So installieren Sie ein SSL-Zertifikat auf Synology NAS

Dieses Tutorial zeigt Ihnen, wie Sie ein SSL-Zertifikat auf einer Synology NAS mit DSM 7 installieren. Sie importieren Ihre Zertifikatsdateien, weisen das Zertifikat Ihrem DSM und anderen Diensten zu und erzwingen HTTPS.

CSR-Code auf Synology NAS erstellen

Um ein Zertifikat zu beantragen, erstellen Sie zunächst eine Certificate Signing Request (CSR), einen verschlüsselten Textblock mit Ihren Domain- und Organisationsdaten, und senden ihn an die Zertifizierungsstelle (CA). Sie haben zwei Möglichkeiten:

• Verwenden Sie unseren CSR-Generator, um die CSR und den privaten Schlüssel automatisch zu erstellen.
• Folgen Sie unserem Schritt-für-Schritt-Tutorial zum Erstellen der CSR auf Synology NAS.

Reichen Sie die CSR während Ihrer Bestellung bei der Zertifizierungsstelle ein. Nachdem die CA sie validiert und Ihr Zertifikat ausgestellt hat, fahren Sie mit der Installation unten fort.

SSL-Zertifikat auf Synology NAS installieren

Bevor Sie beginnen, stellen Sie sicher, dass Sie diese drei Dateien bereit haben:

• Ihr Zertifikat: die .crt-Datei aus dem ZIP-Archiv, das Ihnen die CA gesendet hat.
• Zwischenzertifikat: die CA-Bundle-Datei aus demselben ZIP-Archiv (das CA-Bundle).
• Privater Schlüssel: die .key-Datei, die Sie zusammen mit der CSR generiert haben.

Die folgenden Bildschirme beschreiben DSM 7, das aktuelle Synology-Betriebssystem. Frühere DSM-Versionen folgen einem ähnlichen Ablauf mit leicht abweichenden Bezeichnungen.

Schritt 1: Zertifikat-Panel öffnen

Melden Sie sich als Administrator bei DSM an und gehen Sie zu Systemsteuerung > Sicherheit > Zertifikat.

Schritt 2: Einen neuen Import starten

Klicken Sie auf Hinzufügen. Wählen Sie im sich öffnenden Fenster Neues Zertifikat hinzufügen und klicken Sie auf Weiter.

Schritt 3: „Zertifikat importieren“ auswählen

Wählen Sie Zertifikat importieren und aktivieren Sie Als Standardzertifikat festlegen, damit DSM es für Verbindungen verwendet, die keinem bestimmten Zertifikat zugeordnet sind. Sie können das Feld Beschreibung leer lassen oder dem Zertifikat einen Namen geben, um es von anderen zu unterscheiden. Klicken Sie auf Weiter.

Schritt 4: Die drei Dateien hochladen

Verwenden Sie im Fenster Zertifikat importieren die Schaltflächen Durchsuchen, um jede Datei dem passenden Feld zuzuweisen:

• Privater Schlüssel: Ihre .key-Datei.
• Zertifikat: Ihre .crt-Datei.
• Zwischenzertifikat: die CA-Bundle-Datei.

Ordnen Sie jede Datei dem richtigen Feld zu. Das Laden des Zertifikats in das Schlüsselfeld oder das Auslassen des Zwischenzertifikats ist die häufigste Ursache für eine spätere „Nicht vertrauenswürdig“-Warnung. Klicken Sie auf OK, um den Import durchzuführen. DSM startet seinen Webserver neu, um das neue Zertifikat anzuwenden, sodass die Oberfläche kurzzeitig nicht verfügbar sein kann.

Schritt 5: Das Zertifikat Ihren Diensten zuweisen

Der Import des Zertifikats ist nicht der letzte Schritt. Sie müssen jedem Dienst noch mitteilen, welches Zertifikat er verwenden soll. Klicken Sie zurück im Bildschirm Zertifikat auf Einstellungen. Im Reiter Konfigurieren sehen Sie Ihre Dienste (DSM-Desktop, Web Station, E-Mail, FTP und andere) neben einem Zertifikat-Dropdown-Menü. Öffnen Sie für jeden Dienst, der das neue Zertifikat verwenden soll, das Dropdown-Menü, wählen Sie es aus und klicken Sie dann auf OK.

Wenn Sie in Schritt 3 Als Standardzertifikat festlegen aktiviert haben, verwenden Dienste ohne explizite Zuweisung bereits das neue Zertifikat. Es lohnt sich jedoch zu bestätigen, dass der DSM-Desktop und alle Webdienste auf das richtige Zertifikat verweisen.

Schritt 6: Eine sichere Verbindung erzwingen

Damit Besucher immer die sichere Version erreichen, leiten Sie HTTP auf HTTPS um:

• Gehen Sie zu Systemsteuerung > Anmeldeportal.
• Aktivieren Sie im Reiter DSM die Option HTTP-Verbindungen automatisch auf HTTPS für den DSM-Desktop umleiten.
• Klicken Sie auf Speichern (oder Übernehmen).

Der DSM-Desktop wird jetzt nur noch über HTTPS geladen. Web Station-Websites werden separat behandelt, in ihren eigenen Portaleinstellungen.

Ihr SSL-Zertifikat ist jetzt auf Ihrer Synology NAS installiert.

Kostenlose Option: ein Let’s Encrypt-Zertifikat in DSM erhalten

DSM 7 kann direkt ein kostenloses Let’s Encrypt-Zertifikat ausstellen, ohne CSR und ohne manuellen Import. Es erneuert sich vor Ablauf automatisch selbst, wodurch die 90-tägige Erneuerungsaufgabe entfällt. Am besten funktioniert dies, wenn Ihre NAS über das entsprechende Domain aus dem Internet erreichbar ist.

• Gehen Sie zu Systemsteuerung > Sicherheit > Zertifikat, klicken Sie auf Hinzufügen, dann auf Neues Zertifikat hinzufügen.
• Wählen Sie Zertifikat von Let’s Encrypt beziehen und klicken Sie auf Weiter.
• Geben Sie Ihren Domainnamen und eine Kontakt-E-Mail ein. Fügen Sie zusätzliche Hostnamen unter Subject Alternative Name hinzu und schließen Sie den Vorgang ab.

Für die Domain-Validierung müssen Ihre NAS und Ihr Router eingehenden Datenverkehr über Port 80 aus dem Internet zulassen. DSM verwendet dieselbe Verbindung, um das Zertifikat automatisch zu erneuern. Nach der Ausstellung weisen Sie es Ihren Diensten über Einstellungen > Konfigurieren zu, genau wie bei einem importierten Zertifikat.

Wählen Sie Let’s Encrypt für kostenloses DSM und interne Dienste. Wählen Sie ein gekauftes Zertifikat, wenn Sie eine Organisations- oder Extended Validation, ein Wildcard-Zertifikat für viele Subdomains, eine längere Gültigkeitsdauer oder eine Garantie und Hersteller-Support benötigen.

Ihre SSL-Installation testen

Prüfen Sie nach der Installation das Zertifikat und die Zertifikatskette, damit Sie ein fehlendes Zwischenzertifikat oder eine falsche Zuweisung frühzeitig erkennen. Öffnen Sie die Adresse Ihrer NAS in einem Browser über HTTPS und überprüfen Sie das Schlosssymbol, führen Sie dann einen tieferen Scan mit unserem SSL Checker durch.

Wenn Sie OpenSSL auf einem anderen Computer haben, können Sie das Zertifikat, das Ihre NAS bereitstellt, direkt auslesen. Ersetzen Sie Host und Port durch Ihre eigenen (DSM lauscht für HTTPS in der Regel auf Port 5001):

echo | openssl s_client -connect your-nas-address:5001 -servername your-nas-address 2>/dev/null | openssl x509 -noout -issuer -subject -dates

Dies gibt den Aussteller, den Inhaber und die Gültigkeitsdaten aus. Eine echte Zertifizierungsstelle in der Ausstellerzeile (statt der NAS selbst) bestätigt, dass Ihr importiertes Zertifikat ausgeliefert wird.

Häufig gestellte Fragen