Ein gekauftes Wildcard-Zertifikat ist hier sicherlich die einfachste Loesung, aber:

1. Man braucht kein Wildcard-Zertifikat, es reichen SAN-Eintraege fuer die benoetigten Hostnamen (z.B. nur drei fuer PBX, AP und RP/Turn). Let's Encrypt bietet das schon immer an.

2. Let's Encrypt stellt inzwischen (seit 2019 oder so) auch Wildcard-Zertifikate aus, allerdings werden die ueber DNS angefordert, nicht ueber HTTP, von daher nicht direkt Aufgabe der TK-Anlage.

Allerdings waere es gut, wenn die TK-Anlage einen automatischen Weg zum Installieren aktualisierter Keys/Zertifikate hat, damit man diese leicht erneuern kann. Auch gekaufte Zertifikate halten ja nur noch ein Jahr.

Also soweit ich weiß geht es ein Wildcard anzufragen und ansonsten könnte man doch auch im CSR einfach zwei FQDNs im DNS Value anfragen oder nicht.

Zu der Sache sehe ich zwei Sachen die hier noch fehlen, die aber dann wirklich super toll wären.

1. Eine Art Job über Devices, der automatische Zertikate Anfrage / Verteilt.

z.B. mit Lets Encrypt oder auch einer Windows CA für interne Zertifikate.

2. On Top wäre es richtig Sahne, für die eingesetzen FQDNs im Reverse Proxy im Bereich der Application Certificates einzelne Zertifikate hochladen zu können. Dann könnte man auch einen Reverseproxy für verschiedene Domains nutzen...

--------

Die ist Situation wäre aber ... sich selbst einen Job schreiben der die Zertifikate per HTTP Post und curl z.B. auf die Geräte hochlädt.

Gruß

Peter

Auf meinem Testsystem habe ich inzwischen ein Let's Encrypt Zertifikat installiert. Voraussetzung ist der Zugriff auf den public DNS Server eurer Domain (DNS TXT record _acme-ahallenge.domain.xxx) und das Zertifikat muss manuell installiert werden. Dies ist dann 3 Monate gültig und muss danach manuell erneuert werden.

Basis ist folgende Dokumentation:
https://cloudalbania.com/2021/04/12/offline-generation-of-lets-encrypt/

certbot -d "*.domain.xxx" --manual-public-ip-logging-ok --manual --preferred-challenges dns certonly

Das generiert ein *.pem Zertifikat. Dies muss dann nur noch konvertiert werden und auf der PBX oder RP installieren.

Grüße

Ed