Klar, weil die könnte ja ansonsten jeder machen und das ist nicht der Sinn hinter den Zertifikaten von LE. Wenn Du denn unbedingt etwas "vertrauenswürdiges" haben willst, musst Du eine eigene, globale Domain dafür benutzen. Ich selbst mache das nicht, sondern klicke mir einmalig für jedes selbst signiertes Zertifikat eine Ausnahme in den FF und der merkt sich das auch und gut ist.
Das ist alles lokal.
Das sieht toll aus. Und ziemlich komplex. Call me scared!
Macht Sinn. Also selfsigned Zertifikate.... Huom. Find ich unschön.
Nutze hierfuer keine 'Lokale' Domäne sondern ne public TLD. FW ist aktuell noch ne Sophos UTM, wird aber abgerissen werden.
Und die Dinger haben vermutlich alle keine eigenen LE-Certs? Dann wirst Du einen Reverse-Proxy brauchen, zu dem Du deine Verbindungen aufbaust (der hat dann LE) und dieser wiederum baut dann die Verbindungen zu den eigentlichen Webservern auf (ohne LE, das siehst Du dann aber nicht).
Ja genau so mache ich das auch. DNS macht in meinem Fall AdGuard Home auf der sense, geht aber mit Unbound genauso. Da trägst du den FQDN ein und leitest den auf den NGINX Proxy weiter. So bekomm ich auch von intern ne TLS-Verbindung mit dem Zertifikat was zur Public Domain gehört. Bzw. erreiche den Dienst eben auch von intern mit ner Public Domain. Bei .local wird Lets Encrypt wahrscheinlich auch nicht mitspielen
Werden sie nicht, weil das nicht dir allein gehört und Du dementsprechend den Besitz auch nicht beweisen kannst.
forum.opnsense.org
schnerring.net
