Opgelost: Hoe: Subdomeinen uit certificaat verwijderen

[arnor]

Ik heb een certificaat voor een aantal subdomeinen waarvan er een aantal niet meer bestaan. Om de zaak overzichtelijk te houden zou ik deze willen verwijderen. Hoe doe ik dat?

[Briolet]

Kan niet. Het certificaat bevat een checksum over de inhoud. Al verander je er maar één letter aan, dan wordt hij direct ongeldig.

[arnor]

Maar ..... verwijderen en een nieuw certificaat aanmaken lijkt ook niet te gaan.


Verzonden vanaf mijn iPhone met Tapatalk

[Birdy]

Waar loop je tegen aan dan?

[arnor]

Dat is een ingewikkeld verhaal. Ik probeer het kort te houden.

Ik heb een Synology die o.a. is ingezet als mailserver en webserver. Door een aantal oorzaken heb ik besloten zowel de mailserver als de webserver af te bouwen. Van die gelegenheid heb ik gebruik gemaakt om naar een andere ISP over te stappen.

Een proces is gestart om de mail dus via de ISP te laten lopen. Dat is verder gelukt. Alle mail vanuit de eigen server ligt nu bij de ISP.. Mailserver is gestopt en verwijderd. De websites zijn grotendeels ook niet meer van belang en zijn inmiddels ook verwijderd. Het domein inclusief verwijzingen naar de websites zijn nog steeds opgenomen in een certificaat.

Sinds de overgang naar de nieuwe ISP blijkt het niet mogelijk gebruik te maken van Microsoft clientapps. Probeer ik verbinding te maken dan krijg ik constant als reactie dat gebruikersnaam of wachtwoord niet goed is. Bijzonder is dat dit geldt voor alle Microsoftapps (zowel op Windows, Android als IOS)! Gebruik ik als test een andere app (zowel op Windows, Android als IOS) dan krijg ik zonder problemen contact. Het lijkt er dus op dat er in de Microsoftapps iets extra's zit dat in de andere apps niet zit.

Bijzonder vind ik dat ik kennelijk de enige ben die nu deze problemen heeft. De ISP meldt dat ze deze klacht niet herkennen; Microsoft heeft inmiddels de tweede lijn ingeschakeld om te zien wat er aan de hand is.

Door deze bijzonderheid probeer ik ook maar wat uit te zoeken. Ik heb het gevoel dat op een of andere wijze de Synology hierin een rol speelt. De geachte kwam dus op dat de certificaten nu nog verwijzen naar mijn Synology terwijl daar niets meer loopt. Brengt dat misschien SSl-beveiliging in de war? Ik noem maar wat.

[Babylonia]

Certificaten verwijzen naar een "domein-naam", niet meer, niet minder.
Als je eerder je eigen internet WAN IP-adres hebt gebruikt voor dat domein, en nu datzelfde domein is gekoppeld aan de hosting bij een ISP, lijkt het me een kwestie om de "A-records" e.d. waar o.a. de IP-adressen zijn opgenomen van het domein om die aan te passen.
Die moeten nu verwijzen naar het IP-adres of de server van die ISP, waar je de website nu hebt ondergebracht.

[arnor]

Even voor de duidelijkheid; zoals geschreven zijn de websites opgeheven. De verwijzingen voor deze oorspronkelijke websites zijn dus nog wel onderdeel van het certificaat.

De IP-adressen van de A-records verwijzen allen naar de server van de ISP. Deze A-records zijn er eigenlijk alleen voor de email (smtp.domein, pop.domein en mail.domein, een spamfilter en een fallbackserver). Er is ook een TXT-record dat ook verwijst naar de IP van ISP. Er is dus geen enkel record dat verwijst naar mijn eigen server.

Ik begrijp inmiddels dat die adressen in het certificaat nu dus verwijzen naar niets en die op die manier geen kwaad kunnen veroorzaken.

Vreemd blijf ik het wel vinden dat een dergelijk certificaat niet kan worden opgeschoond.

[Babylonia]

Vreemd blijf ik het wel vinden dat een dergelijk certificaat niet kan worden opgeschoond.

Je snapt kennelijk de bedoeling niet van een certificaat?
Het wordt expliciet aan een domein (of sub-domeinen) toegekend.
Dat is zoals eerder aangehaald een checksum gerelateerd aan de inhoud (het domein / sub-domein).
Al verander je er maar één letter aan, dan wordt hij direct ongeldig.

Er valt dus niets aan te veranderen. Als dat wel zou kunnen heeft de uitgifte van certificaten geen enkele zin.

Met de verhuizing en aantal zaken die niet meer van kracht zijn, zo laten wat het is,
of anders kwestie van een "nieuw" certificaat aanvragen.

[bartmans99]

Je kunt proberen een Lets Encrypt certificaat aan te maken en die als default in te stellen. Dan kun je wellicht oude certificaat verwijderen.

[arnor]

Babylonia: Ik denk wel degelijk te snappen wat een certificaat is. Alleen blijkt dat één en ander anders werkt dan ik had gedacht of gehoopt. Zo zou ik mij een systeem kunnen bedenken waarin een bestaand certificaat kan worden aangepast (bijvoorbeeld zoals in mijn geval een aantal subdomeinen verwijderen) dat dan wel meteen tot gevolg zou hebben dat automatisch een nieuw certificaat wordt verstrekt voor de niet aangepaste zaken waarmee automatisch het oude certificaat vervalt.

Waar ik nu vastloop is dat er één certificaat is (inderdaad, ik heb kennelijk in het verleden zitten rommelen) waarin een aantal Synologyzaken staan (Drive, WebDAV, ftp e.d.) ALSMEDE de subdomeinen die kunnen verdwijnen. Ik wil nu alleen die Synology-zaken behouden. Hoe pak ik dat dan aan. Nieuw certificaat en dan? Ik vermoed dat ik met Configureren kan aangeven voor welke zaken welk certificaat moet worden gebruikt. Als ik daarna het nieuwe certificaat als standaard aanmerk en daarna het oude certificaat verwijder komen die subdomeinen toch weer terug in het nieuwe certificaat. Wat doe ik fout?

[Briolet]

…Zo zou ik mij een systeem kunnen bedenken waarin een bestaand certificaat kan worden aangepast (bijvoorbeeld zoals in mijn geval een aantal subdomeinen verwijderen) …

Zoals in de eerste reactie aangegeven kun je een certificaat niet aanpassen. Het hele doel van een certificaat is dat het iets garandeert en dat moet je het niet mogelijk maken dat je er ook maar iets aan veranderd.

Wil je een ander certificaat, dan maak je een nieuw certificaat. De oude gooi je daarna weg.

[Babylonia]

Waar ik nu vastloop is dat er één certificaat is (inderdaad, ik heb kennelijk in het verleden zitten rommelen) waarin een aantal Synologyzaken staan (Drive, WebDAV, ftp e.d.) ALSMEDE de subdomeinen die kunnen verdwijnen.
Ik wil nu alleen die Synology-zaken behouden.

Dus je wilt "en" een certificaat op je thuis internet aansluiting met het daarop geldende domein,
"en" een certificaat bij je ISP waar je andere zaken zijn gestald.
Twee verschillende IP-adrressen, neem dan twee verschillende domeinen.

Overigens zit bij de hosting van een website / mail-server bij een provider daar tegenwoordig automatisch ook een SSL-certicaat bij.
(Tenminste bij de provider waar ik al jaren gebruik van maak wel).

[arnor]

Ik denk vaak duidelijk te zijn maar dan blijkt dat toch weer niet over te komen en leidt dat weer tot verdere misverstanden.

Oorspronkelijk was bij de NAS een standaard Synology-certificaat geleverd. Dat certificaat bestaat niet meer. De Synologyzaken (tbv bijvoorbeeld Drive) zitten nu verweven met domeinzaken in één certificaat (dat ook het enige certificaat op mijn NAS is). De domeinzaken kunnen geheel verdwijnen. Ik wil dus eigenlijk (een nieuw) Synologycertificaat terug en daarna het bestaande certificaat verwijderen.

Hoe regel ik dit?

[Babylonia]

Gewoon de gebruiksaanwijzing volgen:
Een zelfondertekend certificaat aanmaken.

https://www.synology.com/nl-nl/knowledgebase/DSM/help/DSM/AdminCenter/connection_certificate

[arnor]

Ik heb de handleiding over het self signed certificaat gelezen en toegepast (in de beschreven 4 stappen).

Na het maken van het nieuwe certificaat staan er dus 2 vermeld. Ik heb het nieuwe certificaat Standaard gemaakt en het oude certificaat verwijderd. Als ik daarna het  nieuwe certificaat bekijk via Configuratie is de inhoud hetzelfde als oorspronkelijk; nog steeds staan de verwijzingen naar de websites vermeld.

Ik heb het gevoel (hoewel de handleiding daar niets over zegt) dat ik nog iets met die Configuratie moet doen voordat ik het oude certificaat verwijder. Maar wat precies is me niet duidelijk. Overigens lees ik onderaan de handleiding dat bij verwijdering van een niet-standaard-certificaat de overeenkomstige diensten worden overgenomen (precies wat ik constateer).

Waar ga ik de fout in.