Jak zainstalować certyfikat SSL na NAS Synology
W skrócie
W DSM otwórz „Panel sterowania” → „Bezpieczeństwo” → „Certyfikat” → „Dodaj” → „Importuj certyfikat”, wskaż privkey.pem, cert.pem i chain.pem, a potem przypisz certyfikat do usług.
Dla serwera NAS Synology z systemem DSM 7. Certyfikat zadziała, gdy otwierasz NAS pod adresem ze swojej domeny (np. nas.twojadomena.pl). Przy wejściu przez adres IP przeglądarka nadal pokaże ostrzeżenie. Połączenia przez QuickConnect mają w DSM 7 własny certyfikat od Synology i nasz certyfikat ich nie dotyczy.
Potrzebne pliki
privkey.pem, cert.pem i chain.pem. DSM wczytuje je z dysku, niczego nie wklejasz.
Wgrywaj certyfikat z trybu produkcyjnego. Certyfikat z trybu testowego służy tylko do sprawdzenia procesu: przeglądarki mu nie ufają, a część paneli w ogóle go nie przyjmie.
Zanim zaczniesz
- DSM sam potrafi pobrać certyfikat Let's Encrypt i odnawiać go automatycznie, ale potrzebuje do tego otwartego portu 80 na routerze i NAS-ie, a certyfikat z gwiazdką (*.domena) wystawia tylko dla adresów Synology DDNS. Nasz generator przydaje się, gdy nie chcesz otwierać portu 80 (domenę potwierdzasz wtedy rekordem DNS) albo potrzebujesz certyfikatu z gwiazdką dla własnej domeny.
Krok po kroku
- Zaloguj się do DSM i otwórz „Panel sterowania” → „Bezpieczeństwo” → „Certyfikat”.
- Kliknij „Dodaj”, wybierz „Dodaj nowy certyfikat” i kliknij „Następne”.
- Wpisz opis (np. nazwę domeny) i wybierz „Importuj certyfikat”. Jeśli certyfikat ma obsługiwać wszystkie usługi NAS-a, zaznacz „Ustaw jako certyfikat domyślny”. Kliknij „Następne”.
- Wskaż pliki w trzech polach kreatora (niżej, co gdzie) i zakończ kreator.
- Jeśli certyfikat nie jest domyślny, przypisz go do usług: kliknij „Ustawienia”, przejdź do zakładki „Konfiguruj”, kliknij bieżący certyfikat usługi, wybierz nowy z listy i kliknij „OK”.
Który plik w które pole
- Klucz prywatny: plik privkey.pem
- Certyfikat: plik cert.pem
- Certyfikat pośredni: plik chain.pem. DSM opisuje to pole jako opcjonalne, ale bez niego część urządzeń pokaże ostrzeżenie o niepełnym łańcuchu.
Sprawdzenie
Otwórz swoją stronę przez https:// i kliknij kłódkę (albo ikonę ustawień) obok adresu. Szczegóły certyfikatu powinny pokazać wystawcę Let's Encrypt i datę ważności zgodną z panelem. Jeśli przeglądarka nadal pokazuje stary certyfikat, odczekaj kilka minut i odśwież stronę.
Jeśli zamiast strony widzisz ostrzeżenie, kod błędu wyjaśniamy na stronie „Połączenie nie jest prywatne”. Jeśli strona otwiera się przez https, ale wygląda źle albo coś nie działa, zobacz mieszana zawartość. Na koniec włącz przekierowanie z http na https, żeby wszyscy trafiali na bezpieczną wersję.
Dobrze wiedzieć
- Jeśli DSM pokaże komunikat „Nieprawidłowy klucz prywatny” albo „Niedozwolony klucz prywatny”, wygeneruj certyfikat jeszcze raz z kluczem RSA 2048 (krok 1 generatora, „Rodzaj klucza”). Jeśli i to nie pomoże, napisz do nas: według Synology klucz czasem musi zaczynać się od „-----BEGIN RSA PRIVATE KEY-----”, a plik z generatora zaczyna się od „-----BEGIN PRIVATE KEY-----”.
- Certyfikatu zaimportowanego z pliku DSM nie odnawia sam. Przy odnowieniu podmieniasz go ręcznie.
Przy odnowieniu
„Panel sterowania” → „Bezpieczeństwo” → „Certyfikat” → „Dodaj” → „Zamień istniejący certyfikat”. Wybierz z listy stary certyfikat, kliknij „Następne”, wybierz „Importuj certyfikat” i wskaż nowe pliki. Przypisania do usług powinny zostać bez zmian; sprawdzisz to w „Ustawienia” → „Konfiguruj”.
Panele hostingów co jakiś czas się zmieniają. Jeśli coś wygląda inaczej niż w opisie, napisz na kontakt@freessl.pl, a poprawimy instrukcję.