Как правильно получить wildcard сертификат?

[Sergey Zozulya]

KN-1010 | 2.15.A.3.0-1

Не могли бы рассказать, как правильно получить wildcard сертификат?

Делал так. Удалил все существующие сертификаты (acme list пустой), потом через веб удалил и снова зарегистрировал свое прежнее имя KeenDNS. Сертификат роутер получил только на него, в acme list только имя KeenDNS, которое зарегистрировано из веба. Все домены 4-го уровня оказались без сертификатов. В чем ошибка и какая последовательность действий нужна?

[Le ecureuil]

Да, пока авторедирект не включен для доменов 4 уровня. Это немного проблематично "взять и сделать", потому что:

- могут быть уже полученные руками сертификаты 4 уровня, которые пересекаются с wildcard

- может использоваться не keendns-домен

- может оставаться старый, необновленный сертификат, где еще нет wildcard

- можно откатиться на 2.14, получить сертификат без wildcard, и опять вернуться на 2.15 и поиметь проблем как в предыдущем пункте

 

Пока думаем, как лучше всего обойти все эти ситуации в автоматическом режиме.

[r13]

что в логах при получении было? dns txt упоминался?

если посмотреть в браузере в свойствах сертификата, что в поле alternative name?

[Sergey Zozulya]

1 hour ago, r13 said:

dns txt упоминался?

Да, постоянно на разных этапах получения сертификата упоминался.

1 hour ago, r13 said:

что в поле alternative name?

Сначала было только keendnsname.keenetic.link. Теперь ещё дополнительно пишет и *.keendnsname.keenetic.link. Но все равно все доменные имена 4-го уровня открываются без сертификата.

[Александр Рыжов]

20 минут назад, Sergey Zozulya сказал:

Теперь ещё дополнительно пишет и *.keendnsname.keenetic.link.

Всё. Больше ничего от прошивки ждать не стоит. Дальше заворачивайте HTTPS-трафик от домена четвёртого уровня на собственные приложения в локалке.

[r13]

41 минуту назад, Sergey Zozulya сказал:

Сначала было только keendnsname.keenetic.link. Теперь ещё дополнительно пишет и *.keendnsname.keenetic.link. Но все равно все доменные имена 4-го уровня открываются без сертификата.

а вы https в строке браузера набираете?

[Sergey Zozulya]

16 minutes ago, r13 said:

а вы https в строке браузера набираете?

Так действительно работает, спасибо. Не подумал, что придется при этом https набирать. Когда сертификаты были получены на каждый домен отдельно, https использовался автоматически без его прямого указания в адресе. Сейчас так сделать не получится?

[r13]

17 минут назад, Sergey Zozulya сказал:

Так действительно работает, спасибо. Не подумал, что придется при этом https набирать. Когда сертификаты были получены на каждый домен отдельно, https использовался автоматически без его прямого указания в адресе. Сейчас так сделать не получится?

не знаю, по моему и раньше для 4 уровня руками набирал, авто редиректа не было. 

[Sergey Zozulya]

19 hours ago, r13 said:

не знаю, по моему и раньше для 4 уровня руками набирал, авто редиректа не было.

У меня переходило без указания https. @Le ecureuil не могли бы уточнить, возможно ли прежнее поведение, когда не нужно указывать, что соединение именно по https? Или я ошибаюсь и всегда так было?

[Le ecureuil]

21 час назад, r13 сказал:

не знаю, по моему и раньше для 4 уровня руками набирал, авто редиректа не было. 

Он и раньше был, и сейчас есть, если явно получить сертификат на эти домены через ip http acme get.