Let’s Encrypt mit DNS-Validierung (Proxmox, pfSense)

Let’s Encrypt via DNS-Validierung (Proxmox)

Mit unserem DNS-Plugin für Proxmox können Sie Let’s Encrypt Zertifikate automatisch über die DNS-01 Challenge verlängern lassen. Das funktioniert ohne HTTP-Zugriff und ist ideal für Proxmox-Verwaltung, interne Services und Systeme hinter einer Firewall.

Voraussetzungen

• Ihre Domain muss auf unsere Nameserver zeigen (DNS bei FireStorm verwaltet)
• API-Zugang muss aktiviert sein (unter admin.firestorm.ch → Kundenprofil → API Zugang)
• Ihre Kundennummer und Ihren API-Key bereithalten

1. Plugin installieren

Laden Sie das Plugin auf Ihren Proxmox-Host herunter:

curl -o /usr/share/proxmox-acme/dnsapi/dns_firestorm.sh https://api.firestorm.ch/downloads/dns_firestorm.sh

Falls Sie einen Proxmox-Cluster betreiben, muss das Plugin auf jedem Node installiert werden.

Zusätzlich muss die Plugin-Definition in die Schema-Datei eingetragen werden:

python3 -c "
import json
f='/usr/share/proxmox-acme/dns-challenge-schema.json'
d=json.load(open(f))
d['dns_firestorm']={'name':'FireStorm DNS','fields':{'FIRESTORM_USER':{'description':'FireStorm Kundennummer','type':'string'},'FIRESTORM_KEY':{'description':'FireStorm API Key','type':'string'}}}
json.dump(d,open(f,'w'),indent=2,sort_keys=True)
print('OK')
"

2. ACME Account erstellen

Unter Datacenter → ACME → Accounts → Add einen neuen Account erstellen. Geben Sie Ihre E-Mail-Adresse ein und akzeptieren Sie die Let’s Encrypt Nutzungsbedingungen.

3. DNS Challenge Plugin anlegen

Unter Datacenter → ACME → Challenge Plugins → Add:

Dieses Plugin funktioniert für alle Domains in Ihrem Account — Sie benötigen nur ein einziges Plugin im Datacenter.

4. Zertifikat konfigurieren

Unter Node → System → Certificates → ACME:

• Den erstellten ACME Account auswählen
• Domain hinzufügen: Hostname eingeben (z.B. proxmox.ihredomain.ch), Challenge Type DNS, Plugin auswählen

5. Zertifikat bestellen

Klicken Sie auf Order Certificates Now. Proxmox setzt automatisch den DNS-Eintrag, wartet auf die Validierung und installiert das Zertifikat.

Das Zertifikat wird automatisch 30 Tage vor Ablauf erneuert.

Fehlerbehebung

„dns_firestorm» erscheint nicht in der Auswahl
Stellen Sie sicher, dass sowohl die .sh-Datei als auch die Schema-Definition installiert sind (siehe Schritt 1). Laden Sie die Proxmox-Weboberfläche neu.

„Invalid credentials»
Prüfen Sie ob Kundennummer und API-Key korrekt sind. Der API-Key finden Sie unter admin.firestorm.ch → Kundenprofil.

„Zone not found»
Die Domain muss auf unsere Nameserver zeigen und eine DNS-Zone in Ihrem Account existieren.

Zertifikat wird nicht verlängert
Proxmox versucht die Verlängerung automatisch 30 Tage vor Ablauf. Prüfen Sie unter Node → System → Certificates den Status.