Self-signed cert voor .internal maken geeft fout in browser

[ThinkPad]

N.a.v. het nieuwsbericht nieuws: Icann kiest .internal als nieuw topleveldomeinnaam voor interne netwe... onlangs wilde ik de boel thuis even omzetten. Heb een hele poos 'home.arpa' gebruikt (router.home.arpa, dns.home.arpa), maar '.internal' is toch wat mooier.

Vanwege de andere TLD moet ik m'n self-signed HTTPS-certificaten ook even aanpassen. Certificaten is toch altijd beetje geklooi met OpenSSL en niet mijn sterkste kant, dus ik heb de scripts van deze repository gebruikt.

Eerst een root certificate gemaakt en deze geïmporteerd in Firefox (122.0) & Edge (121.0.2277.106). Daarna een client certificate aangemaakt en de key en het certificaat geïmporteerd in OPNsense (voor de webinterface) en in NginxProxyManager.

Wat schetst echter mijn verbazing: beide browsers vinden een certificaat voor .internal domeinen niet zo leuk

Edge:

code:

Your connection isn't private
Attackers might be trying to steal your information from router.internal (for example, passwords, messages, or credit cards).
NET::ERR_CERT_COMMON_NAME_INVALID
This server couldn't prove that it's router.internal; its security certificate is from internal. This may be caused by a misconfiguration or an attacker intercepting your connection.

Firefox:

code:

https://wiki.internal/
Unable to communicate securely with peer: requested domain name does not match the server’s certificate.

Als ik met dezelfde scripts voor 'home.arpa' een root + client certificaat maak, dan werkt het wél.

Wat gaat hier mis?

[ Voor 49% gewijzigd door ThinkPad op 06-02-2024 10:51 ]

[MueR]

ThinkPad schreef op dinsdag 6 februari 2024 @ 10:26:
Wat gaat hier mis?

Browsers accepteren geen wildcard certificaten voor top level domains.

[ThinkPad]

Yep, daar kwam ik net met behulp van een collega net ook achter *.lab.internal werkt inderdaad wel.

Nog maar even bedenken wat ik wil dan. Ik wil iets korts en wat er ook een beetje netjes uit ziet én wat gewoon netjes onder de standaarden valt (zodat het niet later alsnog een hoofdpijn iets gaat worden zoals .local of .dev).

[MueR]

Afhankelijk van de hoeveelheid devices waar het om gaat zou ik gewoon een scriptje maken wat je makkelijk af kan trappen voor de renewal. En sowieso de certificaten met een lange levensduur aanmaken, denk aan een half jaar. Kan langer, maar dan vergeet je waar je scriptje staat

[ThinkPad]

Nouja het is voor thuisgebruik, dus in die zin valt het mee. Maar toch zit ik ook dan al gauw aan >= 10 certificaten, heb e.e.a. aan Docker containers achter een reverse proxy draaien. Voor elk device een nieuw certificaat maken vind ik dan vrij irritant worden. Juist die wildcard is ideaal.

Voorheen gebruikte ik qua levensduur 10 jaar ofzo, dan had ik er nooit meer omkijken naar. Maar ik heb een iPhone en bij Apple devices ben je gebonden aan een max van 825 dagen.

Denk dat ik het vooralsnog maar gewoon op *.home.arpa houdt. Ik vind dat .arpa deel erg lelijk, maar dan kan ik tenminste nog een wildcard blijven gebruiken

[ Voor 8% gewijzigd door ThinkPad op 06-02-2024 12:42 ]