLS noch folgendes gelesen:

    Zitat von Stalwart Dokumentation
    • If you are running Stalwart behind a reverse proxy such as Traefik, Caddy, HAProxy or NGINX, you should skip this step and configure TLS in your reverse proxy instead.

    Falls ich diese Woche noch Zeit finde, werde ich unter Docker mal einen Versuch starten. Da ich mein Webmail bei netcup eh nicht mehr brauche, kann ich dazu die DNS Konfiguration meiner netcup Domain benutzen (seufzt beim Gedanken daran, wie lange das bei netcup wieder dauern wird ;) ).

    Zitat von Ganzjahresgriller

    Richtig, DNSSEC funktioniert, Änderungen im DNS sind schneller verfügbar - so ist zumindest meine Erfahrung

    kann ich bestätigen. Bin seit >1,5 Jahren mit allen bei Netcup registrierten Domains bei deSEC. Läuft völlig problemlos. DNS Aktualisierungen sind innerhalb weniger Sekunden auf allen deSEC Resolvern ausgespielt. Das war mit der Hauptgrund, zu deSEC zu wechslen.

    Einmal editiert, zuletzt von seal (4. April 2025 um 10:41)