HILFE! Wie kann ich ein offizelles StartSSL- Zertifikat einbinden

[mb-wh]

Hallo zusammen,
ich habe schon nach diesem Problem gesucht, aber irgendwie bin ich zu keinen Ergebnis gekommen.

Kann mir jemand sagen, wie ich ein offizielles Zertifikat einspielen kann?

Vielen Dank!

Gruß
Michael

[Nnik-nbg]

Hi Michael,
Ich denke mal du hast schon probiert, das Zertifikat über das Web-Frontend zu laden?

[mb-wh]

Ja, aber man kann ja keines importieren, oder doch?

Ich habe zumindest nichts gefunden zum importieren.

Gruß
Michael

[mb-wh]

Guten Morgen zusammen,

da sich ja sonst keiner meldet, scheint das entweder keinen zu stören, oder es weiß niemand etwas.
Es gibt ja diesen Forumseintrag.

https://wiki.zentyal.org/wiki/Zarafa_Setup_with_Outlook_Thunderbird_Sync

Leider bezieht sich dies auf die ältere Version von zentyal.
Hat jemand von euch eine Ahnung ob das eventuell mit ein paar Änderungen gehen könnte?

Danke und Gruß
Michael

[roswitina]

Kennst du diesen Beitrag --> https://forum.zentyal.org/index.php?topic=24513.0 ?

Rosi

[mb-wh]

Hallo Rosi,

ja den Beitrag habe ich gesehen. Habe es versucht auszuführen, aber leider hatte sich danach die AdminWebsite nicht mehr gestartet und ich musste alles neu installieren.
Liegt vieleicht an meinen schlechten Englisch- und Linuxkenntnissen.

Auf Deutsch wäre natürlich super und am besten sollte es dann auch noch funktionieren.

Gruß
Michael

[Nnik-nbg]

Hi,
tut mir leid, dass ich jetzt nicht weiterhelfen kann, da ich gerade kein Test-System zum selber ausprobieren habe .. Wenn du dich etwas mit der kommandozeile auskennst, sollte es sich allerdings verhindern lassen, dass du alles neu installieren musst. Wenn nicht, scheint es leider etwas schwierig zu werden :/ ich werde es bei meinen Installationen sicherlich auch mal absichern wollen durch ein richtiges Zertifikat, da ich mich aber derzeit eher mit der Zentral Cloud Lösung (Zinc) beschäftige, hab ich leider keine Zeit das auf Standard-Zentyal zu probieren.

Grüße
Jannik

[mb-wh]

Hallo Jannik,

danke für Deine Antwort.
Ich habe eben noch einmal versucht die vorherige Anleitung stück für stück durchzugehen.
Jetzt funktioniert zwar die webadmin-Seite, aber das Zertifikat ist leider nicht drin. Ich meine mein richtiges.

Also leider noch ohne Erfolg.

Gruß
Michael

[Nnik-nbg]

sag mal wäre für dich nicht eventuell auch noch eine Option, das Zentyal-System als "Authority" zu behalten und das Zertifikat mit GPO auf deine Clients zu verteilen? Das hab ich zwar praktisch auch noch nicht gemacht, müsste aber auch klappen.

[mb-wh]

sag mal wäre für dich nicht eventuell auch noch eine Option, das Zentyal-System als "Authority" zu behalten und das Zertifikat mit GPO auf deine Clients zu verteilen? Das hab ich zwar praktisch auch noch nicht gemacht, müsste aber auch klappen.

Ja schon, aber das ist ja eigentlich nicht das, was man wirklich möchte. Es wäre schön, wenn man ohne Zertifikatsfehler "Webmail", "Outlook" und auch ActiveSync nutzen könnte. Ich verstehe nicht, warum das nicht vorgesehen ist.

[Nnik-nbg]

achso,
was mir noch eingefallen ist: unter /etc/ocsmanager liegt dein .pem Zertifikat. Das wird sowohl von den outlook clients als auch von Webmail verwendet. Dieses musst du ja eigentlich nur austauschen. Theoretisch könntest du das sogar mit Let's encrypt machen, wenn dein Server auch über das Internet erreichbar ist. Es gibt eine Anleitung von DigitalOcean. Ich habe das einmal mit HAProxy probiert und dieser erwartet auch ein SSL-Zertifikat im Format .pem. Da sind dann alle einzelnen Zertifikate vorhanden. Also du benötigst ja domain.de sowie Autodiscover.domain.de oder halt ein Willard Zertifikat wie *.domain.de. Sicher doch einfach das alte Zertifikat mal weg und lad deins rein, mach einen Apache reload und schau was passiert. Schau auch, dass auf dem Zertifikat die richtigen Berechtigungen gesetzt sind und schau auch in die Logs wenn es zu beginn nicht gleich funktioniert

[mb-wh]

Hallo Nnik-nbg,

ich habe das mal mit meinem Zertifikat versucht, aber das Ersetzen ändert leider nichts. Es bleibt weiterhin das bisherige Zertifikat der Zertifizierungsstelle drin.

Gruß
Michael

[segelfreak]

Moin zusammen,

also mir ist es gelungen, Fremdzertifikate über die Stubs einzubinden.

Dazu ändert man die Konfigurationsvorlagen (.mas) im Verzeichnis /usr/share/zentyal/stubs/...

Beispiel Mail:

Da gibt es z.B. im Unterverzeichnis mail die main.cf.mas
Diese Datei überschreibt mit jedem Neustart/Reload dies Moduls die /etc/postfix/main.cf

Dort werden die Variablen my $certFile und my $keyFile definiert.

Da ich mit let's encrypt arbeite, sieht die dann ungefähr so aus:

my $certFile = '/etc/letsencrypt/live/##domain###/fullchain.pem';
my $keyFile = '/etc/letsencrypt/live/##domain###/privkey.pem';

##domain### müsst ihr natürlich mit dem korrekten Pfad austauschen.

in der dovecot.conf.mas gibt es entsprechend diese Einträge
ssl_cert=</etc/letsencrypt/live/##domain###/fullchain.pem
ssl_key=</etc/letsencrypt/live/##domain###/privkey.pem

Achtet auf die spitze Klammer!

Openchange hat die apache-ics-manager.conf.mas
Hier gibt es drei Zeilen
SSLCertificateFile /etc/letsencrypt/live/##domain###/cert.pem
SSLCertificateKeyFile /etc/letsencrypt/live/##domain###/privkey.pem
SSLCACertificateFile /etc/letsencrypt/live/##domain###/fullchain.pem

Damit sollte das wichtigste abgedeckt sein.

[mb-wh]

Hallo segelfreak,

das hört sich ja gut an.
ich werde es übernächste Woche mal angehen und ausprobieren.
Werde dann berichten.

Gruß
Michael

[segelfreak]

und, hat's geklappt?