letsencrypt ohne vhost für server.domain.tld und gleichzeitig www.domain.tld mit vhost

[xxfog]

Hallo zusammen,
ich habe diverse Beiträge gelesen und bin nun trotzdem verunsichert, weshalb ich lieber Frage:
Ich möchte das selbsterstellte Zertifikat aus dem Perfect-Server-Howto mit dem ich ISPConfig "absichere" wie so viele andere auch gegen ein Letsencrypt-Zert tauschen.
Ich habe verstanden, dass ISPConfig nur LE-Anfragen für Subdomains erstellt, die als VHOST (Webseite oder Subdomain) existieren und für die es einen DNS-Eintrag gibt. Weiterhin gibt es wohl Probleme wenn man für hauptdomain.tld bereits ein LE hat und eine subdomain.hauptdomain.tld zertifizieren will.
Da ISPC (bei mir unter server.hauptdomain.tld:8080 erreichbar) selbst kein VHOST ist muss ich den weg über certbot gehen.
Ich hoffe das ist bis hierher korrekt.

Nun aber die Frage zum genauen Vorgehen:
Muss ich über certbot auch hauptdomain.tld und www.hauptdomain.tld mit beantragen, wenn alle über das selbe Zert gesichert sein sollen?
Oder lasse ich die normale Webseite (www.hauptdomain.tld) direkt über die Funktion LE unter "Webseite" im ISPConfig erstellen und nutze dann für www. ein "eigenes" Zert - was ja aber angeblich zu Problemen führen soll.

Oder muss ich für www. den weg über ISPC gehen und dann das Zert durch das von certbot erstelle austauschen?

Ich würde aktuell

service apache2 stop && /opt/certbot/letsencrypt-auto certonly --standalone --rsa-key-size 4096 -d hauptdomain.tld -d www.hauptdomain.tld -d server.hauptdomain.tld -d server2.hauptdomain.tld -d sub1.hauptdomain.tld -d sub2.hauptdomain.tld && service apache2 start

ausführen und den reverse-proxy nutzen, da einige Subdomains eben keinen VHOST haben. Ich möchte mit dem LE aber auch smtp.hauptdomain.tld, imap. usw absichern.

Oder wie wäre das genaue Vorgehen?

Vielen Dank und viele Grüße

 

[xxfog]

Moin,

ich bin mir sicher, dass viele User genau diese Konfiguration einsetzen.
Wie habt ihr das denn gelöst?

Gruß
Steffan

 

[Till]

Ich habe verstanden, dass ISPConfig nur LE-Anfragen für Subdomains erstellt, die als VHOST (Webseite oder Subdomain) existieren und für die es einen DNS-Eintrag gibt.

Nein. Alle sub und alisdomains einer website sind im LE SSL cert enthalten.

 

[xxfog]

Okay, bezieht er dort als Quelle dann ausschließlich die DNS Einträge im Zertifizierungsprozess mit ein?
Würde er also sub1.kundendomain.tld und sub2.kundendomain.tld etc. auch beantragen, wenn ich sie nur als DNS-Eintrag angelegt habe und es keinen vhost, keine Webseite, keine eingerichtete Subdomain dazu im ispconfig gibt?

 

[Till]

Es geht um webseiten und deren sub und alias domains, nicht um dns zonen.

 

[xxfog]

Okay - das ist natürlich wünschenswert aber es gibt nun mal auch subdomains die nicht über ispconfig verwaltet werden. Wie eben die eigene Subdomain server.domain.tld, mail. usw. die aber zur Hauptdomain gehören, die wiederum in ispconfig verwaltert wird.
Wie gehe ich denn korrekt vor ohne mir das system zu zerschießen?