Krásné odpoledne,
dovolím si oživit toto vlákno, ať zbytečně nezakládám další. Mám trošku podobný "problém" jako původní tazatel:
Zkrátka - mám více služeb na více serverech (v LAN), pro které chci HTTPS. Většinově jde o nějaké WebMGMT --> řekněme na:
- Server A--> HA
- Server B--> NetXMS WebConsole
- QNAP NAS, jiná API atd.
V tuto chvíli mám pod HTTPS pouze HomeAssistanta a to tak, že přes LetsEncrypt se volá HTTP01-Challenge, kdy na NATu mám směrovaný port 80 na port toho addonu, aby proběhlo ověření a vygeneroval/obnovil se certifikát. Při takto jednom stroji to funguje v pohodě.
Když to ale budu potřebovat na více strojů, tak se dostávám do problémů, že vlastně nemůžu směřovat tu ověřovací 80tku zároveň na víc cílů. A navíc některé zařízení (např typicky nějaký web-mgmt switche, nvr atd.) neumí vůbec s LetsEncrypt spolupracovat.
Nejjdenoduší řešení by bylo mít centrální proxy, která to SSL bude dodělávat, ale tímto směrem jít nechci, protože DNS záznamy na ty servery by pak musely směřovat na tu proxy (z venku v pohodě, ale zevnitř chci ukazovat na ten server kvůli dalším službám).
Proto bych chtěl poprosit o radu jak se k tomu postavit a jak se to řeší. V tuhle chvíli mě napadají pouze dvě řešení:
A) Proxy pro HTTP01-Challange
V podstatě nechat každý stroj si žádat o svůj certifikát a tu 80tku zvenčí směrovat na proxy, která to bude dál rozhazovat na ty konkrétní servery aby proběhlo ověření a následně vystavení certifikátu. A holt tupá zařízení co ACME/Certbot neumí, tak mají asi smůlu
nebo
B) Centrální správa a distribuce certifikátu
Mít nějaký centrální server (kontejner), co si vyžádá a bude se starat o obnovování těch certifikátů a následně je bude distribuovat na ty jiné servery (ale jak 🤔?). Případně by asi šlo využít i wildcard certifikát (*.domena.cz)? Tady by případně měly jít nahrát ty soubory ručně i do těch tupějších zařízení, když by k nim neexistovala nějaká automatizace (ale je to vzhledem k délce těch certifikátu docela blbost asi)
Chtěl bych poradit, jakou cestou se ubírat a případně jestli existuje ještě něco, co jsem nedohledal. Nebo zda na to jdu úplně špatně.
Děkuju moc
(PS: Porty vlbec neřeším tak, jako původní tazatel - počítám s tím, že SSL služba pojede na jiném portu než neSSL služba atd. a nepotřebuji to řešit)
