Archief - NAS -> geldige https

Ik ben wat aan het experimenteren met https op mijn Synology NAS.

Op dit moment heb ik hierop een simpele website die ik kan bereiken mbv Dynamic DNS van Synology zelf. Omdat Telenet poort 443 blokkeert, gebruik ik hiervoor poort 44300. Om naar mijn NAS te surfen via internet, gebruik ik dus bv. https://abcde.synology.me:44300.

Via het standaard SSL-certificaat dat erop stond, kreeg ik echter altijd de melding dat het certificaat niet veilig is. En daarom wordt de "https" in de adresbalk doorstreept.

Daarom heb ik via StartSSL gratis een certificaat gemaakt voor mijn domeinnaam, die ik heb gekocht op versio.nl. Dit certificaat is ook geldig voor één subdomein. Dus bijv. www.vwxyz.be en sub.vwxyz.be.

Als ik dit certificaat echter gebruik op mijn NAS en ik surf ernaar via https://abcde.synology.me:44300, krijg ik de melding dat het certificaat niet geldig is voor dit domeinnaam en is de "https" dus opnieuw doorstreept.

Nu is mijn vraag hoe ik wél een geldig certificaat kan registreren op mijn NAS? En er dus naar kan surfen met een geldig SSL-certificaat?

Via een CNAME record lukt dit niet omdat daarbij geen poorten kunnen meegegeven worden.

Groeten

Ik heb geen Synology NAS; maar heb je wel het certificaat juist geinstalleerd? Is hier een GUI voor voorzien?

Ja, ik krijg een venster waar ik drie bestanden kan importeren:

- een .key
- een .crt
- een .pem (intermediate certificaat)

Deze 3 heb ik allemaal op startssl kunnen genereren en met kladblok in een bestand gezet.

Ja dat zier er al op het eerste zicht juist uit.

Probeer eens poort 8443 ?

Dat is volledig normaal. Als uw cert geldig is voor www.vwxyz.be en *.vwxyz.be moet ge bvb nas.vwxyz.be:44300 gebruiken ipv abcde.synology.me:44300.

Zir0h zei:

Dat is volledig normaal. Als uw cert geldig is voor www.vwxyz.be en *.vwxyz.be moet ge bvb nas.vwxyz.be:44300 gebruiken ipv abcde.synology.me:44300.

Klik om te vergroten...

Ja dat klopt. Maar ik vraag me af hoe ik bv. nas.vwxyz.be:44300 kan doorsturen naar abcde.synology.me:44300. Dus niet via een DNS redirect, want dan verandert de url in de titelbalk automatisch. Ik wou daarom een CNAME record gebruiken, maar dan kan ik poort 44300 niet gebruiken.

En @GigaPixels: poort 8443 lukt niet, de pagina wordt niet gevonden dan.

nas.vwxyz.be:44300 als reverse proxy instellen voor abcde.synology.me:44300

Ok, bedankt voor de tip. Ik ga eens wat info erover zoeken.

kAstAr zei:

Ik wou daarom een CNAME record gebruiken, maar dan kan ik poort 44300 niet gebruiken

Klik om te vergroten...

Wat? Je hoeft in DNS helemaal niks in te stellen als je poorten rechtstreeks wil laten doorverwijzen. DNS heeft enkel te maken met de adresvertaling (dus domain naar IP en omgekeerd), en totaal niks met de poorten die je op die domeinen gebruikt.

Het SSL certificaat is echter - zoals al eerder aangehaald - gebonden aan een specifiek domein (al dan niet wildcarded). Je kan dus niet het certifcaat van domein X gebruiken op domein Y (tenzij je de waarschuwingen gaat negeren uiteraard, maar dan kan je net zogoed geen certificaat gebruiken).

Zolang de domeinnaam waarmee je in de browser naar de site gaat overeenkomt met diegene die vermeld staat in het certificaat zou alles correct moeten werken. Potentieel probleem zal imho eerder zijn dat uw NAS niet geconfigureerd is/kan worden om requests van uw specifiek domein (ipv synology.me) af te handelen.

dJeez zei:

Zolang de domeinnaam waarmee je in de browser naar de site gaat overeenkomt met diegene die vermeld staat in het certificaat zou alles correct moeten werken.

Klik om te vergroten...

Dat is nu net het probleem volgens wat ik ervan snap.

Ik heb een nieuwe (sub)domeinnaam (dus bv. sub.vwxyz.be) moeten registreren om een SSL-certificaat te kunnen maken, want met het synology.me domein gaat dit niet.

Wat ik nu wil bereiken is dat als ik surf naar https://sub.vwxyz.be, de website op mijn nas wordt geladen (dus .synology.me op poort 44300), maar dat in de adresbalk https://sub.vwxyz.be blijft staan (dus geen redirect), zodat het certificaat geldig is.

Ik ga dat eens proberen met een reverse proxy, maar ik heb jammer genoeg nog geen tijd gehad.