UGREEN NAS: Eigenes Zertifikat importieren und zuweisen

Rufen Sie die Oberfläche Ihrer UGREEN NAS über HTTPS auf, warnt der Browser vor einer unsicheren Verbindung. Das liegt am Zertifikat, das UGOS Pro ab Werk mitbringt: Es hat UGREEN selbst ausgestellt, und es nennt weder den Namen noch die Adresse Ihrer NAS. Diese Anleitung zeigt, wie Sie ein eigenes Zertifikat importieren, es dem Webportal zuweisen und später erneuern. Dabei geht es auch um eine Falle beim Zwischenzertifikat: Der Import klappt, die Kette fehlt trotzdem.

Voraussetzungen

• Eine UGREEN NAS mit UGOS Pro und Administratorkonto
• Eine feste IP-Adresse und am besten ein Name im Heimnetz, siehe Teil 9
• Ein Rechner mit OpenSSL für die Befehle in Schritt 1 und 5. Unter Linux ist es vorhanden, auf dem Mac in der Variante LibreSSL, mit der die Befehle ebenfalls laufen. Die NAS hat OpenSSL per SSH, siehe Teil 52
• Etwa 30 Minuten

Was UGOS ab Werk mitbringt

Öffnen Sie die Systemsteuerung und klicken Sie auf Sicherheit, dann oben auf Zertifikat. Ab Werk steht dort genau ein Eintrag. Ein Klick auf das Plus davor zeigt die Details:

Das Zertifikat hat UGREEN selbst unterschrieben, kein Browser kennt diesen Aussteller. Als Name steht nur UGREEN darin, nicht nas.fritz.box und nicht die IP-Adresse Ihrer NAS. Der Browser warnt deshalb aus zwei Gründen: unbekannter Aussteller und falscher Name. Mit OpenSSL sehen Sie dasselbe, hier für das Webportal auf Port 9443:

openssl s_client -connect 192.168.1.10:9443 </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates

subject=C=CN, ST=GD, L=SZ, O=UGREEN, OU=UGREEN, CN=UGREEN
issuer=C=CN, ST=GD, L=SZ, O=UGREEN, OU=UGREEN, CN=UGREEN
notBefore=May 17 16:24:49 2026 GMT
notAfter=May 17 16:24:49 2027 GMT

Ersetzen Sie 192.168.1.10 durch die Adresse Ihrer NAS. Je nach OpenSSL-Version sieht die Ausgabe leicht anders aus, etwa mit Schrägstrichen statt Kommas. Den HTTPS-Port finden Sie unter Systemsteuerung, Geräteverbindung, Portaleinstellungen, ab Werk 9443. Das Standard-Zertifikat gilt für FTPS, WebDAV, das Webportal und UGREENlink. Ein eigenes Zertifikat ersetzt es nur für die Dienste, denen Sie es zuweisen.

Schritt 1: Ein passendes Zertifikat besorgen

UGOS kann Zertifikate nur importieren, ein eigenes Zertifikat ausstellen kann es nicht. Der Dialog Zertifikat hinzufügen bot bei uns als einzige Methode Zertifikat importieren an. Sie brauchen also bis zu drei Dinge von außen: den privaten Schlüssel, Ihr Zertifikat und das Zwischenzertifikat des Ausstellers. Zwei Wege sind üblich:

• Eigene Zertifizierungsstelle im Heimnetz: Sie erzeugen mit OpenSSL eine kleine Stammzertifizierungsstelle und stellen damit ein Zertifikat für den Namen und die IP-Adresse der NAS aus. Das Stammzertifikat machen Sie danach Ihren Geräten bekannt, siehe Schritt 6. Dieser Weg passt, wenn die NAS nur im Heimnetz erreichbar ist.
• Zertifikat für Ihre eigene Domain: Haben Sie eine Domain, etwa für den Zugriff von außen, erhalten Sie dafür ein Zertifikat von Let's Encrypt, zum Beispiel über einen Reverse Proxy oder ein Programm wie certbot. Bei certbot heißen die Dateien privkey.pem und fullchain.pem.

Für den ersten Weg genügen vier Befehle. Führen Sie sie auf dem Mac, unter Linux oder per SSH auf der NAS in einem leeren Ordner aus. Ersetzen Sie nas.fritz.box und 192.168.1.10 durch den Namen und die Adresse Ihrer NAS:

openssl req -x509 -newkey rsa:3072 -nodes -keyout heim-ca.key -out heim-ca.crt -days 3650 \
  -subj "/CN=Heimnetz-CA" \
  -addext "basicConstraints=critical,CA:TRUE" -addext "keyUsage=critical,keyCertSign,cRLSign"
openssl req -newkey rsa:2048 -nodes -keyout nas.key -out nas.csr -subj "/CN=nas.fritz.box"
printf "subjectAltName=DNS:nas.fritz.box,IP:192.168.1.10\nbasicConstraints=CA:FALSE\nkeyUsage=critical,digitalSignature,keyEncipherment\nextendedKeyUsage=serverAuth\n" > nas.ext
openssl x509 -req -in nas.csr -CA heim-ca.crt -CAkey heim-ca.key -CAcreateserial -out nas.crt -days 397 -sha256 -extfile nas.ext

Der erste Befehl legt die Zertifizierungsstelle an, zehn Jahre gültig. Der zweite erzeugt den Schlüssel der NAS. Die Datei nas.ext legt fest, für welchen Namen und welche Adresse das Zertifikat gilt. Moderne Browser werten nur diese Liste der alternativen Namen aus, nicht den Eintrag CN. Der vierte Befehl stellt das Zertifikat für 397 Tage aus. Apple-Geräte akzeptieren laut Apple nur Serverzertifikate mit höchstens 825 Tagen Laufzeit, mit dem Namen in den alternativen Namen und mit dem Verwendungszweck serverAuth. Die Laufzeit setzt der vierte Befehl mit -days 397, Name und Verwendungszweck stehen in nas.ext.

Die Option -nodes sorgt dafür, dass die Schlüssel ohne Passwort gespeichert werden. Für nas.key ist das bei UGOS Pflicht, ein Schlüssel mit Passwort scheitert beim Import. Bewahren Sie heim-ca.key danach sicher auf, etwa im Passwortmanager, und nicht in einer Freigabe der NAS. Haben Sie die Befehle per SSH auf der NAS ausgeführt, kopieren Sie heim-ca.key danach weg und löschen Sie den Ordner. Wer diese Datei hat, kann Zertifikate ausstellen, denen Ihre Geräte vertrauen.

Verifizieren: openssl verify -CAfile heim-ca.crt nas.crt meldet „nas.crt: OK“, und openssl x509 -in nas.crt -noout -text | grep -A1 "Subject Alternative Name" zeigt den Namen und die IP-Adresse der NAS.

Schritt 2: Die Datei für das Feld Zertifikat vorbereiten

Das ist der wichtigste Schritt. Der Importdialog hat ein eigenes Feld für das Zwischenzertifikat. Wir haben es getestet: Mit dem Zwischenzertifikat in diesem Feld schickte das Webportal Browsern und Apps nur das eigene Zertifikat, ohne die Kette dahinter. OpenSSL meldete dann „unable to verify the first certificate“, Programme wie curl brachen die Verbindung ab. UGOS legt die Datei zwar ab, nutzt sie aber nicht für die Auslieferung.

Geben Sie deshalb im Feld Zertifikat die vollständige Kette an: zuerst Ihr Zertifikat, dahinter das Zwischenzertifikat. Bei Let's Encrypt ist das die Datei fullchain.pem, die Sie direkt verwenden. Bei einem Aussteller mit getrennten Dateien hängen Sie sie aneinander:

cat nas.crt zwischen.crt > nas-fullchain.crt

Beim eigenen Heimnetz-Zertifikat aus Schritt 1 gibt es kein Zwischenzertifikat, die Datei nas.crt genügt. Das Stammzertifikat heim-ca.crt gehört nicht in die Kette, Ihre Geräte bekommen es in Schritt 6.

Verifizieren: Bei einer Kette mit Zwischenzertifikat meldet grep -c BEGIN nas-fullchain.crt mindestens 2, beim Heimnetz-Zertifikat meldet grep -c BEGIN nas.crt genau 1.

Schritt 3: Das Zertifikat importieren

Klicken Sie unter Sicherheit, Zertifikat auf Hinzufügen. Wählen Sie die einzige Methode und klicken Sie auf Weiter:

Im nächsten Fenster wählen Sie über das Ordner-Symbol die Dateien von Ihrem Rechner:

• Privater Schlüssel: nas.key oder privkey.pem. RSA und ECC nimmt UGOS an, beides haben wir getestet.
• Zertifikat: nas.crt oder die Fullchain-Datei aus Schritt 2.
• Zwischenzertifikat: Lassen Sie das Feld leer. Die Kette steckt schon im Feld Zertifikat, beim Heimnetz-Zertifikat gibt es keine.

Klicken Sie auf Bestätigen. Nach der Meldung „Erfolgreich hinzugefügt“ steht das Zertifikat in der Liste. Ein Klick auf das Plus zeigt die Details:

Der Eintrag heißt wie der Name im Zertifikat, in Klammern steht der Aussteller. Bei den alternativen Namen listet UGOS nur Namen auf, die IP-Adresse fehlt in der Anzeige, obwohl sie im Zertifikat steht. Der Verwendungsbereich bleibt leer, bis Sie das Zertifikat einem Dienst zuweisen.

Verifizieren: Die Liste zeigt den neuen Eintrag, und die Gültigkeitsdauer entspricht dem Datum aus openssl x509 -in nas.crt -noout -enddate, umgerechnet in Ortszeit.

Schritt 4: Das Zertifikat dem Webportal zuweisen

Klicken Sie auf Servicekonfiguration. Für jeden der drei Dienste wählen Sie ein Zertifikat:

WebServer ist das Webportal, also die Oberfläche von UGOS auf Port 9443. FTPS und WebDAV stellen Sie nur um, wenn Sie diese Dienste nutzen, siehe Teil 37 und Teil 36. Nach Speichern meldet UGOS, dass das Zertifikat gerade aktiviert wird und Sie die Seite später neu laden sollen. Bei uns lieferte das Webportal das neue Zertifikat nach etwa fünf Sekunden aus. Die Oberfläche auf dem HTTP-Port 9999 läuft dabei ohne Unterbrechung weiter.

Verifizieren: In der Liste steht beim neuen Zertifikat jetzt Verwendungsbereich webserver.

Schritt 5: Von außen prüfen, was die NAS ausliefert

Ob Name und Kette stimmen, zeigt OpenSSL von einem Rechner im Heimnetz. Der Befehl listet jedes Zertifikat, das die NAS sendet, und prüft es gegen Ihre Stammzertifizierungsstelle:

openssl s_client -connect 192.168.1.10:9443 -CAfile heim-ca.crt -showcerts </dev/null 2>/dev/null | grep -E "^ *[0-9] s:|Verify return"

 0 s:CN=nas.fritz.box
Verify return code: 0 (ok)

Bei einer Kette mit Zwischenzertifikat muss zusätzlich eine Zeile mit 1 s: erscheinen. Bei Let's Encrypt lassen Sie -CAfile heim-ca.crt weg, OpenSSL prüft dann gegen die Stammzertifikate Ihres Systems. Steht dort „Verify return code: 21 (unable to verify the first certificate)“, fehlt das Zwischenzertifikat in der Kette, zurück zu Schritt 2. Beim Heimnetz-Zertifikat kommt dieselbe Meldung, wenn -CAfile heim-ca.crt fehlt oder auf die falsche Datei zeigt.

Prüfen Sie auch den Namen. Die Option --resolve leitet den Namen für diesen Aufruf auf die Adresse der NAS um, falls Ihr Router ihn noch nicht kennt:

curl -sS -o /dev/null -w "%{http_code}\n" --cacert heim-ca.crt --resolve nas.fritz.box:9443:192.168.1.10 https://nas.fritz.box:9443/

307

Die 307 ist die normale Weiterleitung zur Anmeldeseite. Passt der Name nicht zum Zertifikat oder fehlt die Kette, bricht curl mit einer Fehlermeldung ab und gibt 000 aus.

Verifizieren: OpenSSL meldet „Verify return code: 0 (ok)“, und curl gibt 307 aus.

Schritt 6: Das Stammzertifikat auf den Geräten hinterlegen

Ein Zertifikat von Let's Encrypt kennen Browser und Betriebssysteme bereits, hier sind Sie fertig. Beim eigenen Heimnetz-Zertifikat warnt der Browser weiter, bis das Gerät Ihrer Zertifizierungsstelle vertraut. Importieren Sie dazu die Datei heim-ca.crt auf jedem Rechner und iPhone als vertrauenswürdige Stammzertifizierungsstelle. Unter Windows geht das über die Zertifikatsverwaltung, auf dem Mac über die Schlüsselbundverwaltung, wo Sie das Zertifikat auf Immer vertrauen stellen. Auf dem iPhone installieren Sie es laut Apple als Profil und schalten es danach unter Einstellungen, Allgemein, Info, Zertifikatsvertrauenseinstellungen ausdrücklich frei. Nur heim-ca.crt verteilen Sie, die Datei heim-ca.key bleibt bei Ihnen.

Rufen Sie die NAS danach über den Namen auf, nicht über die IP-Adresse, etwa https://nas.fritz.box:9443. Beides funktioniert, weil beides im Zertifikat steht. Der Name bleibt aber gleich, wenn sich die Adresse einmal ändert.

Verifizieren: Der Browser zeigt das Schloss ohne Warnung, und die Zertifikatsdetails nennen Heimnetz-CA als Aussteller.

Schritt 7: Das Zertifikat erneuern

Ein importiertes Zertifikat erneuert UGOS nicht selbst, Verlängern gibt es nur beim Standard-Zertifikat. Zertifikate von Let's Encrypt gelten laut Let's Encrypt standardmäßig 90 Tage, ab Februar 2027 nur noch 64 Tage und ab Februar 2028 45 Tage. Das Heimnetz-Zertifikat aus Schritt 1 läuft nach 397 Tagen ab. Zwei Eigenheiten von UGOS bestimmen den Ablauf. Erstens hat ein Zertifikat, das ein Dienst nutzt, keinen Link Löschen:

Zweitens lehnt UGOS ein neues Zertifikat mit demselben Namen ab, auch wenn es einen neuen Schlüssel und eine neue Seriennummer hat:

So hat es bei uns funktioniert:

1. Unter Servicekonfiguration den WebServer und alle anderen Dienste mit dem alten Zertifikat auf UGREEN stellen und speichern.
2. Beim alten Zertifikat auf Löschen klicken und die Rückfrage bestätigen.
3. Das neue Zertifikat wie in Schritt 3 importieren.
4. Unter Servicekonfiguration wieder zuweisen und speichern.

Vom ersten bis zum letzten Punkt liefert das Webportal das Standard-Zertifikat aus, der Browser warnt in dieser Zeit. Bestätigen Sie die Warnung für diese wenigen Minuten, die Verbindung bleibt verschlüsselt. Ohne Umleitung auf HTTPS geht es auch über HTTP auf Port 9999, dann allerdings unverschlüsselt.

Verifizieren: openssl s_client -connect 192.168.1.10:9443 </dev/null 2>/dev/null | openssl x509 -noout -serial zeigt dieselbe Seriennummer wie openssl x509 -in nas.crt -noout -serial für das neue Zertifikat.

Typische Fehler

• „Das Zertifikat stimmt nicht mit dem privaten Schlüssel überein“: Diese Meldung erschien bei uns auch, als Schlüssel und Zertifikat zusammenpassten, der Schlüssel aber ein Passwort hatte. Speichern Sie ihn ohne Passwort, etwa mit openssl pkey -in nas.key -out nas-ohne-passwort.key. Danach klappte der Import, siehe Bild unten. Kommt die Meldung auch mit einem Schlüssel ohne Passwort, gehören Schlüssel und Zertifikat nicht zusammen. Das prüfen Sie mit openssl x509 -in nas.crt -noout -pubkey | openssl sha256 und openssl pkey -in nas.key -pubout | openssl sha256, beide müssen denselben Wert zeigen.
• „Zertifikat existiert bereits“: Es gibt schon ein Zertifikat mit diesem Namen. Löschen Sie das alte wie in Schritt 7.
• Apps oder curl melden einen Zertifikatsfehler, der Browser nicht: Das Zwischenzertifikat fehlt oder steckt im falschen Feld, siehe Schritt 2. Manche Browser können fehlende Zwischenzertifikate selbst nachladen und verdecken so das Problem.
• Der Browser warnt trotz eigenem Zertifikat: Entweder fehlt das Stammzertifikat auf dem Gerät, siehe Schritt 6, oder Sie rufen die NAS über einen Namen oder eine Adresse auf, die nicht in der Datei nas.ext stand.

Häufige Fragen

Kann UGOS ein Zertifikat von Let's Encrypt selbst holen?

Im Dialog Zertifikat hinzufügen gab es bei uns nur den Import. Laut UGREEN-Hilfe erhält die Adresse von UGREENlink automatisch ein Zertifikat von Let's Encrypt. UGREENlink richten wir in einem eigenen Teil der Serie ein. Für die eigene Domain holen Sie das Zertifikat außerhalb von UGOS und importieren es.

Gilt das Zertifikat auch für meine Docker-Container?

Nein. Die Servicekonfiguration kennt nur FTPS, WebDAV und den WebServer von UGOS. Container mit eigener Weboberfläche brauchen ein eigenes Zertifikat oder einen Reverse Proxy davor, der für alle Dienste HTTPS übernimmt. Ein Beispiel mit Zertifikat direkt im Container zeigt Teil 72.

Wie erzwinge ich HTTPS für die Oberfläche?

Unter Systemsteuerung, Geräteverbindung, Portaleinstellungen gibt es den Haken „HTTP-Verbindungen automatisch auf HTTPS umleiten“. Setzen Sie ihn erst, wenn Schritt 5 ohne Fehler durchläuft. Sonst landen Sie bei jedem Aufruf auf der Warnung des Browsers.

Fazit

Ein eigenes Zertifikat auf der UGREEN NAS ist schnell importiert, wenn Sie zwei Dinge wissen: Die vollständige Kette gehört in das Feld Zertifikat, und der Schlüssel darf kein Passwort haben. Danach weisen Sie es dem WebServer zu und prüfen mit OpenSSL, was die NAS wirklich ausliefert. Beim Erneuern führt der Weg über das Standard-Zertifikat, weil UGOS ein Zertifikat in Benutzung nicht löscht und gleiche Namen ablehnt.

Weiterführende Anleitungen und Quellen

• Teil 9: Feste IP und Namen vergeben
• Teil 52: SSH sicher einrichten
• Teil 72: Vaultwarden mit HTTPS
• Apple: Anforderungen an vertrauenswürdige Zertifikate
• Apple: Manuell installierten Zertifikatsprofilen vertrauen
• Let's Encrypt: Kürzere Laufzeiten bis 2028
• UGREEN: Unterschied zwischen UGREENlink und DDNS