Ich verweise einfach mal auf meinen Beitrag; dort habe ich es ausführlich beschrieben 
Lauschen deine Dienste noch auf der richtigen IP? ss -tulpen
Firewall korrekt eingestellt? Schlug fail2ban an?
kA was DirectAdmin ggf alles im System verstellt, ggf. dort mal weiter forschen.
Ihr könnt die Domains auch einfach direkt aus dem CCP heraus bestellen. Wenn die tld im Angebot ist, dann auch dort.
Ja das stimmt, ein Berechtigungsmanagement für die API würde ich mir auch wünschen. Spielt für mich zwar eine untergeordnete Rolle, da meine Server, die die API nutzen, bei mir zuhause stehen und der Angriffswinkel klein ist, trotzdem wäre eine professionellere Umsetzung inkl. Berechtigungslevel beruhigender.
So betrachtet kann ich dein "Beharren" auf die Auslagerung Richtung DeSec o.ä. durchaus nachvollziehen. 
NaN Richtig, man kann problemlos die DNS-Challenge auf eine Alternativdomain auslagern. Ich sehe hier beim TO aber gar keine Anforderung dafür?
Hatte ich stellenweise aber auch schon genutzt, ist wirklich sehr praktisch. Beispielsweise wenn Domain1 keine API anbietet, dafür aber Domain2. Oder die Zonen unterschiedlich gehandhabt werden.
Aljoscha Gern, hier mal Auszüge meiner History der wichtigsten Befehle mit Kommentaren für dich:
# User für acme.sh anlegen, da der Client nicht unter root laufen sollte:
sudo adduser letsencrypt
# zum neuen User wechseln:
sudo su - letsencrypt
# acme.sh herunterladen
# Achtung: es empfiehlt sich das Script vorher einmal anzuschauen (und zu verstehen!)
wget https://get.acme.sh -O acme.sh
less acme.sh
chmod +x acme.sh
# acme.sh installieren:
# Mail für renewal Benachrichtigungen
./acme.sh --install --accountemail "meine@mailadresse.ente"
# einmal die shell neu öffnen
exit
# Default CA von ZeroSSL zu Lets Encrypt ändern:
# optional, man könnte dies mit jedem neuen Antrag auch manuell angeben, oder eben hier als Vorgabe hinterlegen
acme.sh --set-default-ca --server letsencrypt
# Netcup Credentials einmalig angeben, wird danach in der acme.sh Config gespeichert:
# API Zugänge können kostenlos im CCP angelegt werden:
# Siehe Wiki: https://helpcenter.netcup.com/de/wiki/general/unsere-api#authentifizierung
export NC_Apikey="HierKommtDerNetcupApiKeyRein"
export NC_Apipw="HierKommtDasApiPasswortRein"
export NC_CID="12345"
# Testzertifikat per Netcup-DNS API anfordern
# für domain.ente und *.domain.ente
# '--test' sorgt für einen Testdurchlauf mit der Lets Encrypt Staging CA
# Vorteil: hier gibt es kein Rate Limit und man kann solange probieren, bis es alles getestet ist
# erst wenn alles klappt '--test' weglassen und danach ein gültiges Zertifikat anfordern:
acme.sh --issue \
-d 'domain.ente' \
-d '*.domain.ente' \
--dns dns_netcup \
--dnssleep 630 \
--keylength 4096 \
--key-file /etc/letsencrypt/mycert/key.pem \
--ca-file /etc/letsencrypt/mycert/ca.pem \
--cert-file /etc/letsencrypt/mycert/cert.pem \
--fullchain-file /etc/letsencrypt/mycert/fullchain.pem \
--reloadcmd "sudo /bin/systemctl reload nginx.service" \
--test
# Test-Zertifikat löschen:
acme.sh --remove -d 'domain.ente'
# gültiges Zertifikat anfordern:
acme.sh --issue \
-d 'domain.ente' \
-d '*.domain.ente' \
--dns dns_netcup \
--dnssleep 630 \
--keylength 4096 \
--key-file /etc/letsencrypt/mycert/key.pem \
--ca-file /etc/letsencrypt/mycert/ca.pem \
--cert-file /etc/letsencrypt/mycert/cert.pem \
--fullchain-file /etc/letsencrypt/mycert/fullchain.pem \
--reloadcmd "sudo /bin/systemctl reload nginx.service"Pfade und reloadcmd sind natürlich den eigenen Bedürfnissen anzupassen. Hier handelt es sich wie man sieht um ein Zertifikat für den Webserver nginx, in dessen SSL-Config ich auf die Zertifikate verweise.
Halte es auch für unwahrscheinlich dass Netcup aktiv Prozesse killt und höre das zum ersten mal.. da wäre es im Ernstfall viel leichter die ganze VM zu stoppen als nach irgendwelchen Prozessen auf Usersystemen zu suchen. Auch fragwürdig ob sie überhaupt derart eingreifen dürften?!
Richtig, guter Hinweis. Wurde u.a. hier schon mal besprochen:
Acme.sh + Netcup API funzt einwandfrei. Seit Jahren im Einsatz bei mir. Gestern zuletzt beim neuen Projekt. Ich kann heute Abend gern die genutzten Befehle dazu ergänzen.
Wichtig: dns-sleep auf 630 setzen. Und DNSSEC natürlich aus, aber das sollte sich hier ja mittlerweile rumgesprochen haben.
Joa wie gesagt, je nach vorhandenem Setup direkt möglich oder eben nachjustieren. Per API ist's jedenfalls möglich x beliebe (Sub)Domains automatisiert zu bearbeiten/updaten.
Mit DynDNS Domain: Aufruf cloud.netcupdomain.de --> Adresszeile springt zu cloud.dyndnsdomain.de und der Dienst dahinter wird aufgerufen
Wie genau hast du denn derzeit cloud.netcupdomain.de mit der Adresse cloud.dyndnsdomain.de "verbunden"? Klingt mir nach einer HTTP-Weiterleitung Netcup->DynDNS und nicht nach einem schon mehrfach vorgeschlagenen CNAME Record in der Netcup DNS Zone.
Und benenne ruhig mal den DynDNS Anbieter, evtl. hilft das für Klarheit zu sorgen.
Edit: auch evtl. wichtig, dass sich der angesprochene Dienst mit der Netcup-Domain auch angesprochen fühlt und nicht selbstständig auf einen evtl. dort hinterlegten DynDNS-Namen selber weiterleitet. Ohne konkrete Infos kann man hier nur allgemeine Hinweise geben.
Mittels diesem Script des offiziellen von netcup
Ich möchte aber noch anmerken, dass das Script zwar von einem Netcup-Mitarbeiter geschrieben wurde, aber dennoch kein "offizielles Netcup Tool" ist. Steht ja auf der Seite direkt als Disclaimer drüber:
This project is not affiliated with the company netcup GmbH. Although it is developed by an employee, it is not an official client by netcup GmbH and was developed in my free time. netcup is a registered trademark of netcup GmbH, Karlsruhe, Germany.
Nur um klarzustellen, dass du hierbei keinen offiziellen Netcup Support erwarten kannst. 
--
ist es möglich direkt mehrere Subdomains auf den eigenen Router (FritzBox) bzw. Dienste dahinter leiten zu lassen
Wenn alle Subdomains dieselbe IP haben, würde es eigentlich reichen die IP Adresse EINER Subdomain zu pflegen und den Rest dann per CNAME zu klonen. Zumindest wenn alle Ziele dieselbe IP haben. Bei unterschiedlichen Endpunkten (evtl bei IPv6, je nachdem was du da wie zuhause betreibst) könnten mehrere Einträge nötig sein, ja. Aber dann updatest du per Script eben alle Subdomains und nicht nur eine.
also so, dass in der Adressleiste des Browsers die netcup Subdomain und nicht die DynDNS Domain verwendet wird?
Dabei spielt es ja prinzipiell keine Rolle ob du nun einen DynDNS wie myfritz nutzt und per CNAME auf deine Subdomains mappst - oder eben direkt die A/AAAA Records setzt. Das ist dem Browser völlig egal. Oder ich verstehe nicht so ganz worauf du hinaus möchtest bzw. woran das bisher bei dir scheitert.
Virinum jap, genau der. 
betrifft aber nur eine kleine 1€-Testkiste, daher für mich halb so wild. Vom Hocker gehauen hat mich die Kiste eh nie, abgesehen von den durchaus gut umgesetzten Snapshots, die nun aber auch wegfallen werden.
Mail eines Mitbewerbers:
Die oben aufgeführten Server werden in einer nicht steuerbaren Reihenfolge im Zeitrahmen beginnend mit 27.05.2024 und voraussichtlich bis 31.07.2024 migriert. Sie werden jeweils in einer separaten E-Mail über den Beginn der Migration Ihrer virtuellen Server, kurz vor dem eigentlichen Start, und nach Abschluss über das erfolgreiche Ende der Migrationen informiert. Da die Migration automatisch durchgeführt wird, können wir Ihnen keinen genaueren Zeitrahmen nennen.
Na das ist doch mal ein kundenfreundliches kleines Wartungsfensterchen von zwei Monaten... 
Wollte den Server aber eh abstoßen, da einige Features mit der "Migration" wegfallen.
sondern eigentlich nur wissen ob dies ohne die bisher genutzten DynDNS Domains möglich ist
ja, geht.
habe mir beispielsweise basierend auf Lars' Projekt ein eigenes Script geschrieben, das intern direkt von meiner Fritzbox aufgerufen wird. klappt 1a - man muss nur ein mögliches Delay beachten, da sich die DNS Zonen bei Netcup nur alle 10 Minuten aktualisieren.
Normalerweise richtet man sich direkt nach dem Start einen SSH-Zugang ein und erledigt den Rest dann mit einem geeigneten Client (putty zb bei Windows oder eben direkt in der Shell) - dann stellt auch die Zwischenablage kein Problem mehr dar.
Über CCP - Domains - Domain auswählen - DNS. Und dann die notwendigen A/AAAA Records eintragen.
Siehe Wiki: https://helpcenter.netcup.com/de/wiki/domain/dns-einstellungen
Ein wahrer Supporter macht das mit einer dicken VM wie einem RS 16000 oder gar Managed, statt mit so nem Miniserver. 😜
Ich würde wohl einfach mein eigenes Log schreiben mit Timestamps. Ggf. verschluckt sich auch "nur" hin und wieder eine Mail, aber das Script wird an sich ausgeführt? Ist mir zumindest bisher nicht untergekommen, dass ein Cronjob im Webhosting mal läuft und mal nicht (es sei denn man hat in der Expression bestimmte Tage ausgelassen). Entweder ganz oder gar nicht.
Danke DerRené fürs Geld ausgeben
Tschuldigung?! 
Aber ja, der Performancesprung ist teilweise enorm, vor allem wenn der zus. Cache greift.
Um Windows 11 mache ich derzeit noch einen weiten Bogen - und wie ich immer wieder sehe war das nicht meine schlechteste Entscheidung.
Ist beim Webhosting aber natürlich Netcups Baustelle, da deren MX. Ticket raus und zurücklehnen.
