Let's Encrypt Zertifikat von Netcup für Dienste im LAN nutzen?

    Hallo,

    ich habe bei Netcup ein Let's Encrypt Zertifikat mit einer Wildcard für *.domain.de angelegt. Wie kann ich dieses vertrauenswürdig signierte Zertifikat in meinem LAN einsetzen? Lokal habe ich eine Fritzbox uns mehrere VM's und LXC's auf Proxmox PVE mit unterschiedlichen Diensten laufen. Ich habe gelesen, dass es da Möglichkeiten für gibt, eine wo Port 80/443 von außen erreichbar sein muss und eine andere, wo das nicht der Fall ist. Letztere Möglichkeit finde ich ganz gut. Gibt es dafür bereits vorhandene Anleitungen?

    Danke!

    hallo

    Zitat von madfg

    und eine andere, wo das nicht der Fall ist. Letztere Möglichkeit finde ich ganz gut. Gibt es dafür bereits vorhandene Anleitungen?

    erzeuge dir einfach mit einem beliebigen acme-kompatiblen Client von zu Hause eigene Wildcard-Letsencrypt-Zertifikate für deine Domain. dann hast du sowohl den private als auch public Key in der Hand und kannst damit deine eigenen Dienste im Homelab versorgen.

    Das im Netcup Webhosting erstellte Zertifikat bringt dir nichts für's Homelab, da du eben besagte Keys benötigst.
    Ich nutze für die Zertifikatserzeugung acme.sh - bietet auch von Haus aus eine Unterstützung für die Netcup DNS API.

    Bei Fragen, frag einfach. :)

    Das Wildcard-Zertifikat aktualisiert Netcup nicht automatisch, weil du dafür händisch DNS-Änderungen machen musst. Das musst du jedesmal machen, wenn das Zertifikat aktualisiert werden muss, also z.Z. noch ungefähr alle drei Monate, aber in absehbarer Zeit jeden Monat. Wenn du das so machst, kannst du dir im Prinzip auch den privaten Schlüssel im CustomerControlPanel herunterladen und das Zertifikat auf deinem eigenen Server zu Hause nutzen. Viel einfacher ist es aber, auf deinem Server zu Hause einen Client für Letsencrypt zu installieren, der die DNS-01 Challenge beherrscht und damit ein Wildcard-Zertifikat zu erstellen und automatisiert aktualisieren zu lassen. Du darfst dir nämlich ohne weiteres mehrere Zertifikate für deine Domain von Letsencrypt holen. Für die Domain bzw. Subdomains, die du mit einem Webhosting bei Netcup verwendest, solltest du kein Wildcard-Zertifikat einstellen, damit Netcup die Zertifikate automatisch aktuell halten kann.

    Zitat von DerRené

    Das im Netcup Webhosting erstellte Zertifikat bringt dir nichts für's Homelab, da du eben besagte Keys benötigst.

    Der Key ist abrufbar, aber auch wenn es im Prinzip geht, ist dein Kommentar in der Konsequenz schon richtig.

    Zitat von madfg

    ich habe bei Netcup ein Let's Encrypt Zertifikat mit einer Wildcard für *.domain.de angelegt.

    Ist dir bewusst, dass das Zertifikat dann nicht automatisch verlängert wird und du spätestens alle 90 Tage es manuell wieder verlängern musst? Das ist bei Webhostings von netcup leider sehr schlecht gelöst. Am besten dort keine Wildcard-Zertifikate verwenden.

    Dieses Gebäude hat mir die Vorfahrt genommen! *hup*

    Zitat von DerRené

    hallo

    erzeuge dir einfach mit einem beliebigen acme-kompatiblen Client von zu Hause eigene Wildcard-Letsencrypt-Zertifikate für deine Domain. dann hast du sowohl den private als auch public Key in der Hand und kannst damit deine eigenen Dienste im Homelab versorgen.

    Das im Netcup Webhosting erstellte Zertifikat bringt dir nichts für's Homelab, da du eben besagte Keys benötigst.
    Ich nutze für die Zertifikatserzeugung acme.sh - bietet auch von Haus aus eine Unterstützung für die Netcup DNS API.

    Bei Fragen, frag einfach. :)

    Generell: Gibt es zu dieser Methodik irgendwo eine brauchbare Anleitung die Funktioniert?

    Ich hatte das mal kurz probiert, aber ich erhalte:

    Code
     Adding TXT value: 111 for domain: _acme-challenge.domain.com
[Thu Nov 20 14:55:52 UTC 2025] {"serverrequestid":"1234","clientrequestid":"","action":"","status":"error","statuscode":4013,"shortmessage":"Validation Error.","longmessage":"Value in field customernumber does not match requirements of type: positiveinteger. ","responsedata":""}
[Thu Nov 20 14:55:52 UTC 2025] No Credentials given
[Thu Nov 20 14:55:52 UTC 2025] Error adding TXT record to domain: _acme-challenge.domain.com
[Thu Nov 20 14:55:52 UTC 2025] Please add '--debug' or '--log' to see more information.
[Thu Nov 20 14:55:52 UTC 2025] See: https://github.com/acmesh-official/acme.sh/wiki/How-to-debug-acme.sh

    Ich hatte die Umgebungsvariablen so festgelegt:

    Code
    export NC_CustomerID="123456"
export NC_Apikey="abc"
export NC_Apipw="def"

    Einmal editiert, zuletzt von madfg (20. November 2025 um 16:00)

    Zitat von madfg

    Gibt es zu dieser Methodik irgendwo eine brauchbare Anleitung die Funktioniert?

    Im acme.sh-Wiki gibt es eine Anleitung: https://github.com/acmesh-officia…ally-issue-cert

    Der Befehl in meinem bash-Skript lautet dazu ./acme.sh --issue --dns_netcup -d domain.de -d *.domain.de --dnssleep 43200 --force.

    Das "--dnssleep" ist relativ wichtig, weil die Nameserver von netcup manchmal bisschen länger brauchen, um die DNS-Einträge zu propagieren (selbst wenn TTL, Refresh etc. auf niedrige Zahlen gesetzt werden). Ich vermute mal, das ist auch bei dir der Fall.

    Einmal editiert, zuletzt von alxhu (20. November 2025 um 16:41) aus folgendem Grund: Formulierung geändert

    Die Netcup Nameserver erneuern alle 10 Minuten die Zone, d.h. dnsleep von 600 ist ausreichend. Ich fahre mit einem kleinen Puffer seit Jahren gut und trage einfach 630 ein. 43200 (12h! 😕) ist hier absolut übertrieben.

    Ich denke aber nicht, dass das hier die Ursache ist, weil:

    Zitat von madfg

    Value in field customernumber does not match requirements of type: positiveinteger.
    [...]
    No Credentials given

    Es scheint bereits zu Beginn bei der Authentifizierung abzubrechen. Prüfe da also nochmal deine Eingaben (Leerzeichen oder sonstiges versehentlich mit kopiert?)
    Ansonsten auch mal, wie im Log steht, gern mal mit --debug zusätzliche Infos einschalten und gucken was ihn genau stört.

    ich habe es jetzt mal getestet und es hat soweit geklappt.

    Ich musste nur

    export NC_CustomerID="123456"

    auf

    export NC_CID="123456"

    ändern und dnssleep auf 640 stellen.

    Lokal konnte ich die Zerfitikate dann verwenden, als ich beim lokalen DNS Dienst subdomain.domain.de auf die interne IP geleitet habe. Ist ja soweit richtig oder?

    Das acme.sh muss dann ja auch alle drei Monate zur Erneuerung erneut ausgeführt werden. Bedeutet das dann auch, dass für den lokalen Dienst alle drei Monate das SSL Zertifikat getauscht werden muss?

    Alternativ müsste ich alle Anfragen über einen Reverse Proxy laufen lassen.

    Einmal editiert, zuletzt von madfg (21. November 2025 um 11:56)

    Zitat von madfg

    Alternativ müsste ich alle Anfragen über einen Reverse Proxy laufen lassen.

    Das ist der bequemste Weg, ja. Dann musst du nur an einer Stelle Zertifikate pflegen. :)

    Acme bietet auch pre- und posthook Parameter an. Damit einfach automatisch den Proxy reloaden nach dem Erneuern. Ein cron wird eh automatisch angelegt zum erneuern. Musst nix händisch machen. :)