LetsEnCrypt domain names toevoegen aan privé router

[be3a18]

Op een privé NAS van een van onze medewerkers draait een LetsEnCrypt certificaat omdat het NAS ook van buiten benaderbaar moet zijn. Dat werkt op zich prima.

De firewall staat verder aan zodat alleen specifieke ip adressen van buitenaf er toegang tot hebben.

Helaas gebruikt LetsEncrypt niet een vaste range ip adressen voor verlenging van het certificaat. Ik lees dat ze een vaste reeks domein namen in gebruik hebben, te weten:

acme-v01.api.letsencrypt.org
acme-staging.api.letsencrypt.org
acme-v02.api.letsencrypt.org
acme-staging-v02.api.letsencrypt.org

Ik moet bekennen dat ik er nog niet specifiek naar gezocht heb maar hoe krijg je dit voor mekaar in een modem/router van een grote kabelboer?

[chaoscontrol]

Niet, tenzij je router hostnames kan resolven en je firewall rules op basis van die hostnames kunt configureren.

Anders de gebruikte range achterhalen en deze hele range toegang geven.

[keranoz]

Ik kom bij een lookup van die 4 domeinen allemaal bij hetzelfde enkele IP adres van Akamai terecht:

e14990.dscx.akamaiedge.net. 1   IN      A       95.101.201.30

Je zou kunnen kijken of dit bij jou ook zo is en over meerdere dagen ofzo kijken of het IP adres ook veranderd. Anders zou je misschien simpelweg dat IP kunnen whitelisten.

Niet perfect en netjes, but hey if it works, it works.

[DJMaze]

Je kan ook gewoon poort 80 open zetten voor iedereen en deny all doen tenzij het een /.well-know/acme* is.

Ik doe geen deny all, maar een redirect naar www.cia.gov
Wees creatief

[ Voor 27% gewijzigd door DJMaze op 22-08-2019 16:39 ]

[Kek]

DJMaze schreef op donderdag 22 augustus 2019 @ 16:38:
Je kan ook gewoon poort 80 open zetten voor iedereen en deny all doen tenzij het een /.well-know/acme* is.

Ik doe geen deny all, maar een redirect naar www.cia.gov
Wees creatief

dit is een betere oplossing. de IP's van LE veranderen nog wel eens dus daar kan je niet van uit gaan..

[johnkeates]

Je kan ook een certificaat kopen, dan kan je email validatie gebruiken. Als alternatief kan je ook een 2e webserver als let's encrypt proxy laten draaien en daar de validatie op doen, dan kan je die gewoon open zetten zonder dat iemand op de NAS komt.

Uiteindelijk is het een stuk veiliger om gewoon een VPN te gebruiken, dan weet je ook meteen wie op welk IP zit te verbinden.

[be3a18]

DJMaze schreef op donderdag 22 augustus 2019 @ 16:38:
Je kan ook gewoon poort 80 open zetten voor iedereen en deny all doen tenzij het een /.well-know/acme* is.

Ik doe geen deny all, maar een redirect naar www.cia.gov
Wees creatief

Mijn 'oplossing' was nu inderdaad tijdelijk poort 80 open zetten behalve dat laatste. Ik ga even uitzoeken hoe dat werkt (is het zo simpel om gewoon een deny all er in te zetten met 1 uitzondering?)