1. Domain auf router.home.EXAMPLE.TLD umstellen

Da dein Zertifikat für home.EXAMPLE.TLD und *.home.EXAMPLE.TLD gilt, deckt es router.home.EXAMPLE.TLD (zwete Subdomain-Ebene) nicht automatisch ab, es sei denn, du nutzt direkt home.EXAMPLE.TLD für den Router oder stellst ein neues Wildcard-Zertifikat für *.home.EXAMPLE.TLD (bzw. *.router.home...) aus.

Am saubersten und einfachsten ist es, den Router direkt unter home.EXAMPLE.TLD (als Hauptdomain des Heimnetzes) laufen zu lassen und alle anderen Heimgeräte als Subdomains anzuhängen (z. B. nas.home.EXAMPLE.TLD, proxmox.home.EXAMPLE.TLD), die dann alle vom bestehenden Wildcard-Zertifikat *.home.EXAMPLE.TLD abgedeckt werden!

2. So richtest du weitere Heimnetz-Geräte per Domain & SSL ein

Da du den Wildcard-Joker *.home.EXAMPLE.TLD besitzt, kannst du jedes beliebige Gerät im Heimnetz über Nginx auf dem Router absichern:

1. NextDNS Rewrite Rule anlegen:

   Trage in NextDNS für jedes neue Gerät die gewünschte Subdomain ein, die auf die Router-IP 10.133.7.1 zeigt:

   • nas.home.EXAMPLE.TLD $\rightarrow$ 10.133.7.1

   • ha.home.EXAMPLE.TLD $\rightarrow$ 10.133.7.1

2. Nginx Server-Block auf dem Router ergänzen:

   Erstelle für jedes Gerät einen eigenen Server-Block in /etc/config/nginx (oder als eigene Datei in /etc/nginx/conf.d/), der das Wildcard-Zertifikat nutzt und die Anfragen per Reverse Proxy an das echte Gerät im LAN weiterleitet:

   Plaintext

   config server 'nas'
       option server_name 'nas.home.EXAMPLE.TLD'
       list listen '443 ssl'
       list listen '[::]:443 ssl'
       option ssl_certificate '/etc/ssl/nginx/home.EXAMPLE.TLD.fullchain.crt'
       option ssl_certificate_key '/etc/ssl/nginx/home.EXAMPLE.TLD.key'
   
       list location '/ { proxy_pass http://10.133.7.50:80; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; }'

   (Ersetze 10.133.7.50:80 durch die echte lokale IP und den Port deines Geräts).

3. Nginx neu laden:

   Bash

   /etc/init.d/nginx restart

Damit fungiert dein OpenWrt-Router als eleganter, zentraler Reverse Proxy mit vollautomatischem HTTPS für das gesamte Heimnetz, während deine ISPConfig-Websites auf dem VPS völlig unberührt davon separat laufen!