Beiträge von hunderteins

  • Kaputte Zertifikatskette (intermediate fehlt) nach Update

    Hallo,

    mir ist ein seltsames Verhalten im WCP aufgefallen. Wenn man in "SSL/TLS-Zertifikate" die Eigenschaften eines Zertifikates ändert und dort nur ein aktuelleres Server-Zertifikat (*.crt) einträgt, ohne gleichzeitig das CA-Zertifikat (*-ca.crt) im gleichen Formular mitzuschicken, dann steht zwar danach das alte CA-Zertifikat unten in der Anzeige. Beim Öffnen der TSL/SSL-Verbindung per

    Code
    $ echo | openssl s_client -showcerts -servername servername.de -connect servername.de:443

    wird aber nur das Server-Zertifikat nicht das CA-Zertifikat als Intermediate übertragen. Der mobilen Browser auf meinem Android zeigt das Verhalten als Fehler an und es macht im SSL Server Test von Qualys den Unterschied zwischen Grad "B" und "A+"

    Schickt man beide Zertifikate in einem Rutsch, dann kommen beide Zertifikate auch beim Verbindungsaufbau. Als Workaround sollte man also immer Serverzertifikat und CA-Zertifikat erneuern.

    Grüße

    Sven

  • Let's Encrypt entfernen

    Hallo eripek,

    vielen Dank für Deine Antwort. Den Haken gibt es bei mir im WCP auch, lässt sich aber weder im Chromium (da ist er grau) noch im Firefox (da ist er blau) ausschalten. Der geht nur weg, wenn ich das von mir per DNS-01 erzeugte Zertifikat aus den Hosting-Einstellungen nehme und aus den SSL/TSL-Zertifikaten lösche.

    Na toll - und wenn ich es wieder hochlade ist der Haken wieder drin. Offenbar ist das WCP der Meinung, dass es generell für alle Zertifikate zuständig sei, die von der CA Let's Encrypt unterzeichnet wurden. Auch wenn es Wildcard-Zertifikate gar nicht erneuern kann und das per HTTP-01 unterschriebene Zertifikat selbst auch nicht verwendet. Wo liegt das eigentlich?

    Dann macht es natürlich auch fleissig in meinem Namen Verlängerungen per HTTP-01 obwohl ich die gar nicht beauftragt habe.

    Schöner wäre es, man hätte einen Knopf, mit dem man dem WCP sagen könnte, Let's Encrypt abzuschalten statt über diesen "cleveren" Mechanismus zu entscheiden, Let's Encrypt zu verwenden oder eben nicht.

  • Let's Encrypt entfernen

    Hallo,

    leider habe ich in der Suche dazu nichts gefunden.

    Ich hatte für meine Domains Let's Encrypt im WCP eingerichtet, bis ich gemerkt habe, dass damit keine

    Wildcard-Zertifikate erstellt werden und somit Catch-All über https nicht funktioniert.

    Deshalb mache ich das per DNS-01 zu Fuß und habe die Let's Encrypt Zertifikate im WCP gelöscht.

    Im access_log sehe ich, dass aber noch fleissig Zugriffe nach /.well-known/acme-challenge reinkommen,

    d.h. dass jemand weiterhin per HTTP-01 Zertifikate auf meinen Domainnamen erzeugt. Klar - im WCP steht

    auch noch meine eMail-Adresse unter "Let's Encrypt." Deshalb die Frage: Kann man das Let's Encrypt im

    WCP wieder ausschalten?

    Danke und Grüße

    Sven

  • http-01 challenge von Let's encrypt im eigenen Webspace (WS2000)

    Danke für die Antwort.

    Ist die API bei der dns-01 schneller als das CCP? Das dauert dort mindestens 5 Minuten bis ein challenge Eintrag im entsprechenden TXT-Record beim primary ankommt. Bei einem Wildcard-Cert mit *.domain.de und domain.de als Altname sind dass dann zwei Challenges = 10 Minuten.

    Da dachte ich mit einer funktionierenden http-01 könnte ich das zumindest für domain.de parallelisieren und würde nur noch die Wildcard mit dns-01 machen.

    Leider habe ich keine IP/Shell irgendwo übrig, sonst würde ich _acme-challenge.domain.de delegieren.

    Dann wird es acme.sh und acme-dns-nc und ist eh' ein Batch. Dauert es halt länger.

  • http-01 challenge von Let's encrypt im eigenen Webspace (WS2000)

    Hallo,

    Entschuldigung, falls die Frage schon beantwortet wurde. In der Suche und im Wiki habe ich Nichts gefunden.

    Ich möchte gerne die http-01 challenge von Let's encrypt selbst bedienen. Leider werden aber Zugriffe auf meinen Webspace (Webspace 2000) in /.well-known/acme-challenge/ für die "bequeme" Let's Encrypt-Steuerung über das WCP nach /var/www/vhosts/default/htdocs/.well-known/acme-challenge umgeleitet. Gibt es eine Möglichkeit, diese Umleitung dem WCP abzugewöhnen? Alternativ schreibe ich die Challenge in das o.g. Verzeichnis, aber dazu müsste das wie z.B. /tmp/ mit 1777 offen sein, damit dort jeder seine Challenge reinschreiben kann, aber die von den anderen nicht versehentlich löscht.

    Danke für jede konstruktive Antwort.

    Sven