Zertifikate fürs Homelab

[Shihatsu]

Ja moin! Ich hätte gern das "Problem" gelöst das jede API und ihr Hund, jedes Seite und alles mittlerweile auf HTTPS setzt. Was für Otto-normal-Internetjoe sicherlich gut ist, nervt im Homelab dann doch immer öfters an.
Ich habe zur Verfügung: Eine Domain, einen Proxmox Server auf den ich beliebiges Zeug schmeißen kann, nutze unbound als lokalen resolver (opnsense) und habe zuhause eine "meinzuhause.local" domain.
Ich habe zig Services (Homematic, Home Assistant, Webserver, diversteste Dienste, NAS, proxmox....) die gerne alle "sicher" kommunizieren würden mit diverstenen Endgeräten (Telefonen, Computern, ...) und/oder APIs (Homeassistant, Homepage, ...).

Wie löst ihr das bei euch, wie würdet ihr das lösen in meiner Situation?

P.S.: Schonmal frohes Fest...

 

[Bigdog71]

Ich nutze den Cert-Manager bzw. Let's Encrypt Addon bei Homeassistant mit der DNS Challenge. Der große Vorteil ist, dass man keine Webseite zum Internet offen braucht, wie bei der normalen Challenge.

Domain braucht man natürlich dafür, aber die hast du ja laut Aussage. Aufgelöst wird das ganze intern auch über pihole/unbound.

 

[java4ever]

Wie löst ihr das bei euch, wie würdet ihr das lösen in meiner Situation?

Idealerweise besorgst du dir für ein paar € im Jahr eine normale öffentliche Domain (für dein Lab), über welche du dann Lets Encrypt Zertifikate besorgst.
Umsetzbar bspw. dann über Split Horizon DNS oÄ

P.S. von .local Domains würde ich sowieso weiten Abstand nehmen, das Schreit immer nach Problemen mit mDNS oÄ. Mittlerweile ist für sowas .internal empfohlen

 

[Haldi]

Reverse Proxy:
Caddy
Traefik
Zoraxy
Npm
Dann gibts Subdomains homeassistant.domain.com und diese wird vom Proxy auf "nur aus dem LAN erreichbar" eingestellt.
Mit nem Wildcard Lets Encrypt Zertifikat sind automatisch alle Subdomains okay.

Cloudflare ist einer der wenigen DNS provider bei dem man * Wildcard Zertifikate auch für Lets Encrypt bekommt.

Dazu muss nur die Main Domain von aussen erreichbar sein, aber ich vermute mindestens eine (vpn) wird eh von aussen erreichbar oder?

 

[Kavendish]

Ich lasse einen Docker-Container mit Nginx Proxy Manager laufen, habe eine günstige domain bei do.de gemietet und NPM kümmert sich um das Wildcard-Zertifikat (Let's Encrypt) automatisch, da es ein Plugin für diesen Anbieter bei NPM gibt. DHCP/DNS dazu kommen von einer Pi-Hole Instanz, die Fritzbox aktualisiert meine IP bei do.de.

 

[andrer250282]

@Kavendish
Magst du das Mal etwas genauer beschreiben, besonders die grobe Konfiguration? Welche Container benötigt man da genau?
Das find ich spannend und würde gern etwas in der Art aufbauen

 

[sch4kal]

Alternativ ein eigener ACME Service, wenn man unbedingt eine eigene CA betreiben will. Zb FreeIPA, da ist Dogtag fürs Zertifikatsmanagement mit drin, und man fackelt die User Auth für Linux/Netzwerkgeräte direkt mit ab.

 

[Haldi]

Nginx Proxy Manager

Docker container and built in Web Application for managing Nginx proxy hosts with a simple, powerful interface, providing free SSL support via Let's Encrypt

nginxproxymanager.com