WireGuard in jedes Kundennetz — ohne feste IP, ohne Portfreigabe.
Zertifikate für Geräte im eigenen Netz
Das NAS im Keller, die Firewall im Serverschrank, der Terminalserver im Büro: Sie sprechen HTTPS, und jeder Browser warnt davor. Hier bekommen sie ein Zertifikat, das jedes Gerät anerkennt — ohne dass eines davon von außen erreichbar sein muss.
Warum das ohne Portfreigabe geht
Ein Gerät mit einer privaten Adresse bekommt von keiner öffentlichen Stelle ein Zertifikat: Niemand von außen kann nachprüfen, dass es existiert. Der übliche Ausweg ist ein Loch in der Firewall, nur damit einmal im Vierteljahr jemand von draußen anklopfen darf. Das ist der Preis, den hier niemand zahlen muss.
Der Nachweis wird stattdessen im Namensdienst geführt. Wir tragen ihn in unserer Zone ein, die Ausgabestelle sieht dort nach — und Ihr Gerät bleibt dabei so unerreichbar, wie es vorher war. Keine Portfreigabe, keine Weiterleitung, kein Gerät in der DMZ.
Zwei Dinge vorweg
Geprüft wird der Name, nicht das Gerät
Für den Nachweis schreiben wir einen Eintrag in unsere Zone und räumen ihn danach wieder weg. Die Ausgabestelle liest ihn dort und spricht zu keinem Zeitpunkt mit Ihrem Gerät. Deshalb geht es auch hinter einem Anschluss ohne feste Adresse, hinter Mobilfunk und hinter einer Firewall, die nach außen dicht ist.
Erneuert wird ohne Sie
Dreißig Tage vor Ablauf holt der nächtliche Lauf ein neues Zertifikat, und Ihr Gerät lädt es sich selbst ab. Bleibt eine Abholung eine Woche lang aus oder scheitert die Erneuerung, landet die Meldung bei uns — nicht in einem Postfach, das im Urlaub niemand liest. Dann sehen wir nach und melden uns.
Wofür unsere Kunden das holen
Es ist fast immer dasselbe Gerät — eines, das täglich benutzt wird und bei dem die Warnung längst zum Ritual geworden ist.
NAS von Synology oder QNAP
Die Weboberfläche, die Foto-App auf dem Telefon, der Kalender: Bei jedem Aufruf steht die Warnung, und auf dem Telefon lässt sie sich oft nicht einmal wegklicken. Für QNAP liegt ein eigenes Abholskript bereit — QTS hat weder systemd noch /etc/cron.d, und die üblichen Anleitungen laufen dort ins Leere. Zur Anleitung
OPNsense und andere Firewalls
Die Oberfläche der Firewall ist die eine Seite, der man glauben können muss — und ausgerechnet sie warnt. Die OPNsense holt sich das Zertifikat über ihre eigene Schnittstelle ab und wendet es selbst an; von Hand kopieren hilft dort nicht, weil die Datei bei jedem „Anwenden“ neu entsteht. Zur Anleitung
Terminalserver und Remotedesktop
Windows zeigt vor jeder Sitzung den Hinweis, dass der Herausgeber nicht überprüft werden konnte — und Anwender lernen, ihn wegzuklicken, was sie bei einem echten Vorfall genauso tun werden. Sie bekommen das Zertifikat als .pfx samt Skript, das es einliest und zuweist. Zur Anleitung
Kameras, Drucker, Haustechnik
Alles, was eine Weboberfläche hat und im Netz steht. Ein Zertifikat deckt das ganze Netz ab — Sie holen es einmal und legen es auf so viele Geräte, wie Sie möchten. Was keine Datei entgegennimmt, bleibt außen vor; das sagt Ihnen niemand hinterher.
In drei Schritten erledigt
Der erste Durchgang dauert eine Viertelstunde. Danach passiert es von selbst.
Netz anlegen
Sie geben Ihrem Netz eine Kennung — etwa buero. Daraus wird buero.idodns.de, und darunter liegt alles Weitere.
Geräte benennen
Je Gerät ein Name und die Adresse, unter der es im Netz steht: nas zeigt auf 192.168.10.20. Den Namen tippen Sie danach in den Browser statt der Zahlen.
Holen und abholen lassen
Ein Klick, und Sie haben Kette, Schlüssel und für Windows eine .pfx. Darunter steht das Abholskript in vier Fassungen — Linux, Windows, QNAP, OPNsense —, das ab dann alles Weitere allein erledigt.
Was auf dem Zertifikat steht
Weiterlesen
- Ein Platzhalter für Ihr ganzes Netz
- Auf dem Zertifikat stehen zwei Namen: buero.idodns.de und *.buero.idodns.de. Der zweite deckt jedes Gerät ab, das Sie je benennen — auch die, die es heute noch nicht gibt. Ein neues Gerät braucht deshalb kein neues Zertifikat, sondern nur einen Namen.
- Genau eine Ebene tief
- nas.buero geht, nas.keller.buero nicht: Ein Platzhalter deckt eine Ebene ab. Das ist keine Einstellung, sondern eine Eigenschaft von Zertifikaten — deshalb lässt die Anwendung solche Namen gar nicht erst zu, statt Sie später vor einer Warnung stehen zu lassen, für die es keinen Grund zu geben scheint.
- Kette, Schlüssel und PFX
- Die Zertifikatskette und den privaten Schlüssel im üblichen PEM-Format, wie jede Firewall und jedes NAS sie erwartet. Für Windows zusätzlich eine .pfx, deren Kennwort Sie selbst vergeben — mindestens acht Zeichen, denn diese Datei trägt den Schlüssel und liegt danach in einem Download-Ordner.
- Ein Zugang für die Abholung, einmal gezeigt
- Das Skript braucht einen eigenen Zugang, und den sehen Sie genau einmal. Bei uns liegt davon nur die Prüfsumme; verloren heißt neu erzeugen. Dafür kann ein verlorener Zugang auch nichts anderes als Zertifikate abholen.
Was dabei öffentlich wird — und was nicht
Weiterlesen
Damit ein öffentlicher Dienst einen Namen beurkunden kann, muss der Name öffentlich sein. Das hat zwei Folgen, die wir lieber hier hinschreiben als Sie später entdecken zu lassen:
- Die Namen lösen für jeden auf. Wer nas.buero.idodns.de abfragt, bekommt die private Adresse dahinter zu sehen. Erreichen kann er sie nicht — eine private Adresse ist aus dem Internet nicht zustellbar —, aber er weiß, dass es das Gerät gibt und wie es heißt.
- Jeder Name steht in den Transparenzprotokollen. Jede Ausgabestelle veröffentlicht, welche Namen sie beurkundet hat; das ist so gewollt und der Grund, weshalb man gefälschte Zertifikate heute bemerkt. Wählen Sie Gerätenamen also so, wie Sie ein Klingelschild beschriften würden.
Nicht öffentlich wird alles andere: Der private Schlüssel entsteht bei der Ausstellung und wird Ihnen ausgeliefert; was auf Ihren Geräten liegt, geht uns nichts an, und was Sie darüber übertragen, sehen wir nicht.
Was es kostet
4,00 € netto im Monat je Netz für Unternehmen, 4,90 € inkl. USt. für den eigenen Anschluss. Ein Netz ist inbegriffen, und in ihm so viele Geräte, wie Sie benennen möchten. Monatlich kündbar; bei jährlicher Zahlung zahlen Sie zehn Monate statt zwölf.
Der Nettopreis gilt für Unternehmer im Sinne des § 14 BGB, zuzüglich 19 % Umsatzsteuer. Für Privatkunden gilt der Bruttopreis; er enthält die Umsatzsteuer bereits.
Und von unterwegs?
Weiterlesen
Ein Zertifikat beweist, wer das Gerät ist. Einen Weg dorthin schafft es nicht: Von außen bleibt Ihr Netz so verschlossen wie vorher — das ist der Punkt der ganzen Übung. Im Café tippen Sie den Namen ein und landen nirgends.
Dafür gibt es den Fernzugriff: ein WireGuard-Tunnel in Ihr Netz, ohne feste IP und ohne Portfreigabe. Danach erreichen Sie Ihr NAS von unterwegs unter demselben Namen und mit demselben Zertifikat — und ohne Warnung, weil der Name derselbe geblieben ist.
Die Warnung ist heute Abend weg
Netz anlegen, Geräte benennen, Zertifikat holen, Abholskript einrichten. Danach erneuert es sich von selbst, und Sie klicken nie wieder etwas weg, das Sie eigentlich lesen sollten.
Keine Zahlungsdaten nötig, keine automatische Verlängerung in einen kostenpflichtigen Tarif. Sie richten in Ruhe ein und entscheiden danach.
Häufige Fragen
Muss mein Gerät dafür aus dem Internet erreichbar sein?
Nein, und das ist der ganze Punkt. Der Nachweis wird im Namensdienst geführt: Wir tragen ihn in unsere Zone ein, die Ausgabestelle liest ihn dort und spricht zu keinem Zeitpunkt mit Ihrem Gerät. Es braucht keine Portfreigabe, keine Weiterleitung und keine feste Adresse.
Was steht auf dem Zertifikat, und für wie viele Geräte gilt es?
Zwei Namen: Ihre Kennung und ein Platzhalter darunter, also etwa buero.idodns.de und *.buero.idodns.de. Der Platzhalter deckt jedes Gerät ab, das Sie benennen — auch später hinzugekommene. Er reicht genau eine Ebene tief: nas.buero ja, nas.keller.buero nein.
Muss ich das Zertifikat alle drei Monate von Hand tauschen?
Nein. Dreißig Tage vor Ablauf holt der nächtliche Lauf ein neues, und Ihr Gerät lädt es sich mit einem fertigen Skript selbst ab — es gibt Fassungen für Linux, Windows, QNAP und OPNsense. Bleibt eine Abholung eine Woche aus oder scheitert die Erneuerung, geht die Meldung an uns, und wir sehen nach.
Kann jeder sehen, wie meine Geräte heißen?
Die Namen ja, erreichen kann sie niemand. Damit ein öffentlicher Dienst einen Namen beurkunden kann, muss der Name öffentlich auflösen; dahinter steht Ihre private Adresse, und die ist aus dem Internet nicht zustellbar. Außerdem veröffentlicht jede Ausgabestelle, welche Namen sie beurkundet hat — das ist gewollt und der Grund, weshalb gefälschte Zertifikate heute auffallen. Wählen Sie Gerätenamen also so, wie Sie ein Klingelschild beschriften würden.
Weitere Fragen — zu Abrechnung, Kündigung, Datenschutz und den anderen Leistungen — stehen unter Häufige Fragen.
Was IDO DNS Service sonst noch kann
RDP, SSH und VNC im Browserfenster — ohne Installation auf Ihrem Rechner.
Verschlüsseltes Backup außer Haus — ein eigenes Ziel, kein geteilter Platz.
Ihr Anschluss immer unter demselben Namen erreichbar.
Alle Preise nebeneinander stehen auf der Preisseite.