Ein fehlgeschlagenes Let’s-Encrypt-Zertifikat auf einer Synology ist meist kein einzelner Defekt, sondern eine Folge aus Domain, Erreichbarkeit und Portfreigabe. Entscheidend ist zuerst, ob die NAS von außen sauber angesprochen werden kann und ob die Zertifikatsanforderung überhaupt den richtigen Weg nimmt. Wer diese Reihenfolge einhält, spart sich viele unnötige Änderungen an DSM und am Router.
Worum es bei der Prüfung zuerst geht
Ein Zertifikat wird nur dann ausgestellt, wenn die Domain auf die richtige öffentliche Adresse zeigt und die Validierung den Synology-Dienst erreicht. Für die Prüfung zählen daher drei Ebenen: die Domain selbst, die Erreichbarkeit über Port 80 oder Port 443 und die saubere Zuordnung im System. Schon ein kleiner Fehler in einem dieser Punkte reicht aus, damit die Ausstellung abbricht.
Wichtig ist dabei auch die Unterscheidung zwischen internem Zugriff und Zugriff von außen. Im Heimnetz kann alles funktionieren, während die externe Validierung scheitert. Genau deshalb hilft es wenig, nur im Browser auf dem lokalen Netz zu testen.
Domain und DNS sauber einordnen
Die Domain muss auf die öffentliche Adresse deines Anschlusses zeigen oder über einen passenden DDNS-Dienst aktuell gehalten werden. Weicht der DNS-Eintrag ab, erreicht die Validierung nicht die NAS, sondern eine falsche Zieladresse. Das gilt besonders dann, wenn mehrere Domains, Subdomains oder ein externer DNS-Dienst im Spiel sind.
Prüfe außerdem, ob die verwendete Domain wirklich zur Synology zeigt und nicht noch auf einen alten Webserver, einen Proxy oder ein anderes Ziel verweist. Bei Subdomains lohnt ein Blick auf getrennte Einträge für www, nas oder andere Namen, die später im Zertifikat genutzt werden sollen. Das Zertifikat muss exakt zu dem Namen passen, den du in DSM einträgst.
Portfreigaben und Erreichbarkeit richtig bewerten
Für die Ausstellung eines Zertifikats spielt die Erreichbarkeit über den vorgesehenen Validierungsweg eine zentrale Rolle. In vielen Fällen ist Port 80 für die HTTP-Validierung relevant, während für den späteren HTTPS-Betrieb Port 443 genutzt wird. Wenn diese Ports blockiert, umgeleitet oder von einem anderen Dienst belegt sind, kommt die Prüfung nicht durch.
Wichtig ist dabei nicht nur die Freigabe im Router, sondern auch jede zusätzliche Schutzschicht dazwischen. Dazu gehören Portweiterleitungen, externe Firewalls, ein vorgeschalteter Reverse Proxy und mögliche Sperren durch den Internetanbieter. Sobald ein Dienst vor der NAS die Anfrage abfängt, sieht die Validierung oft nicht mehr den erwarteten Zielserver.
- Prüfe, ob die Domain von außen auf die richtige öffentliche Adresse zeigt.
- Kontrolliere, ob Port 80 und Port 443 wirklich auf die Synology weitergeleitet werden.
- Stelle sicher, dass kein anderer Dienst dieselben Ports blockiert.
- Vergleiche interne und externe Erreichbarkeit getrennt voneinander.
Zertifikat und Dienstzuordnung in DSM
Selbst wenn das Zertifikat erfolgreich erstellt wurde, kann der Betrieb später scheitern, wenn es dem falschen Dienst zugeordnet ist. DSM verwaltet Zertifikate und Dienste getrennt, daher muss das neue Zertifikat auch für die gewünschten Anwendungen aktiv sein. Dazu zählen etwa die DSM-Oberfläche, Webdienste, Reverse-Proxy-Regeln oder einzelne Pakete.
Nach einem Import oder einer neuen Ausstellung lohnt sich deshalb ein Blick in die Zuordnung. Wenn dort noch ein altes Zertifikat aktiv bleibt, meldet der Browser weiterhin eine Warnung oder zeigt ein abweichendes Zertifikat an. Das wirkt nach außen wie ein Ausstellungsfehler, ist in Wirklichkeit aber ein Zuordnungsproblem.
Typische Stolpersteine bei der Zertifikatszuweisung
Ein häufiger Fall ist ein vorhandenes Standardzertifikat, das nicht automatisch ersetzt wurde. Ebenso problematisch sind mehrere Domains auf einer NAS, bei denen das Zertifikat zwar erstellt wurde, aber nur für einen Teil der Dienste sichtbar bleibt. Auch ein Wechsel zwischen DSM-Anmeldung, Web Station und Reverse Proxy verlangt eine getrennte Prüfung der aktiven Zuordnung.
Reverse Proxy und Weiterleitungen im Blick behalten
Wer die Synology über einen Reverse Proxy oder über zusätzliche Weiterleitungen absichert, sollte die gesamte Kette prüfen. Die Zertifikatsanforderung darf nicht an einer Regel hängen bleiben, die eigentlich für einen anderen Dienst gedacht ist. Schon eine falsche Zieladresse im Proxy führt dazu, dass die Validierung ins Leere läuft.
Gerade bei mehreren Webdiensten auf einer NAS ist es sinnvoll, die Wege voneinander zu trennen. Die Zertifikatsausstellung braucht eine eindeutige Antwort auf die Validierungsanfrage, und diese Antwort darf nicht von Weiterleitungsregeln, Port-Konflikten oder einer internen Umleitung überlagert werden. Nach der Ausstellung kannst du die Struktur wieder sauber mit Proxy-Regeln und Diensten zusammenführen.
DNS- und Portprüfung in sinnvoller Reihenfolge
Am besten gehst du strukturiert vor: Zuerst die Domain, dann die öffentliche Erreichbarkeit, danach die Portweiterleitung und zuletzt die Zuordnung in DSM. So erkennst du schnell, ob der Fehler vor der NAS, auf der NAS oder erst bei der Dienstkonfiguration liegt. Diese Reihenfolge verhindert, dass du an mehreren Stellen gleichzeitig Änderungen vornimmst.
- Vergleiche Domain und öffentliche IP-Adresse.
- Prüfe die Portweiterleitung für HTTP und HTTPS.
- Kontrolliere, ob ein Proxy oder eine Firewall dazwischensteht.
- Verifiziere die Zertifikatszuordnung in DSM.
- Starte die betroffenen Dienste bei Bedarf neu.
Wenn die Ausstellung weiter scheitert
Bleibt der Vorgang trotz passender Domain und offener Ports erfolglos, ist die Ursache oft in einer zweiten Konfiguration verborgen. Dazu gehören doppelte Weiterleitungen, alte Zertifikatseinträge, fehlerhafte Hostnamen oder eine Adresse, die nicht mehr zur aktuellen Verbindung passt. In solchen Fällen hilft es, die aktive Konfiguration auf einen klaren Einzelweg zu reduzieren und erst danach den Zertifikatsvorgang erneut zu starten.
Auch ein Wechsel der externen Adresse kann eine Rolle spielen, etwa nach einem Routertausch, einer geänderten Internetverbindung oder einem neuen DDNS-Eintrag. Dann muss nicht nur das Zertifikat, sondern die komplette Erreichbarkeit neu gedacht werden. Erst wenn Domain, Port und Zielsystem zusammenpassen, läuft die Ausstellung stabil durch.
Wildcard, ACME und die richtige Hostname-Abdeckung
Bei Synology Let’s Encrypt reicht es nicht, dass die Domain im Browser erreichbar wirkt. Entscheidend ist, welcher Hostname beim ACME-Check tatsächlich abgefragt wird. Ein Zertifikat für die Hauptdomain deckt nicht automatisch jede Subdomain ab, und umgekehrt hilft ein Zertifikat für cloud.example.tld nicht, wenn DSM oder ein Dienst unter nas.example.tld angesprochen wird. Wer mehrere Namen parallel nutzt, sollte vor der Ausstellung prüfen, welche Adressen später wirklich im Alltag verwendet werden.
Besonders wichtig ist die Frage, ob ein einzelner Name genügt oder ob ein Zertifikat mit zusätzlichen SAN-Einträgen sinnvoller ist. DSM kann mehrere Namen verwalten, doch nicht jede Konfiguration ist für jedes Szenario passend. Bei Webdiensten, Mail-Zugängen oder Reverse-Proxy-Zielen muss der Name im Zertifikat mit dem aufgerufenen Hostnamen übereinstimmen. Schon kleine Abweichungen wie www gegenüber der nackten Domain oder eine interne Alias-Adresse können dazu führen, dass die Ausstellung zwar gelingt, der spätere Aufruf aber trotzdem Warnungen zeigt.
- Prüfen, unter welchem Hostname der Dienst später wirklich aufgerufen wird.
- Bei Subdomains die Zuordnung zwischen DNS-Eintrag und DSM-Zertifikat sauber halten.
- Interne und externe Namen nicht vermischen, wenn sie unterschiedlich aufgelöst werden.
- Bei mehreren Diensten prüfen, ob ein gemeinsames Zertifikat alle Namen abdeckt.
Challenge-Probleme durch lokale Sicherheit und Netzwerkkontrolle
Selbst bei korrekter Domain und offener Portfreigabe kann die ACME-Validierung an lokalen Schutzmechanismen scheitern. Firewalls auf dem NAS, Sicherheitsfunktionen des Routers oder Filter in vorgeschalteten Appliances blockieren mitunter nur den kurzen Prüfaufruf auf Port 80. Im Alltag fällt das kaum auf, weil normale Zugriffe über Port 443 weiter funktionieren. Genau deshalb lohnt sich ein genauer Blick auf den Weg, den die Validierungsanfrage nimmt.
Auch Geo-Filter, Intrusion-Prevention-Regeln oder ein restriktives Portmapping können die Antwort von außen verändern. Wichtig ist dabei die Unterscheidung zwischen Erreichbarkeit und sauberer HTTP-Antwort. Die Validierungsanfrage muss auf dem erwarteten Port ankommen und ohne Umleitungskette eine verwertbare Antwort liefern. Weiterleitungen auf Login-Seiten, HSTS-Vorgaben oder automatisch erzwungenes HTTPS sind für den normalen Betrieb sinnvoll, für die Erstprüfung aber oft problematisch.
Praktischer Prüfablauf für die Netzwerkseite
- Temporär prüfen, ob die NAS-Firewall Port 80 und Port 443 in der benötigten Richtung zulässt.
- Am Router die NAT-Weiterleitung auf das richtige interne Ziel kontrollieren.
- Sicherstellen, dass kein zweites Gerät denselben Port im Heimnetz belegt.
- Testweise Weiterleitungen reduzieren, falls Anfragen auf eine andere URL umgebogen werden.
- Nach jeder Anpassung die Ausstellung erneut anstoßen, statt mehrere Änderungen auf einmal zu kombinieren.
DSM-Version, Paketstatus und Systemzeit als oft übersehene Basis
Die Zertifikatsausstellung hängt nicht nur von Domain und Port ab, sondern auch vom Zustand des Systems. Eine falsche Systemzeit kann die Prüfung von Zertifikatsketten und Token-Laufzeiten durcheinanderbringen. Ebenso kann ein veraltetes DSM oder ein gestörtes Paketmanagement dazu führen, dass Assistenten unvollständig arbeiten oder sich Zertifikate nicht korrekt speichern lassen. Gerade nach Updates oder Migrationen sollte deshalb der allgemeine Systemzustand mitgedacht werden.
Hilfreich ist außerdem ein Blick auf den DSM-Dienst, der Zertifikate verwaltet. Läuft die Weboberfläche sauber, sind Datum und Zeitzone korrekt gesetzt und ist die Internetverbindung stabil, reduziert das eine ganze Reihe versteckter Fehlerquellen. Wer externe DNS-Dienste nutzt, sollte zudem prüfen, ob die NAS selbst zur Validierungsphase zuverlässig ins Netz kommt und nicht nur eingehende Zugriffe erwartet.
- Systemdatum und Zeitzone mit einer verlässlichen Quelle abgleichen.
- DSM und relevante Pakete auf einem aktuellen Stand halten.
- Nach Neustarts kontrollieren, ob Zertifikate und Dienste wieder vollständig geladen wurden.
- Bei ungewöhnlichem Verhalten die Systemprotokolle auf Hinweismeldungen prüfen.
Saubere Übergabe an Dienste, Virtualisierung und Anwendungen
Ein erfolgreich ausgestelltes Zertifikat löst das Problem erst dann vollständig, wenn die betroffenen Dienste es auch tatsächlich nutzen. In DSM können Web Station, Mail Server, VPN-Dienste, Container-Frontends oder virtuelle Maschinen jeweils eigene Zertifikatszuweisungen haben. Wer nach der Ausstellung nur die Standardansicht prüft, übersieht leicht einen Dienst, der noch mit einem alten oder falschen Zertifikat arbeitet.
Besonders bei Container-Umgebungen und Anwendungen hinter einem Reverse Proxy ist die Grenze zwischen NAS-Zertifikat und Applikationszertifikat wichtig. Der Proxy präsentiert nach außen das DSM-Zertifikat, während die Anwendung intern vielleicht ganz andere Anforderungen hat. Daraus ergibt sich eine klare Reihenfolge: Zuerst den externen Namen und die öffentliche Erreichbarkeit stabilisieren, dann die Zuweisung im Dienst und schließlich den Zugriff aus unterschiedlichen Netzen testen.
Worauf nach erfolgreicher Ausstellung noch zu achten ist
- Prüfen, ob der gewünschte Dienst tatsächlich das neue Zertifikat ausgewählt hat.
- Alte Zertifikate nicht zu früh entfernen, solange mehrere Dienste noch umgestellt werden.
- Bei mehreren Hostnamen testen, ob überall die gleiche Kette ausgeliefert wird.
- Browser- und Client-Caches berücksichtigen, damit keine alten Zertifikatinformationen im Weg stehen.
- Bei mobilen Anwendungen auch den Zugriff außerhalb des Heimnetzes kontrollieren.
FAQ
Warum schlägt die Ausstellung trotz richtiger Domain noch fehl?
Oft stimmt die Domain zwar, aber die öffentliche Erreichbarkeit passt nicht dazu. Prüfe, ob der DNS-Eintrag auf die aktuelle WAN-IP zeigt und ob der Router Port 80 für die ACME-Prüfung weiterleitet.
Weshalb ist Port 80 für ein SSL-Zertifikat überhaupt wichtig?
Viele Prüfverfahren kontrollieren die Domain über eine HTTP-Abfrage auf Port 80. Ist dieser Port blockiert oder falsch weitergeleitet, erreicht die Validierung die Synology-Instanz nicht zuverlässig.
Kann Port 443 allein für die Ausstellung ausreichen?
Für den späteren sicheren Zugriff ja, für die erste Prüfung meist nicht. Die Ausstellung benötigt je nach Verfahren zusätzlich eine erreichbare HTTP-Antwort auf Port 80.
Welche Rolle spielt der DNS-Cache bei Problemen mit der Validierung?
Ein veralteter Eintrag im Cache kann dazu führen, dass noch die alte IP verwendet wird. Dann zeigt die Domain zwar auf dem Papier richtig, die Prüfung landet aber an einer anderen Stelle.
Wie erkenne ich, ob die öffentliche IP sich geändert hat?
Vergleiche die im Router angezeigte WAN-Adresse mit dem aktuellen DNS-A-Record. Abweichungen deuten darauf hin, dass der Eintrag aktualisiert werden muss.
Warum wird ein korrekt ausgestelltes Zertifikat in DSM nicht aktiv genutzt?
In DSM muss das Zertifikat dem richtigen Dienst oder Host zugewiesen sein. Ohne diese Zuordnung antwortet die Oberfläche oder der gewünschte Dienst möglicherweise weiter mit einem anderen Zertifikat.
Was ist bei einem Reverse Proxy besonders wichtig?
Der Reverse Proxy kann die Sicht auf den eigentlichen Dienst verändern und Zertifikate getrennt behandeln. Deshalb muss geprüft werden, ob die Weiterleitung, der Hostname und das verwendete Zertifikat zusammenpassen.
Kann eine Firewall auf der Synology die Ausstellung verhindern?
Ja, lokale Firewall-Regeln können eingehende Verbindungen auf den benötigten Ports blockieren. Das gilt auch dann, wenn der Router die Weiterleitung bereits korrekt eingerichtet hat.
Was sollte ich nach einer erneuten Ausstellung kontrollieren?
Kontrolliere zuerst das Ablaufdatum und die Zuordnung im DSM. Danach lohnt sich ein Blick auf die Erreichbarkeit von außen, damit der nächste Ablauf nicht wieder an derselben Stelle scheitert.
Wann ist ein DNS-Name als Ursache eher unwahrscheinlich?
Wenn die Domain von extern sauber auf die richtige Adresse zeigt und der Aufruf auf Port 80 oder 443 erreichbar ist, rückt der Name meist in den Hintergrund. Dann liegt die Ursache eher bei der Weiterleitung, der Dienstzuordnung oder einer lokalen Sperre.
Fazit
Für eine saubere Ausstellung auf dem NAS müssen Domain, Ports und Zertifikatszuweisung zusammenpassen. Wer die externe Erreichbarkeit, die DNS-Auflösung und die DSM-Zuordnung in dieser Reihenfolge prüft, findet die Ursache meist ohne Umwege. Danach läuft die Erneuerung deutlich verlässlicher und der Zugriff bleibt sauber abgesichert.