Letsencrypt Hostnamen anpassen/ergänzen

    Setting: aktuelle SE/PD


    Hi,


    wir setzen einen Server ausschließlich als Stagingserver ein, d.h. wir arbeiten dort in der Entwicklungsphase von Projekten nur mit Subdomains "stage.kundendomain.de". Sofern es Neuprojekte sind, haben wir zu diesem Zeitpunkt oftmals noch keinen Zugriff auf die DNS und arbeiten daher mit den in der httpd.conf definierten ServerAlias Adressen "stage.kundendomain.de.meinpdhost.meinedomain.de", wobei "meinpdhost.meinedomain.de" der $server_hostname aus der /opt/pdadmin/etc/pdadmin.comf ist. Funktioniert alles super.


    Wenn wir nun aber während der Entwicklung bereits SSL einsetzen möchten (oder kundengetrieben müssen), komme ich mit der pd-admin internen LetsEncrypt-Funktion nicht weiter, da diese die Zertifizierung nur mit "stage.kundendomain.de" versucht. Aufgrund des fehlenden Routings zu unserem Server geht die .well-known Abfrage schief und die Validierung scheitert. Daran, dass ich zu dem Zeitpunkt auch noch keinen DNS-Record für stage auf unsere IP setzen kann, kann ich auch nichts ändern. Wir übernehmen Domain und DNS üblicherweise erst kurz vor Livegang eines Projektes.


    Jetzt war meine Überlegung, ob ich ggf über eine Config-Variable den Hostnamen, für den /opt/pdadmin/bin/letsencrypt das Cert anfordert, beeinflussen kann. Ich habe auch eine config in /opt/pdadmin/etc/dehydrated.conf gefunden. Da sind aktuell CERTDIR und WELLKNOWN Ordner definiert.


    FRAGE: Wäre es möglich, dort durch Setzen einer weiteren Variable "ADDHOSTNAME=meinpdhost.meinedomains.de" oä das letsencrypt-Script dazu zu bringen, das Cert auf den vollen ServerAlias auszustellen?

    In der Komfortausprägung ggf. sogar mit "Wahlschalter" anhand irgendeiner Tabelle "Host bei uns/Host noch nicht bei uns" ;) , um für bereits geroutete Hosts das Cert für stage. kunde1.de zu kriegen und für die noch ungerouteten eins für stage.kunde2.de.meinpdhost.meinedomain.de? Das wäre natürlich großartig.


    Alternativer Ansatz: Ich las in einem alten Post von 2017 das hier: "/opt/pdadmin/bin/letsencrypt <subdomain>: Installiert ein Zertifikat für die Subdomain <subdomain>"

    Natürlich probierte ich das gleich über die Konsole aus mit /opt/pdadmin/bin/letsencrypt stage.kundendomain.de.meinpdhost.meinedomain.de, aber da passierte gar nichts. Keine Rückmeldung und auch keine Einträge in /opt/pdadmin/sslcerts.


    FRAGE: Kann ich die Erstausstellung auf andere Weise oder in angepasster Syntax ggf. manuell über die Konsole absetzen und würde das dann hoffentlich erzeugte Cert künftig bei den regulären Cert-Updates im cron mit berücksichtigt?


    Wäre super, wenn mir jemand weiterhelfen könnte. Danke Euch!

    Ich habe das auf die Schnelle mit einer bestehenden Subdomain getestet. Es geht, ist aber nur manuell möglich.


    1. Zertifikat generieren:

    Code
    /opt/pdadmin/bin/dehydrated --config /opt/pdadmin/etc/dehydrated.conf --domain stage.kundendomain.de.meinpdhost.meinedomain.de --cron

    Damit wird das Zertifikat generiert.


    2. Symlinks setzen:

    Code
    $ cd /opt/pdadmin/sslcerts
$ ln -s /opt/pdadmin/sslcerts/__dehydrated/stage.kundendomain.de.meinpdhost.meinedomain.de/privkey.pem stage.kundendomain.de-key -f
$ ln -s /opt/pdadmin/sslcerts/__dehydrated/stage.kundendomain.de.meinpdhost.meinedomain.de/cert.pem stage.kundendomain.de-cert -f
$ ln -s /opt/pdadmin/sslcerts/__dehydrated/stage.kundendomain.de.meinpdhost.meinedomain.de/chain.pem stage.kundendomain.de-cacert -f
$ /opt/pdadmin/bin/httpd_vhosts.pl

    Man setzt die Symlinks für die Domain und führt httpd_vhosts.pl aus. Das -f musste ich bei mir verwenden, da die Subdomain bei meinem Test bereits ein Zertifikat hatte und die bestehende Datei ersetzt werden musste.


    Wenn dann die Domain umgestellt wurden und die IP auf den Server zeigt kann man entweder über die Weboberfläche oder /opt/pdadmin/bin/letsencrypt das richtige Zertifikat einrichten. Bei der Ausführung werden die Symlinks neu gesetzt.