Kostenlose SSL-Zertifikate für Proxmox-Nodes mit Let's Encrypt einrichten

Stell dir vor, du öffnest morgens dein Proxmox-Dashboard, willst schnell eine VM starten — und der Browser begrüßt dich mit einer grellroten Warnung: „Diese Verbindung ist nicht sicher“. Du klickst auf „Trotzdem fortfahren“, zum hundertsten Mal in diesem Jahr. Es funktioniert, klar. Aber es fühlt sich nicht gut an. Und wenn du ehrlich bist: Es ist auch nicht gut. Denn zwischen dir und deinem Server liegt unverschlüsselter Datenverkehr, den ein selbst signiertes Zertifikat nur mit einer Warnung quittiert, nicht mit echtem Schutz.

Proxmox VE bringt ab Werk eine eigene Zertifikatsinfrastruktur mit. Die interne Cluster-CA signiert automatisch Zertifikate für jeden Node. Das ist solide für die clusterinterne Kommunikation, aber für den Zugriff per Browser oder API ein dauerhafter Kompromiss. Die gute Nachricht: Seit Proxmox VE 6.x ist der ACME-Client direkt eingebaut. Du kannst mit wenigen Klicks echte, von allen Browsern akzeptierte SSL-Zertifikate beziehen — kostenlos, automatisch und ohne externe Tools.

In diesem Artikel zeige ich dir, wie du Let’s-Encrypt-Zertifikate für deine Proxmox-Nodes einrichtest. Wir schauen uns beide Challenge-Verfahren an, die GUI und die Kommandozeile, und klären, worauf du bei Firewall, DNS und automatischer Verlängerung achten musst.

Inhaltsverzeichnis

Warum SSL-Zertifikate für Proxmox mehr als Kosmetik sind
Die drei Zertifikatsoptionen in Proxmox VE
Let’s Encrypt und ACME: so funktioniert der Automatismus
Schritt für Schritt: ACME-Konto einrichten
HTTP-Challenge oder DNS-Challenge: was passt zu deinem Setup?
DNS-Plugin einrichten am Beispiel Cloudflare
Zertifikat bestellen und automatische Verlängerung
Typische Fallstricke und wie du sie vermeidest
FAQ
Fazit

Kurzantwort

So richtest du kostenlose SSL-Zertifikate für deine Proxmox-Nodes ein. Mit Let’s Encrypt, ACME, HTTP- und DNS-Challenge in der GUI und per Kommandozeile. Kurz gesagt: how to use free ssl certs with proxmox nodes? ist vor allem dann relevant, wenn du schnell verstehen willst, was konkret dahinter steckt, welche Grenzen es gibt und welche Entscheidung daraus folgt. Die Details, Quellen und Einschränkungen stehen in den folgenden Abschnitten.

Warum SSL-Zertifikate für Proxmox mehr als Kosmetik sind

Die Browser-Warnung ist lästig, aber sie ist nicht das eigentliche Problem. Das Problem sitzt tiefer. Wenn du dich über HTTPS an deinem Proxmox-Webinterface anmeldest, werden deine Zugangsdaten verschlüsselt übertragen, selbst mit einem selbst signierten Zertifikat. Die Verschlüsselung funktioniert technisch. Was fehlt, ist die Vertrauenskette: Dein Browser kann nicht prüfen, ob der Server wirklich der ist, für den er sich ausgibt. Ein Angreifer im gleichen Netzwerk könnte theoretisch einen Man-in-the-Middle-Angriff starten, und du würdest es ohne ein vertrauenswürdiges Zertifikat nicht zuverlässig bemerken.

Hinzu kommt der Alltagsärger. Mobile Browser auf iOS und Android machen es dir bei selbst signierten Zertifikaten besonders schwer. Safari verweigert teilweise komplett den Zugriff, Chrome Mobile vergräbt den „Trotzdem fortfahren“-Knopf hinter mehreren Klicks. Wenn du Proxmox auf einem Notebook oder Tablet administrierst, kostet dich das täglich Zeit und Nerven.

Ein von Let’s Encrypt ausgestelltes Zertifikat behebt beides: die kryptografische Vertrauenskette ist intakt, und jeder Browser akzeptiert die Verbindung anstandslos. Dazu kommt, dass moderne Browser wie Chrome HTTP-Seiten zunehmend als „nicht sicher“ markieren. Ein valides Zertifikat ist für den Administratorzugang also praktisch Pflicht. Wer einen Reverse Proxy wie Nginx oder HAProxy vor der Proxmox-Weboberfläche betreibt, kann ein solches Zertifikat zudem auf mehrere interne Dienste ausweiten.

how to use free ssl certs with proxmox nodes? – Illustration 2

Die drei Zertifikatsoptionen in Proxmox VE

Proxmox VE bietet laut offizieller Dokumentation drei Wege, um das vom pveproxy-Dienst verwendete Zertifikat zu konfigurieren:

Option 1: Das selbst signierte Cluster-Zertifikat. Jeder Node erzeugt beim Einrichten ein eigenes Zertifikat unter /etc/pve/nodes/NODENAME/pve-ssl.pem, signiert von der clusterinternen CA. Das ist die Voreinstellung und funktioniert für die clusterinterne Kommunikation einwandfrei. Für den Browserzugriff bedeutet es die eingangs beschriebene Warnung.

Option 2: Ein externes Zertifikat hochladen. Wenn du bereits ein Zertifikat von einer kommerziellen CA besitzt, kannst du es über die Weboberfläche unter „Node → Zertifikate“ hochladen. Die Schlüsseldatei darf dabei nicht passwortgeschützt sein. Diese Option ist praktisch, wenn deine Organisation eine eigene PKI betreibt oder du ein Wildcard-Zertifikat mehrfach verwenden willst.

Option 3: Let’s Encrypt per ACME. Der integrierte ACME-Client spricht direkt mit Let’s Encrypt, validiert deine Domain und bezieht automatisch vertrauenswürdige Zertifikate. Keine zusätzliche Software, keine manuelle Verlängerung.

Für Option 2 und 3 legt Proxmox das Zertifikat unter /etc/pve/local/pveproxy-ssl.pem und den privaten Schlüssel unter /etc/pve/local/pveproxy-ssl.key ab. Wichtig: /etc/pve/local ist ein Knoten-spezifischer Symlink auf /etc/pve/nodes/NODENAME. Was du dort konfigurierst, gilt nur für diesen einen Node. In einem Cluster musst du das für jeden Knoten einzeln machen.

Let’s Encrypt und ACME: so funktioniert der Automatismus

Let’s Encrypt ist eine nichtkommerzielle Zertifizierungsstelle, die seit 2016 kostenlose TLS-Zertifikate ausstellt. Anders als bei kommerziellen CAs läuft die gesamte Kommunikation automatisiert über das ACME-Protokoll. Die Abkürzung steht für „Automatic Certificate Management Environment“. Kein Mensch prüft deine Dokumente. Stattdessen beweist dein Server automatisch, dass du die Kontrolle über eine Domain hast.

Der Ablauf ist laut Let’s Encrypt zweistufig: Zuerst fordert der ACME-Client eine Challenge an. Der Let’s-Encrypt-Server gibt eine Aufgabe vor, etwa: „Lege eine Datei mit diesem Inhalt unter dieser URL ab“ (HTTP-01-Challenge) oder „Erzeuge einen TXT-Record mit diesem Wert für deine Domain“ (DNS-01-Challenge). Kann dein Server die Aufgabe lösen, gilt die Domain als validiert. Im zweiten Schritt fordert der Client das eigentliche Zertifikat an und installiert es.

Proxmox VE integriert diesen Ablauf nahtlos. Der eingebaute ACME-Client unterstützt sowohl HTTP-01 als auch DNS-01. Für DNS-Validierung greift Proxmox auf die Plugins des acme.sh-Projekts zurück, das über 150 DNS-Provider abdeckt. Von Cloudflare über OVH bis zu deinem kleinen Hoster um die Ecke ist praktisch jeder gängige Anbieter vertreten. Die Plugin-Konfiguration wird einmal clusterweit in /etc/pve/priv/acme/plugins.cfg gespeichert und steht anschließend allen Nodes zur Verfügung.

Schritt für Schritt: ACME-Konto einrichten

Bevor du Zertifikate bestellen kannst, brauchst du ein ACME-Konto. Das registrierst du einmal pro Cluster. Öffne die Proxmox-Weboberfläche und navigiere zu „Datacenter → ACME“. Klicke auf „Hinzufügen“, vergib einen Kontonamen und hinterlege eine E-Mail-Adresse. Let’s Encrypt nutzt diese Adresse, um dich an ablaufende Zertifikate zu erinnern.

Ein wichtiger Hinweis aus der Proxmox-Dokumentation: Let’s Encrypt hat strikte Rate-Limits. Für Tests solltest du zunächst die Staging-Umgebung verwenden. Wähle dazu im Dropdown-Menü „Let’s Encrypt Staging“ statt „Let’s Encrypt Production“. Staging-Zertifikate werden von Browsern nicht als vertrauenswürdig akzeptiert, aber du kannst den gesamten Ablauf gefahrlos testen, ohne dein Produktions-Limit zu verbrauchen.

Alternativ geht alles per Kommandozeile:

pvenode acme account register default mail@example.com

Um den Account später auf das Produktionsverzeichnis umzustellen, deaktivierst du ihn und legst einen neuen an:

pvenode acme account deactivate default
pvenode acme account register default mail@example.com

Die Kontodaten liegen anschließend in /etc/pve/priv/acme/. Ein direkter Wechsel des ACME-Verzeichnisses bei bestehendem Account wird von Proxmox nicht unterstützt, daher der Weg über Deaktivierung und Neuregistrierung.

HTTP-Challenge oder DNS-Challenge: was passt zu deinem Setup?

Jetzt wird es konkret. Du musst dich für ein Challenge-Verfahren entscheiden. Beide haben klare Voraussetzungen.

Port 80 deines Proxmox-Nodes aus dem Internet erreichbar ist
kein anderer Dienst auf Port 80 läuft
deine Domain per A- oder CNAME-Record auf die öffentliche IP des Nodes zeigt

Für einen Homeserver hinter einem DSL-Anschluss mit wechselnder IP oder Doppel-NAT ist das oft ein Ausschlusskriterium. Auch wenn du bereits einen anderen Webserver auf Port 80 betreibst, beißt sich das.

DNS-01-Challenge: Hier erzeugt Proxmox einen TXT-Record mit einem Challenge-Token in der DNS-Zone deiner Domain. Let’s Encrypt prüft diesen Record. Dafür brauchst du einen DNS-Provider mit API-Zugang. Das kann Cloudflare sein, OVH, Netcup, Strato oder einer der über 150 unterstützten Anbieter. Der Vorteil: Dein Proxmox-Node muss überhaupt nicht aus dem Internet erreichbar sein. Du kannst Zertifikate auch für rein interne Hostnamen beziehen. Außerdem unterstützt DNS-01 Wildcard-Zertifikate, mit denen du *.deine-domain.de auf einmal absichern kannst.

Die Proxmox-Dokumentation rät, beide Verfahren nicht unnötig für dieselbe Domain zu kombinieren. Das erhöht nur die Komplexität, ohne nennenswerten Nutzen. Entscheide dich für eines. In den meisten Homelab-Setups ist DNS-01 die flexiblere Wahl.

DNS-Plugin einrichten am Beispiel Cloudflare

Ich zeige dir die Einrichtung exemplarisch mit Cloudflare, weil der Dienst einen kostenlosen API-Zugang bietet und weit verbreitet ist. Das Prinzip ist bei anderen Providern identisch.

Zuerst brauchst du ein API-Token von Cloudflare. Logge dich im Cloudflare-Dashboard ein, gehe zu „Mein Profil → API-Tokens“ und erstelle ein Token mit den Berechtigungen Zone:DNS:Edit für deine Zone. Kopiere das Token. Es wird nur einmal angezeigt, also speichere es sicher ab.

In der Proxmox-Weboberfläche navigierst du zu „Datacenter → ACME → Challenge-Plugins“. Klicke auf „Hinzufügen“, wähle als Challenge-Typ „DNS“ und als API-Provider „Cloudflare Managed“. Im Feld „API-Daten“ trägst du dein Token ein, etwa so:

CF_Token=dein-cloudflare-api-token

Speichere das Plugin unter einem sprechenden Namen, zum Beispiel cloudflare-dns.

Über die Kommandozeile würde der gleiche Befehl so aussehen:

pvenode acme plugin add dns cloudflare-dns --api cloudflare --data /pfad/zu/api-token-datei

Nun musst du die Domain für den Node konfigurieren. Gehe zu „Node → Zertifikate → ACME“ und füge unter „Domains“ einen Eintrag hinzu. Trage deine vollständige Domain ein, zum Beispiel pve.meinedomain.de, und wähle das gerade erstellte Plugin cloudflare-dns aus.

Proxmox speichert die Plugin-Konfiguration clusterweit in /etc/pve/priv/acme/plugins.cfg. Du musst das Plugin nur einmal anlegen und kannst es anschließend für alle Nodes im Cluster verwenden. Achte bei DNS-Propagation darauf, dass manche Provider einige Minuten brauchen, bis neue TXT-Records weltweit sichtbar sind. Proxmox lässt dich die Wartezeit für die DNS-Propagation im Plugin konfigurieren („Validation Delay"). Bei Cloudflare und den meisten großen Anbietern reichen in der Regel schon wenige Sekunden. Bei kleineren Providern mit langsamerer Propagation solltest du den Wert erhöhen.

Zertifikat bestellen und automatische Verlängerung

Jetzt kommt der Moment, auf den du gewartet hast. Klicke in der Node-Ansicht unter „Zertifikate → ACME“ auf „Jetzt bestellen“. Proxmox führt die Challenge durch und installiert das Zertifikat. Nach erfolgreichem Abschluss startet Proxmox den pveproxy-Dienst automatisch neu und die Weboberfläche lädt sich mit dem neuen Zertifikat. Dein Browser zeigt das Schloss-Symbol ohne jede Warnung.

Was viele nicht wissen: Proxmox erneuert ACME-Zertifikate automatisch. Der systemd-Dienst pve-daily-update.service (getriggert durch den Timer pve-daily-update.timer) prüft täglich, ob ein Zertifikat in den nächsten 30 Tagen abläuft, und stößt bei Bedarf die Verlängerung an. Du musst dich um nichts kümmern.

Falls du eigene ACME-Verzeichnisse mit kurzlebigeren Zertifikaten nutzt, empfiehlt die Dokumentation, die zufällige Verzögerung des pve-daily-update.timer zu deaktivieren. Das verhindert, dass ein Neustart dazu führt, dass die Verlängerung knapp verpasst wird.

Typische Fallstricke und wie du sie vermeidest

In der Praxis tauchen immer wieder die gleichen Probleme auf. Hier sind die häufigsten, und was du dagegen tun kannst.

Port 80 ist belegt. Wenn du die HTTP-01-Challenge nutzt und bereits ein anderer Dienst auf Port 80 läuft, schlägt die Validierung fehl. Entweder stoppst du den Dienst für die Dauer der Challenge oder du wechselst auf DNS-01.

CNAME-Alias nicht korrekt. Wenn du die Validierung über einen anderen DNS-Server abwickeln willst, kannst du einen permanenten CNAME-Eintrag setzen: _acme-challenge.domain1.example zeigt auf _acme-challenge.domain2.example. In der Proxmox-Node-Konfiguration muss dann unter acmedomainX die Property alias auf domain2.example gesetzt sein. Ohne diesen expliziten Alias läuft die Validierung ins Leere.

Rate-Limits von Let’s Encrypt. Pro Domain und Woche gibt es ein Limit von 50 ausgestellten Zertifikaten im Produktionsverzeichnis. Wer wild testet, sperrt sich schnell aus. Deshalb: erst mit Staging testen, dann produktiv schalten.

Manuelles Ändern der Zertifikatsdateien. Fass die Dateien unter /etc/pve/local/pve-ssl.pem und /etc/pve/priv/pve-root-ca.key nicht manuell an. Proxmox warnt ausdrücklich davor. Du riskierst eine beschädigte Cluster-CA und damit eine aufwändige Reparatur.

Entscheidungshilfe: Wann ist das sinnvoll?

Eher sinnvoll, wenn du how to use free ssl certs with proxmox nodes? nicht nur als Nachricht lesen willst, sondern eine praktische Einordnung brauchst: Was ändert sich, wen betrifft es und welche nächsten Schritte sind realistisch?

Eher abwarten, wenn die Quellenlage noch dünn ist, wichtige technische Details fehlen oder der Nutzen nur aus Hersteller- oder Projektversprechen besteht. Dann ist Beobachten besser als vorschnelles Umstellen.

Worauf du achten solltest: konkrete Verfügbarkeit, nachvollziehbare Kosten, offene Einschränkungen, Sicherheits- oder Datenschutzfolgen und belastbare Quellen statt bloßer Ankündigungen.

FAQ

Kann ich ein Zertifikat für mehrere Nodes gleichzeitig beziehen? Nein. Jeder Node hat eine eigene Zertifikatskonfiguration. Du musst die Domain und das Plugin pro Node hinterlegen und einzeln bestellen. Die Plugin-Definition selbst gilt clusterweit.

Funktioniert Let’s Encrypt auch ohne öffentliche Domain? Das kommt auf die Challenge an. Mit DNS-01 kannst du auch eine nur intern auflösbare Domain zertifizieren lassen, solange der DNS-Provider eine API bereitstellt. Mit HTTP-01 muss Let’s Encrypt deinen Server von außen erreichen können.

Was passiert, wenn ein Zertifikat abläuft? Der pve-daily-update.service versucht 30 Tage vor Ablauf zu verlängern. Schlägt die Verlängerung dauerhaft fehl, warnt Proxmox per E-Mail an den root@pam-Benutzer. Greift auch das nicht, fällst du auf die Browser-Warnung zurück. Dein Cluster läuft trotzdem normal weiter.

Kann ich Wildcard-Zertifikate nutzen? Ja, aber nur mit DNS-01-Challenge. Trage als Domain *.meinedomain.de ein. Das Zertifikat gilt dann für alle Subdomains auf einmal.

Brauche ich ein Proxmox-Subscription für ACME? Nein. Der ACME-Client funktioniert auch ohne Subscription. Let’s Encrypt selbst ist unabhängig von Proxmox und kostenlos.

Was mache ich, wenn mein DNS-Provider nicht in der Liste auftaucht? Die Plugin-Liste basiert auf acme.sh. Wenn dein Provider dort unterstützt wird, ist er in Proxmox verfügbar. Bei sehr exotischen Providern kannst du über DNS-Alias auf einen unterstützten Anbieter umleiten.

Kann ich die Zertifikate auch für Dienste innerhalb meiner VMs nutzen? Das pveproxy-Zertifikat ist für die Proxmox-Weboberfläche und API gedacht. Für VMs betreibst du besser einen eigenen Reverse-Proxy mit ACME-Client, etwa Nginx mit Certbot oder Caddy. Die Zertifikate aus /etc/pve/local/ zu kopieren ist technisch möglich, aber nicht empfehlenswert, weil du damit die automatische Verlängerung umgehst.

Muss ich pveproxy nach der Zertifikatsinstallation neu starten? Nein. Proxmox übernimmt das automatisch. Die GUI lädt sich nach erfolgreicher Installation von selbst neu.

Was unterscheidet das integrierte ACME von manuellem Certbot? Certbot ist ein externes Tool, das du selbst installieren und per Cron oder systemd-Timer konfigurieren musst. Proxmox’ integrierter Client spricht direkt mit der eigenen Konfigurationsverwaltung, braucht keine zusätzliche Software und wird über die GUI administrierbar.

Läuft das auch in geclusterten Setups hinter einer Firewall? Ja, mit DNS-01-Challenge problemlos. Jeder Node validiert seine eigene Domain, das Zertifikat wird lokal gespeichert. Der Clusterbetrieb ist davon nicht betroffen.

Fazit

Der integrierte ACME-Client ist eines dieser Proxmox-Features, die man beim ersten Lesen der Release-Notes vielleicht überfliegt und später nicht mehr missen möchte. Was früher nach manuellem OpenSSL-Gefrickel, certbot-Konfiguration und selbstgestrickten Cronjobs verlangte, erledigst du heute in fünf Minuten über die GUI.

Der Einstieg ist bewusst niederschwellig. Du registrierst einmal ein ACME-Konto, wählst eine Challenge, konfigurierst deine Domain und bestellst das Zertifikat. Danach läuft alles automatisch. Die flexible Wahl zwischen HTTP- und DNS-Challenge macht das Verfahren auch im Homelab praktikabel, wo öffentliche Erreichbarkeit oft keine Selbstverständlichkeit ist.

Dein nächster Schritt: Teste das Ganze heute Abend zehn Minuten lang mit der Staging-Umgebung. Wenn alles klappt, und das tut es in den meisten Setups beim ersten Versuch, schaltest du auf Produktion um. Dein Browser wird es dir mit einem sauberen Schloss-Symbol danken.

Passende Produktrecherchen

Wenn du die praktische Seite vertiefen möchtest, findest du hier passende Suchpfade zum Vergleichen. Keine Kaufpflicht, keine Rangliste, sondern thematisch passende Produktrecherchen:

Hinweis: Als Amazon-Partner verdient kalika.de an qualifizierten Verkäufen. Für dich ändert sich der Preis nicht.

Quellen

how to use free ssl certs with proxmox nodes? – Illustration 3