Der Schlüssel zu diesem Thread ist, dass „HTTPS auf ZimaOS“ tatsächlich mehr als ein Vertrauensproblem beschreibt. Ein vom ZimaOS-Dashboard verwendetes Zertifikat wird nicht automatisch zum Zertifikat für jede Docker-Anwendung, die unter einem anderen Hostnamen oder Port läuft.
Dashboard-HTTPS und App-HTTPS trennen
Der aktuelle Leitfaden zu HTTPS-Zertifikaten in ZimaOS erläutert dieselbe Abgrenzung: Das Vertrauen in das lokale ZimaOS-Zertifikat kann den Dashboard-Hostnamen abdecken, Anwendungen wie Obsidian, Jellyfin oder Plex sind jedoch separate Dienste. Obsidian auf ZimaOS ist ein nützliches Beispiel, da browserbasierte Anwendungen eigene HTTPS- und Sicherheitsanforderungen haben können.
Die ZimaBoard-2-Hardware liefert den aktuellen Hardwarekontext für das ZimaBoard 2, das Zertifikatsproblem selbst ist jedoch eine Frage von Hostnamen, Vertrauenskette und Reverse-Proxy und keine Einschränkung des Boards.
Warum der Import einer CER-Datei das Browserproblem möglicherweise nicht behebt
Ein vertrauenswürdiges Zertifikat muss zum Hostnamen passen, den der Browser öffnet, und zu einer von diesem Client akzeptierten Vertrauensanker-Kette gehören. Der Import eines einzelnen Zertifikats sorgt nicht dafür, dass unabhängige Anwendungsports dieses automatisch übernehmen. Wenn der Browser eine IP-Adresse öffnet, während das Zertifikat einen anderen Hostnamen nennt, kann das Vertrauen weiterhin fehlschlagen.
Wann ein öffentliches Zertifikat erforderlich ist
Die Let's-Encrypt-Challenges erklären, dass die Ausstellung öffentlicher Zertifikate den Nachweis der Kontrolle über den Domainnamen mithilfe einer ACME-Challenge erfordert. Für Dienste, die über einen echten Hostnamen erreichbar sein sollen, kann ein Reverse-Proxy TLS beenden und den Datenverkehr an interne App-Ports weiterleiten.
Die Einrichtung von Cloudflare Tunnel ordnet ebenfalls einen öffentlichen Hostnamen über einen Tunnel einem lokalen Dienst zu. Damit lässt sich ein anderes Problem als das lokale Zertifikatsvertrauen lösen: Es wird ein verwalteter Pfad von einem Domainnamen zur internen Anwendung bereitgestellt.
Admin-Ports nicht nur wegen eines Schloss-Symbols veröffentlichen
Veröffentlichen Sie ZimaOS- oder Anwendungs-Admin-Ports nicht einfach direkt im öffentlichen Internet, nur um eine Browserwarnung zu entfernen. Entscheiden Sie, ob die Anforderung lokales Vertrauen, Fernzugriff oder öffentliches HTTPS betrifft, und entwerfen Sie Zertifikats- und Proxy-Pfad gezielt für diese Abgrenzung.
Fazit
Der Community-Thread war kein Beweis dafür, dass das ZimaOS-CER fehlerhaft war. Wahrscheinlicher ist, dass das Dashboard-Zertifikat und separate Anwendungsdienste als ein gemeinsamer HTTPS-Endpunkt behandelt wurden. Vertrauen Sie dem Dashboard-Zertifikat nur für den Hostnamen, den es abdeckt, und verwenden Sie bei Bedarf einen korrekt konfigurierten Reverse-Proxy oder ein Domainzertifikat für andere Apps.
