So konfigurieren Sie ein Let’s Encrypt-Zertifikat auf der Zyxel USG FLEX H Series Firewall

Zyxel USG FLEX H Series Firewalls können Let’s Encrypt verwenden, um automatisch vertrauenswürdige SSL/TLS-Zertifikate über das ACME (Automatic Certificate Management Environment)-Protokoll zu erhalten.

Anstatt Zertifikate manuell zu erstellen, zu importieren und zu ersetzen, kann die Firewall ein Zertifikat von Let’s Encrypt anfordern und es automatisch vor Ablauf erneuern.

Let’s Encrypt-Zertifikate sind 90 Tage gültig. Standardmäßig erneuert die Firewall das Zertifikat 30 Tage vor Ablauf, und der Erneuerungszeitraum kann bis zu 60 Tage vor Ablauf konfiguriert werden.

Die Firewall unterstützt zwei Methoden zur Validierung des Domainbesitzes:

• HTTP-01 – Validierung über eine HTTP-Verbindung zur Firewall.
• DNS-01 – Validierung über einen DNS-TXT-Eintrag.

Dieser Artikel erklärt, wie Sie ein Let’s Encrypt-Zertifikat mit einer der beiden Methoden konfigurieren und überprüfen.

Hinweis: Die Konfiguration des DNS-Anbieters selbst, einschließlich der Erstellung eines Cloudflare-API-Tokens, liegt außerhalb des Rahmens dieser Anleitung. Wenn Sie an Cloudflare interessiert sind, folgen Sie bitte dem Link zum Artikel: So konfigurieren Sie Cloudflare DDNS auf Zyxel H Series Firewalls

Voraussetzungen

Bevor Sie ein Let’s Encrypt-Zertifikat anfordern, stellen Sie sicher, dass:

• Sie einen öffentlich auflösbaren vollqualifizierten Domainnamen (FQDN) besitzen.
• Der FQDN unter Ihrer Kontrolle steht.
• Die Firewall Internetzugang hat.
• Eine gültige und erreichbare E-Mail-Adresse verfügbar ist.
• Die erforderlichen Bedingungen für entweder HTTP-01- oder DNS-01-Validierung erfüllt sind.

Die Firewall fungiert als ACME-Client und verwaltet die Zertifikatsausstellung und -erneuerung automatisch.

HTTP-01 oder DNS-01: Welche Methode sollten Sie verwenden?

Beide Methoden prüfen, ob Sie die Domain kontrollieren, für die das Zertifikat angefordert wird, funktionieren jedoch unterschiedlich.

Mit HTTP-01 verbindet sich Let’s Encrypt über den TCP-Port 80 mit der Firewall und fordert eine temporäre ACME-Validierungs-URL an.

Mit DNS-01 erstellt die Firewall einen temporären _acme-challenge TXT-Eintrag, und Let’s Encrypt überprüft diesen Eintrag über das öffentliche DNS.

Schritt 1 – Konfigurieren der Zertifikatseinstellungen

Melden Sie sich an der Web-GUI der Firewall an und navigieren Sie zu:

System > Zertifikat > Let’s Encrypt-Zertifikat

Klicken Sie auf Hinzufügen und konfigurieren Sie die folgenden Einstellungen wie im Screenshot gezeigt:

• Domainname: Geben Sie den FQDN ein, für den das Zertifikat ausgestellt werden soll. Der FQDN muss öffentlich auflösbar sein.
  Beispiel: H500.zylab.uk
• E-Mail: Geben Sie eine gültige und erreichbare E-Mail-Adresse ein.
• Erneuern vor Ablauf: Geben Sie an, wann die Firewall mit der Erneuerung des Zertifikats beginnen soll. Standard ist 30 Tage, konfigurierbar von 1 bis 60 Tagen vor Ablauf.
• Subject Alternative Name (SAN): Fügen Sie zusätzliche FQDNs hinzu, die im selben Zertifikat enthalten sein sollen. Es werden bis zu fünf SAN-Einträge unterstützt. Wildcard-FQDNs werden nicht unterstützt. Eine Änderung der SAN-Einträge nach Ausstellung erfordert eine Neuerstellung des Zertifikats.
• Wählen Sie unter Challenge-Konfiguration die Validierungsmethode aus, die Ihrer Umgebung entspricht.
• Sie können entweder verwenden:
• HTTP-01
• DNS-01

Option 1 – Zertifikat mit HTTP-01 anfordern

HTTP-01 validiert den Domainbesitz, indem Let’s Encrypt über TCP-Port 80 eine Verbindung zur Firewall herstellt.

• Erstellen Sie einen öffentlichen DNS-A-Eintrag

Bevor die Validierung beginnt, muss der Zertifikats-FQDN öffentlich auflösbar sein.

Erstellen Sie bei Ihrem DNS-Anbieter einen A-Eintrag, der den FQDN auf die öffentliche WAN-IPv4-Adresse der Firewall verweist.

Wichtig: Fehlt der A-Eintrag, kann Let’s Encrypt den Firewall-FQDN nicht auflösen und die HTTP-01-Validierung schlägt mit einem NXDOMAIN-Fehler fehl.

HTTP-01 konfigurieren

Navigieren Sie zu:

System > Zertifikat > Let’s Encrypt-Zertifikat

Konfigurieren Sie die Zertifikatseinstellungen und wählen Sie:

Challenge-Typ: HTTP-01
Erneuerungszeit: 03:00 (empfohlen)

HTTP-01 erfordert, dass die Firewall über TCP-Port 80 aus dem Internet erreichbar ist.

Validierung und Zertifikatsausstellung starten

Klicken Sie auf Übernehmen.

Die Firewall zeigt die Optionen zur Zertifikatsausstellung an.

Für sofortige Validierung und Ausstellung wählen Sie:

Jetzt validieren und ausstellen und klicken Sie auf Weiter.

Während der HTTP-01-Validierung leitet die Firewall den WAN-Port-80-Verkehr für etwa 2–3 Minuten, maximal 5 Minuten temporär um. Erforderliche Firewall-Regeln werden automatisch erstellt und entfernt.

Wenn Port 80 normalerweise an einen internen Server weitergeleitet wird, kann dieser Dienst vorübergehend nicht erreichbar sein. Daher sollte die HTTP-01-Validierung möglichst außerhalb der Hauptbetriebszeiten durchgeführt werden.

HTTPS-Zugriff mit dem Let’s Encrypt-Zertifikat überprüfen

Nachdem das Zertifikat erfolgreich ausgestellt wurde, kann es der Web-GUI der Firewall zugewiesen werden.

Navigieren Sie zu:

System > Einstellungen > Verwaltungseinstellungen

Wählen Sie unter HTTPS > Serverzertifikat das ausgestellte Zertifikat aus:

h500.zylab.uk

Klicken Sie auf Übernehmen.

Option 2 – Zertifikat mit DNS-01 anfordern

DNS-01 validiert den Domainbesitz durch das Erstellen eines temporären DNS-TXT-Eintrags. Im Gegensatz zu HTTP-01 erfordert diese Methode keinen eingehenden Zugriff auf die Firewall über TCP-Port 80.

DNS-01-Validierung konfigurieren

Navigieren Sie zu:

System > Zertifikat > Let’s Encrypt-Zertifikat

Konfigurieren Sie die Zertifikatseinstellungen und wählen Sie unter Challenge-Konfiguration:

DNS-01 (Cloudflare)

Geben Sie ein:

• Cloudflare Zone ID
• Cloudflare API-Token

Die Firewall verwendet diese Zugangsdaten, um den für die ACME-Validierung erforderlichen TXT-Eintrag automatisch zu erstellen und zu entfernen.

Hinweis: In diesem Beispiel war Cloudflare bereits konfiguriert und die erforderliche Zone ID sowie der API-Token lagen vor. Für Anweisungen zur Konfiguration von Cloudflare lesen Sie bitte den speziellen Cloudflare-Konfigurationsartikel.

DNS-01-Validierung testen

Nach dem Speichern der Konfiguration wählen Sie das Zertifikat aus und klicken auf Test.

Die Firewall führt einen Trockentest – Validierungstest durch.

Während der DNS-01-Validierung:

1. fordert die Firewall die ACME-Challenge an;
2. erstellt den erforderlichen _acme-challenge TXT-Eintrag über die Cloudflare-API;
3. wartet auf die Überprüfung des DNS-Eintrags durch Let’s Encrypt;
4. entfernt den temporären TXT-Eintrag nach der Validierung.

Ein erfolgreicher Test zeigt Meldungen ähnlich wie:

Check authorization success
Cloudflare API responded: Record delete successfully
dryrun verified successfully
Script finished. Result: SUCCESS