ACME im Detail · 18.9
TLS-ALPN-01
Bei TLS-ALPN-01 weisen Sie die Kontrolle über einen Namen mit einem speziellen TLS-Handshake auf Port 443 nach (RFC 8737). Es braucht weder eine DNS-Änderung noch eine Datei auf einem Webserver.
- Die CA gibt TLSPilot für jeden Namen der Bestellung ein Token.
- TLSPilot erstellt für den Namen ein temporäres, selbstsigniertes Validierungszertifikat. Es enthält den Namen und in der kritischen Erweiterung acmeIdentifier einen Hash der Key Authorization.
- Die CA verbindet sich aus mehreren Netzwerkperspektiven mit Port 443 des Namens, mit dem ALPN-Protokoll
acme-tls/1und dem Namen als SNI. TLSPilot antwortet auf dem Management-Host mit dem Validierungszertifikat. - Nach der Validierung entfernt TLSPilot das Validierungszertifikat wieder.
Einstellungen: Kapitel Weitere Challenge-Typen. Fehler und Lösungen: Kapitel Fehlerbehebung: HTTP-01 und TLS-ALPN-01.
| Aspekt | Details |
|---|---|
| Vorteile | Es wird nur Port 443 verwendet. Weder DNS-Zugriff noch eine Datei auf einem Webserver sind nötig. |
| Grenzen | Alle Namen müssen auf den Management-Host zeigen; die Challenge kann nicht auf einem anderen System laufen. Ein Reverse Proxy, Load Balancer oder WAF, der TLS terminiert, blockiert acme-tls/1; leiten Sie Port 443 deshalb auf TCP-Ebene weiter. Die CA verwendet immer Port 443; ein anderer lokaler Port braucht eine Weiterleitung. TLSPilot akzeptiert keine IP-Adressen in ACME-Zertifikaten. Von den integrierten Providern erlaubt nur Let’s Encrypt TLS-ALPN-01; bei anderen Providern ist der Schalter deaktiviert, mit dem Tooltip This challenge is not allowed for the selected ACME provider. |
| Wildcards | Nein. Verwenden Sie DNS-01. |
Bei TLS-ALPN-01 beantwortet TLSPilot die Validierung auf dem Management-Host. Sie legen die Listen address (Standard 0.0.0.0) und den Port (Standard 443) fest. Lauscht die WebUI bereits auf dieser Adresse und diesem Port, beantwortet die WebUI die Challenge. Verwendet ein anderes Programm den Port, wählen Sie für die Challenge eine andere lokale IP-Adresse, siehe Abbildung TLS-ALPN-01-Challenge auf dem Management-Host.
