Der Dienst läuft, ist aber nur im Wohnzimmer erreichbar. Der Weg von dort bis zu einer Adresse, die im Browser funktioniert und ein gültiges Zertifikat hat, führt über vier Stationen – und an jeder scheitern Selbstbau-Projekte reihenweise.
Die Ausgangslage
Ein Anschluss zu Hause hat in der Regel eine öffentliche Adresse, die sich gelegentlich ändert, und dahinter ein privates Netz, das von außen nicht sichtbar ist. Beides muss überbrückt werden: die wechselnde Adresse durch einen Namen, der immer stimmt, und die Unsichtbarkeit durch einen kontrollierten Eingang.
Ein Sonderfall wird immer häufiger: Anschlüsse ohne eigene öffentliche Adresse, bei denen sich mehrere Kunden eine teilen. Dann funktionieren Portfreigaben grundsätzlich nicht, und der Weg führt zwingend über einen Vermittlungsdienst oder ein VPN mit einem gemieteten Vermittlungspunkt.
Station 1: Der Name
Im Namenssystem gibt es drei Einträge, die hier zählen:
- A verweist auf eine Adresse. Der einzige Eintragstyp, der eine Zahl enthält.
- CNAME verweist auf einen anderen Namen. Nützlich, weil sich damit ein Dutzend Unterbereiche an einem einzigen A-Eintrag aufhängen lassen – ändert sich die Adresse, muss nur eine Stelle angefasst werden.
- Platzhalter in Form eines Sternchens fangen alle Unterbereiche ab, für die nichts Eigenes eingetragen ist.
Zwei Fallstricke: Am Wurzeleintrag einer Domain – also ohne vorangestellten Unterbereich – ist ein CNAME nicht erlaubt, dort muss ein A-Eintrag stehen. Und ein Platzhalter gilt nur für Namen, die keinen eigenen Eintrag haben; bestehende Einträge für Mail oder Prüfschlüssel bleiben unberührt.
Wechselnde Adressen
Damit der Name stimmt, wenn sich die Adresse ändert, meldet ein kleines Programm auf dem Server jede Änderung an den Anbieter. Viele Router können das selbst. Wichtig ist nur, dass es eine Stelle gibt, die aktualisiert wird – alles andere hängt per CNAME daran.
Station 2: Der Eingang
Der Reflex, für jeden Dienst einen Port freizugeben, führt schnell zu einem Dutzend offener Türen, die einzeln abgesichert und einzeln aktualisiert werden müssen. Die bessere Bauweise ist ein einziger Eingang.
Ein vorgeschalteter Vermittler nimmt alle Anfragen auf Port 443 entgegen, liest den angefragten Namen aus und reicht sie intern an den passenden Dienst weiter. Von außen ist genau ein Punkt sichtbar – der, der aktuell gehalten und abgesichert wird.
Das bringt nebenbei mit: Verschlüsselung an einer Stelle statt an zwölf, eine gemeinsame Protokollierung, die Möglichkeit, offensichtliche Angriffsmuster zentral zu blockieren, und Namen statt Portnummern.
Station 3: Das Zertifikat
Zertifikate sind kostenlos und werden automatisch ausgestellt. Zwei Verfahren stehen zur Wahl:
| Über den Webserver | Über das Namenssystem | |
|---|---|---|
| Voraussetzung | Port 80 von außen erreichbar | Schnittstelle beim Namensanbieter |
| Einrichtung | Einfach | Zugangsdaten nötig |
| Platzhalter-Zertifikate | Nicht möglich | Möglich |
| Funktioniert ohne offene Ports | Nein | Ja |
Für den Normalfall reicht das erste Verfahren. Das zweite wird interessant, wenn ein Zertifikat für viele Unterbereiche gleichzeitig gebraucht wird oder wenn gar nichts nach außen offen sein soll.
Der Klassiker: die Weiterleitungsschleife
Ein Fehler, der fast jeden einmal trifft: Der Vermittler spricht nach außen verschlüsselt, intern aber unverschlüsselt mit der Anwendung. Die Anwendung schließt daraus, die Verbindung sei unverschlüsselt, und leitet auf die verschlüsselte Fassung um – die wieder beim Vermittler landet. Der Browser läuft im Kreis, bis er aufgibt.
Die Lösung ist immer dieselbe: Der Vermittler setzt eine Kopfzeile, die das ursprüngliche Protokoll benennt, und die Anwendung wird angewiesen, dieser Kopfzeile zu glauben. Bei den meisten Anwendungen ist das eine einzige Zeile in der Konfiguration.
Station 4: Oder eben doch kein offener Port
Wer keinen öffentlichen Zugriff braucht, sondern nur selbst von unterwegs herankommen möchte, sollte gar nichts freigeben. Ein VPN baut einen verschlüsselten Tunnel ins Heimnetz; von außen ist dann kein einziger Dienst sichtbar.
Das ist die deutlich sicherere Variante und für alles geeignet, was ohnehin nur die eigene Nutzung betrifft. Öffentlich erreichbar muss nur werden, was tatsächlich andere aufrufen sollen.
Checkliste
- Feste interne Adressen für alle Dienste, keine frei vergebenen.
- Genau ein Eingang von außen, nicht einer pro Dienst.
- Unverschlüsselte Aufrufe umleiten, nicht anbieten.
- Was nur der eigene Zugriff ist, gehört hinter ein VPN.
- Vor dem Umstellen auf einen neuen Namen prüfen, dass der Name schon auflöst – sonst schlägt die Zertifikatsausstellung fehl.
Weiter zu:
Heimserver & Virtualisierung ·
Automatisierung ·
KI im Eigenbetrieb ·
Glossar