Https site hosten op een Synology nas

[DjaRoel]

Beste medetweakers,


Voor mijn partner ben ik een website aan het maken, welke ik graag wil hosten op mijn nas.
Het gaat om een DS215j met de nieuwste firmware 6.1.1-15101.


Bij een hosting bedrijf heb ik de domein naam aangevraagd:

soefstrimsalon.nl

Tot zo ver gaat het goed, en ook het subdomein met www. ervoor lijkt nu goed te werken

De website is uiteraard niet af maar wat mij opviel is dat er geen htttps certificaat word gebruikt,
dit heb ik geprobeerd door de portforwarding op mijn router in te stellen via poortje 443.
Hij probeert dan inderdaad via het https protocol de site te verbinden. En geeft vervolgens een beveiligingswaarschuwing omdat het certificaat niet klopt. Nu kan je binnen de webomgeving bij de nas een geldig certificaat aanvragen bij Configuratiescherm>Netwerk>DSM-instellingen>Certificaat vervolgens kan je dan op toevoegen klikken waarmee je een menutje krijgt en een nieuw certificaat aan kan vragen bij Let's Encrypt. Hier moet je dan een aantal zaken invullen:

Domeinnaam: example.com
Email: Spreekt voor zich
Onderwerp alternatieve naam: mail.example.com

Ik begrijp niet zo goed welke domeinnaam ik hier moet invullen en het laatste begrijp ik helemaal niet, ik heb al wat lopen googlen maar ik heb geen sluitend antwoord kunnen vinden, wie kan mij dit uitleggen.


Mochten er verder nog dingen opvallen, tips en opbouwende kritiek zijn altijd welkom


Roel

[McKaamos]

Onderwerp alternatieve naam is gewoon een puntcomma gescheiden lijstje van subdomeinen die je met datzelfde certificaat wil serveren.

Dus bij domeinnaam vul je zonder www in en bij alternatief met www er voor.
Stel dat je bepaalde componenten van de website onder losse subdomeinen wil zetten, dus b.v. een blog naast de primaire website, en dat is blog.mijndomeinnaam.nl, dan kan je dus 'www.mijndomeinnaam.nl; blog.mijndomeinnaam.nl' in dat vakje zetten.

Zit trouwens wel een maximum aan. Ik meen dat Lets Encrypt maximaal 20 namen toestaat. 1 primair en 19 alternatieve.

[ Voor 47% gewijzigd door McKaamos op 27-04-2017 19:21 ]

[CyBeR]

Bij domeinnaam vul je de 'hoofddomeinnaam' in. Dwz, als je je site beschikbaar wilt hebben onder soeftrimsalon.nl, dan dat. Wil je liever www.soeftrimsalon, dan dat. Bij alternatieve naam vul je de andere variant in. Je krijgt dan één certificaat dat voor beide werkt overigens, dus strict gezien maakt de volgorde niet uit maar zo komt 't mooi overeen met de urlbalk.

[ Voor 26% gewijzigd door CyBeR op 27-04-2017 19:23 ]

[DjaRoel]

Ok tot zover gaat het goed alleen blijkt Lets Encrypt (bij mij) niet te werken. Ik zie dat er ook wel een work around is door zelf een certificaat te genereren en deze door een derde partij te laten valideren.

Hier is kennelijk een bekende website voor die ik op meerdere sites tegenkom, echter kan je de verificatie mail alleen sturen naar de mailserver van de website maar die bestaat helemaal niet. Dit is toch alleen een fictief domein.

Ik dwaal zo steeds verder af ik ga de focus eerst wel leggen op het maken van de website.

[HKLM_]

DjaRoel schreef op donderdag 27 april 2017 @ 19:51:
Ok tot zover gaat het goed alleen blijkt Lets Encrypt (bij mij) niet te werken. Ik zie dat er ook wel een work around is door zelf een certificaat te genereren en deze door een derde partij te laten valideren.

Hier is kennelijk een bekende website voor die ik op meerdere sites tegenkom, echter kan je de verificatie mail alleen sturen naar de mailserver van de website maar die bestaat helemaal niet. Dit is toch alleen een fictief domein.

Ik dwaal zo steeds verder af ik ga de focus eerst wel leggen op het maken van de website.

Bestaan alle domain namen en sub domain namen al waarvoor je een Lets encrypt certificaat wilt aanvragen ?
als je bijvoorbeeld een sub domain naam nog niet hebt aangemaakt faalt lets encrypt is mijn ervaring.

[ Voor 7% gewijzigd door HKLM_ op 27-04-2017 20:01 ]

[McKaamos]

Wat @Downloader_NL zegt.

Daarbij, de andere optie waar je het over hebt, is een zogeheten CSR, ofwel Certificate Signing Request.
Dat ze daar voor iets met mail willen doen op het betreffende domein is logisch.
SSL in zijn minimale vorm (zoals Letsencrypt en vele andere gratis providers dat afgeven), vertrouwt op Domain Validation. Afgekort 'DV' Certificate'.
Ze willen controleren dat jij de eigenaar bent van het domein, want je mag niet zomaar voor alle domeinen certificaten aanvragen.

SSL is namelijk bedoeld om te verifieren dat een bezoeker met de juiste server communiceert en dat de data versleuteld over de lijn gaat.

[CH4OS]

Downloader_NL schreef op donderdag 27 april 2017 @ 20:00:
Bestaan alle domain namen en sub domain namen al waarvoor je een Lets encrypt certificaat wilt aanvragen ?
als je bijvoorbeeld een sub domain naam nog niet hebt aangemaakt faalt lets encrypt is mijn ervaring.

De website is over HTTP benaderbaar, dus waarschijnlijk zit dat wel goed.

McKaamos schreef op donderdag 27 april 2017 @ 20:03:
Wat @Downloader_NL zegt.

Daarbij, de andere optie waar je het over hebt, is een zogeheten CSR, ofwel Certificate Signing Request.
Dat ze daar voor iets met mail willen doen op het betreffende domein is logisch.
SSL in zijn minimale vorm (zoals Letsencrypt en vele andere gratis providers dat afgeven), vertrouwt op Domain Validation. Afgekort 'DV' Certificate'.
Ze willen controleren dat jij de eigenaar bent van het domein, want je mag niet zomaar voor alle domeinen certificaten aanvragen.

De goedkopere, betaalde SSL-certificaten (ook wildcard) zijn DV certificaten. Het zijn dus niet alleen de gratis SSL verstrekkers die vertrouwen op 'DV certification'. Domain validation is het minimaalste niveau voor SSL. EV (extended) zijn alleen interessant voor bedrijven.

[ Voor 52% gewijzigd door CH4OS op 27-04-2017 20:08 ]

[HKLM_]

CH40S schreef op donderdag 27 april 2017 @ 20:04:
[...]
De website is over HTTP benaderbaar, dus waarschijnlijk zit dat wel goed.

Yes maar als hij ook sub domainen opgeeft zoals mail en die bestaat nog niet dan faalt hij ook.

@DjaRoel Als je het certificaat zonder Onderwerp alternatieve naam: mail.example.com aanvraagt wat krijg je dan ? Teven gebruik je ook een mail adres met je domain naam ? bijv [e-mail] ?

Wat voor foutmelding krijg je eigenlijk ?

[ Voor 30% gewijzigd door HKLM_ op 27-04-2017 20:15 ]

[CH4OS]

Downloader_NL schreef op donderdag 27 april 2017 @ 20:05:
Yes maar als hij ook sub domainen opgeeft zoals mail en die bestaat nog niet dan faalt hij ook.

@DjaRoel Als je het certificaat zonder Onderwerp alternatieve naam: mail.example.com aanvraagt wat krijg je dan ? Teven gebruik je ook een mail adres met je domain naam ? bijv [e-mail] ?

Dat is vreemd, want voor Let's Encrypt heb je op zich geen eigen mailadres nodig. Voor mijn SSL certificaten bij Let's Encrypt gebruik ik 'gewoon' een gmail adres en niet een adres wat behoort bij mijn domein.

De verificatie voor het SSL certificaat gaat bij Let's Encrypt ook totaal anders, namelijk middels een gegenereerd bestand in de .well-known map binnen de document root van de vhost. Als je het mij vraagt, gebeurd er hier dus wat geks.

[McKaamos]

CH40S schreef op donderdag 27 april 2017 @ 20:10:
[...]
Dat is vreemd, want voor Let's Encrypt heb je op zich geen eigen mailadres nodig. Voor mijn SSL certificaten bij Let's Encrypt gebruik ik 'gewoon' een gmail adres en niet een adres wat behoort bij mijn domein.

De verificatie voor het SSL certificaat gaat bij Let's Encrypt ook totaal anders, namelijk middels een gegenereerd bestand in de .well-known map binnen de document root van de vhost. Als je het mij vraagt, gebeurd er hier dus wat geks.

LetsEncrypt doet de Domain Validation met de tool op je server De tool zet een file met encrypted content neer en hun certificaten genererende server checkt of die file daar inderdaad staat.
Er zijn genoeg andere mogelijkheden.

[ Voor 8% gewijzigd door McKaamos op 27-04-2017 20:11 ]

[CH4OS]

Dat zeg ik in de laatste alinea toch?

[ Voor 7% gewijzigd door CH4OS op 27-04-2017 20:11 ]

[HKLM_]

CH40S schreef op donderdag 27 april 2017 @ 20:10:
[...]
Dat is vreemd, want voor Let's Encrypt heb je op zich geen eigen mailadres nodig. Voor mijn SSL certificaten bij Let's Encrypt gebruik ik 'gewoon' een gmail adres en niet een adres wat behoort bij mijn domein.

De verificatie voor het SSL certificaat gaat bij Let's Encrypt ook totaal anders, namelijk middels een gegenereerd bestand in de .well-known map binnen de document root van de vhost. Als je het mij vraagt, gebeurd er hier dus wat geks.

Oke, zit ik misschien naast ik zag het staan in een handleiding voor het instellen op een syno en heb het toen ook gebruikt

[McKaamos]

CH40S schreef op donderdag 27 april 2017 @ 20:11:
Dat zeg ik in de laatste alinea toch?

mi scusi, ik lees scheef.

CH40S schreef op donderdag 27 april 2017 @ 20:04:
[...]
De website is over HTTP benaderbaar, dus waarschijnlijk zit dat wel goed.
[...]
De goedkopere, betaalde SSL-certificaten (ook wildcard) zijn DV certificaten. Het zijn dus niet alleen de gratis SSL verstrekkers die vertrouwen op 'DV certification'. Domain validation is het minimaalste niveau voor SSL. EV (extended) zijn alleen interessant voor bedrijven.

Dat zeg ik, maar niet met die woorden
SSL in zijn minimaalste vorm is DV. Dat is het enige wat Lets Encrypt geeft, maar er zijn andere opties

[ Voor 64% gewijzigd door McKaamos op 27-04-2017 20:13 ]

[CH4OS]

Ah, op die manier. DV is an sich ook voldoende. Voor zoekresultaten maakt het bijvoorbeeld niets uit.

[DjaRoel]

Downloader_NL schreef op donderdag 27 april 2017 @ 20:05:
[...]


Yes maar als hij ook sub domainen opgeeft zoals mail en die bestaat nog niet dan faalt hij ook.

@DjaRoel Als je het certificaat zonder Onderwerp alternatieve naam: mail.example.com aanvraagt wat krijg je dan ? Teven gebruik je ook een mail adres met je domain naam ? bijv [e-mail] ?

Wat voor foutmelding krijg je eigenlijk ?

Als ik alleen bovenin soefstrimsalon.nl gebruik en mijn eigen gmail als email opgeef, geeft hij aan dat de verbinding mislukt is en ik er voor moet zorgen dat het een geldig domein is.

[CH4OS]

Moet je niet gewoon soefstrimsalon.nl invullen als primair domain en www.soefstrimsalon.nl als alternatief? Overigens blijft dat ook wel vreemd voor het domein, want an sich hoeft een website natuurlijk niet 'verplicht' bereikbaar te zijn op een www-variant, bijvoorbeeld.

Als je dus Let's Encrypt vanaf de console van de NAS kan draaien, is dat wellicht wat makkelijker?

[ Voor 15% gewijzigd door CH4OS op 27-04-2017 20:23 ]

[Vorkie]

DjaRoel schreef op donderdag 27 april 2017 @ 20:20:
[...]


Als ik alleen bovenin soefstrimsalon.nl gebruik en mijn eigen gmail als email opgeef, geeft hij aan dat de verbinding mislukt is en ik er voor moet zorgen dat het een geldig domein is.

Poort 80 wordt ook doorgestuurd naar de Synology?

Ik moest bij de aanvraag deze namelijk eerst doorsturen, daarna verwijderde ik deze weer.

[CH4OS]

Vorkie schreef op donderdag 27 april 2017 @ 20:22:
Poort 80 wordt ook doorgestuurd naar de Synology?

Ja, de website is bereikbaar, zowel met, als zonder www ervoor.

[Vorkie]

CH40S schreef op donderdag 27 april 2017 @ 20:23:
[...]
Ja, de website is bereikbaar, zowel met, als zonder www ervoor.

Stom, had zelf kunnen kijken...

Hoe is WWW station ingesteld?

[DjaRoel]

[b]ThaNetRunner schreef op donderdag 27 april 2017 @ 20:26:[/b e
[...]

Stom, had zelf kunnen kijken...

Hoe is WWW station ingesteld?

Ik heb poort 80 in mijn router geforward. Het is wel zo handig vind ik als mensen de website ook met www. ervoor kunnen bereiken, dat staat ook op de visitekaartjes 😜

Ik heb op het WWW station niks ingesteld, deze alleen geïnstalleerd.


Edit ik heb het ook geprobeerd zoals jij suggereert Ch4os, met alle 2 de domeinen, met en zonder www. zeg maar.

Kan je Lets Encrypt ook lokaal draaien dan?

[ Voor 43% gewijzigd door DjaRoel op 27-04-2017 20:39 ]

[Vorkie]

DjaRoel schreef op donderdag 27 april 2017 @ 20:36:
[...]


Ik heb poort 80 in mijn router geforward. Het is wel zo handig vind ik als mensen de website ook met www. ervoor kunnen bereiken, dat staat ook op de visitekaartjes 😜

Ik heb op het WWW station niks ingesteld, deze alleen geïnstalleerd.


Edit ik heb het ook geprobeerd zoals jij suggereert Ch4os, met alle 2 de domeinen, met en zonder www. zeg maar.

Kan je Lets Encrypt ook lokaal draaien dan?

Weet het allemaal niet meer precies, maar kan je in WWW station de sitenaam toevoegen aan de configuratie. (onder de virtual host)

[DjaRoel]

Vorkie schreef op donderdag 27 april 2017 @ 20:45:
[...]

Weet het allemaal niet meer precies, maar kan je in WWW station de sitenaam toevoegen aan de configuratie. (onder de virtual host)

Ja de hostnaam en wat instellingen met poorten.

[Vorkie]

DjaRoel schreef op donderdag 27 april 2017 @ 20:47:
[...]


Ja de hostnaam en wat instellingen met poorten.

Ja stel daar dan de hostname in waar je het SSL certificaat voor wilt aanmaken. en probeer dan weer een certificaat aan te vragen.

PS. je kan beter een nieuwe virtual host maken etc etc ipv default gebruiken.

[ Voor 11% gewijzigd door Vorkie op 27-04-2017 20:51 ]

[DjaRoel]

Vorkie schreef op donderdag 27 april 2017 @ 20:51:
[...]


Ja stel daar dan de hostname in waar je het SSL certificaat voor wilt aanmaken. en probeer dan weer een certificaat aan te vragen.

PS. je kan beter een nieuwe virtual host maken etc etc ipv default gebruiken.

Helaas zonder resultaat, ik ga morgen wel weer even verder stoeien.

Iedereen iig bedankt voor de support tot zover. ✌