Server mit Let's Encript Zertifikat nutzen

[helge.m]

Hallo,

ich muss die beschriebenen Schritte immer wieder mal ausführen. Ich glaube, nun schon das dritte Mal.
Ändert sich das Zertifikat so häufig? LetsEncrypt?

Wie kann ich meinem Server beibringen, dass er dauerhaft linuxmuster vertraut?

Viele Grüße,
Helge

@helge.m

Das https-Zertifikat von archive.linuxmuster.net ist für unseren Server nicht vertrauenswürdig. Ein schneller Lösungsweg ist es dieses Zertifikat in /etc/ssl/certs/ca-certificates.crt mit anzufügen (Sicherungskopie machen!)

Den Key für das Zertifikat erhält man mit (Quelle )

bash -c "echo -n | openssl s_client -connect archive.linuxmuster.net:443 \
2>/dev/null  | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p'  \
>> archive-linuxmuster-net.crt"

Den Text aus archive-linuxmuster-net.crt herauskopieren und an /etc/ssl/certs/ca-certificates.crt anfügen.

[mdt]

@helge.m

Ändert sich das Zertifikat so häufig

Ja, so ein Zertifikat ändert sich spätestens alle 3 Monate. Darum fügt man es nicht, wie beschrieben als vertrauenswürdiges Zertifikat hinzu. Man fügt das root-Zertifikat hinzu, auf dem das Zertifikat beruht. Es ist das „Digital Signature Trust Co., CN = DST Root CA X3“, was aber eigentlich bereits installiert sein sollte.

Das root-Zertifikat kannst du hier erhalten: Important Announcements | IdenTrust wenn der Server es nicht hat.

Mit dem Befehl openssl x509 -noout -in "$CERT" -subject kannst du dir das Subject des Zertifikats in einer Datei anzeigen lassen, bei mir heisst die Datei /usr/share/ca-certificates/mozilla/DST_Root_CA_X3.crt aus dem Paket ca-certificates, versymlinkt in /etc/ssl/certs und konkateniert in ca-certificates.crt.

Vielleicht reicht einfach ein Update auf das Paket?

[helge.m]

Etwas spät, aber es fehlt halt noch: Danke!

Bei uns war das DST_Root_CA_X3.crt nicht an ca-certificates.crt konkateniert.

Viele Grüße,
Helge