Nginx

step-ca 0.30.2 stellt Client-Zertifikate für Mutual TLS aus, durchgehend getestet mit nginx 1.30.5 und Caddy 2.11.7. Warum Telefone der schwierige Fall sind, die Anhebung der 24-Stunden-Grenze für Zertifikate in ca.json, das Einschalten der CRL, warum sie mit „different CRL scope“ scheitert, bis idpURL und eine Vorlage einen passenden Verteilungspunkt eintragen, die Root-CRL, die nginx für die ganze Kette braucht, das Veröffentlichen der CRLs über einfaches HTTP auf IPv4 und IPv6, der Refresh-Job, der verhindert, dass eine abgelaufene CRL alle aussperrt, und das Ausstellen, Verpacken, Installieren und Widerrufen des Zertifikats eines Telefons.

Die Home-Assistant-App mit nginx oder Caddy zu Hause an ein Client-Zertifikat binden, mit step-ca als Zertifizierungsstelle statt Cloudflare. Was sich ändert, wenn Cloudflare aus dem Weg ist, eine nginx- und eine Caddy-Konfiguration, jede getestet ohne Zertifikat, mit einem guten, einem widerrufenen und einem WebSocket-Upgrade über IPv4 und IPv6, warum nginx eine CRL prüfen kann und Caddy nur eine Erlaubnisliste führen kann, die Trusted-Proxy-Einstellungen von Home Assistant, was auf dem Telefon installiert sein muss und wo es an seine Grenzen kommt.