Ja, wenn man das selber anfragt, weil einem die Domain gehört. In den von 3CX gestellten FQDN gehört einem aber nicht die Domain und daher auch nicht die Subdomains und man hat keine Kontrolle über deren DNS.
Ich gebe zu, ich habe mich mit dem Mechanismus so wie ihn 3CX benutzt nie wirklich beschäftigt, da - bis auf einige wenige Testinstallationen - alle unsere Anlagen einen eigenen FQDN der eigenen Domain mit
eigener Zertifikatverteilung nutzen.
Hier die Textwand.
Vereinfacht gesagt: um ein LE Zertifikat für einen FQDN zu bekommen, muss man nachweisen, dass einem die Domain gehört bzw. man eine gewisse Kontrolle darüber hat. Es gibt aktuell grundsätzlich
zwei Mechanismen diese Kontrolle nachzuweisen: für einen kurzen Moment eine gelieferte Datei per HTTP in einem speziellen Unterverzeichnis unterhalb des FQDN für beliebige Anfrager aus aller Welt bereitzustellen oder einen bestimmten TXT Record im DNS Server der Domain des FQDN bereitzustellen. Beides bedingt, dass dem LE Cert Anfrager die Domain oder die Kontrolle darüber gehören muss.
Variante eins scheidet bei 3CX aus: der von der Firma 3CX gestellte FQDN verweist immer auf die eigene IP der installierten 3CX und die eigene 3CX liefert i.d.R. nichts an Port 80 TCP. Der HTTP Port einer 3CX kann frei gewählt werden, ist standardmäßig Port 5000 und wird generell nicht für Anfragen aus dem Internet geöffnet.
Variante 2 könnte heißen: die eigene 3CX PBX fragt bei LE nach einem Zertifikat an, der zu stellende TXT Record Eintrag im DNS Server wird von LE der eigenen 3CX übergeben, die eigene 3CX PBX fragt bei der Firma 3CX (die den DNS Server dieser Domain kontrolliert) um Eintragung dieses TXT Record an, die Firma 3CX modifiziert diesen TXT Record in ihrem DNS Server, gibt der eigenen anfragenden 3CX PBX Bescheid dass das getan wurde, die eigene 3CX PBX gibt LE Bescheid dass der TXT Record bereitsteht, die LE Zertifizierungsstelle fragt den TXT Record des DNS Server ab und befindet den für gültig, LE gibt der eigenen 3CX PBX daraufhin das Zertifikat und diese pflegt das bei sich für den Nginx und SIPS ein.
Alternative Variante 2: die Anfrage nach LE Verlängerung geht von der eigenen 3CX PBX bei der Firma 3CX ein, die Firma 3CX fragt bei LE nach Bereitstellung eines DNS Eintrages an, der Inhalt wird ausgehandelt, die Firma 3CX (welche den DNS Server ihrer eigenen Domains und Subdomains kontrolliert) setzt den gewünschten TXT Record im von ihr kontrollierten DNS Server, gibt LE Bescheid dass der gesetzt ist, LE kontrolliert das und gibt dem Anfrager (der Firma 3CX) das Zertifikat. Die Firma 3CX gibt das Zertifikat wiederum der eigenen 3CX PBX die das bei sich einpflegt (Nginx und SIPS). Der Vorgang der Variante zwei ist ein klein wenig komplexer und dauert ein klein wenig länger.
