Domyślnie Let’s Encrypt używa wyzwania HTTP-01 do weryfikacji własności. Wyzwanie HTTP-01 umieszcza plik w katalogu Webroot Twojego serwera WWW i używa nazwy DNS serwera WWW do pobrania pliku. Jeżeli plik można pobrać z Internetu, następuje weryfikacja autorytetu nazwy domeny i wystawienie certyfikatu SSL. Jest to dobre dla większości serwerów i użytkowników domowych, których stać na publiczny adres IP od swojego dostawcy usług internetowych (ISP).
Ale co, jeśli chcesz używać certyfikatów Let's Encrypt SSL dla nazw domen swojej sieci domowej lub sieci prywatnej/wewnętrznej? Cóż, w większości sieci domowych uzyskanie certyfikatu Let’s Encrypt SSL jest wyzwaniem, ponieważ najprawdopodobniej Twój dostawca usług internetowych nie udostępni Ci publicznego adresu IP. Dlatego nie będziesz w stanie ukończyć wyzwania Let’s Encrypt HTTP-01 (ponieważ Twoje komputery/serwery nie są dostępne z Internetu).
W takim przypadku możesz skorzystać z wyzwania Let's Encrypt DNS-01, aby uzyskać certyfikaty SSL dla swojej sieci domowej/wewnętrznej. W tej metodzie Let’s Encrypt dodaje rekord DNS TXT dla „subdomeny _acme-challenge.yourdomain.xyz” na Twoim serwerze DNS i sprawdza, czy rekord DNS TXT jest dostępny w Internecie. Jeśli rekord TXT jest zgodny, zostaniesz zweryfikowany jako właściciel domeny, a Let’s Encrypt wystawi certyfikat SSL.
Aby wyzwanie Let’s Encrypt DNS-01 zadziałało i automatycznie odnowiło certyfikat SSL, musisz skorzystać z dostawcy usług DNS (np. CloudFlare, DigitalOcean), który udostępnia interfejs API, którego można używać do dodawania/usuwania rekordów TXT na serwerze DNS.
Jeśli Twój rejestrator DNS (u którego zarejestrowałeś nazwę domeny) nie obsługuje takich usług, możesz skorzystać z zewnętrznego dostawcy usług DNS. Wszystko, co musisz zrobić, to zmienić adres serwera nazw DNS swojej domeny z serwera DNS rejestratora DNS na adres serwera nazw DNS wybranego zewnętrznego dostawcy usług DNS.
Temat treści:
- Lista dostawców DNS, którzy łatwo integrują się z walidacją DNS Let's Encrypt
- Lista klientów Let's Encrypt ACME
- Zmiana serwera nazw DNS u rejestratora domeny
- Zalety weryfikacji Let’s Encrypt DNS-01
- Wady weryfikacji Let's Encrypt DNS-01
- Wniosek
- Bibliografia
Lista dostawców DNS, którzy łatwo integrują się z walidacją DNS Let's Encrypt
Społeczność Let's Encrypt skompilowała plik lista dostawców DNS które udostępniają jakiś rodzaj interfejsu API do automatycznego dodawania/usuwania rekordów DNS, aby klienci Let's Encrypt mogli weryfikować nazwy domen i wystawiać certyfikaty SSL.
Listę dostawców DNS, którzy łatwo integrują się z walidacją DNS Let’s Encrypt, można znaleźć na stronie ten link .
Lista klientów Let's Encrypt ACME
Klienci Let's Encrypt są również nazywani klientami ACME. ACME oznacza środowisko automatycznego zarządzania certyfikatami. ACME to protokół automatyzujący interakcję pomiędzy komputerem/serwerem a urzędem certyfikacji (tj. Let’s Encrypt).
Najpopularniejszymi klientami Let's Encrypt ACME są:
Zmiana serwera nazw DNS u rejestratora domeny
Jeśli Twojego rejestratora domeny nie ma na liście dostawców DNS, którzy łatwo integrują się z Let’s Encrypt, możesz skorzystać z CloudFlare lub innych zewnętrznych dostawców usług DNS. Wszystko, co musisz zrobić, to zmienić serwer nazw DNS swojej domeny z panelu rejestratora domeny na serwer nazw DNS zewnętrznego dostawcy usług DNS, z którego chcesz korzystać.
Na poniższym zrzucie ekranu pokazaliśmy proces zmiany serwera nazw DNS (na serwer DNS CloudFlare) dla jednej z naszych domen z panelu/strony internetowej naszego rejestratora domen (gdzie zarejestrowaliśmy naszą nazwę domeny). Proces powinien być podobny w przypadku rejestratora Twojej domeny. Aby uzyskać więcej informacji, przeczytaj dokumentację swojego rejestratora domeny lub skontaktuj się z nim.
Zalety weryfikacji Let’s Encrypt DNS-01
Zalety weryfikacji DNS-01 Let’s Encrypt to:
- Nie wymaga publicznego/dostępnego do Internetu adresu IP ani serwera WWW.
- Można go używać do wystawiania certyfikatów SSL dla nazw domen z symbolami wieloznacznymi (np. *.nodekite.com, *.linuxhint.com).
- Działa dobrze w przypadku wielu serwerów internetowych.
Wady weryfikacji Let's Encrypt DNS-01
Chociaż weryfikacja Let’s Encrypt DNS-01 ma wiele zalet, istnieją również pewne wady:
- Aby weryfikacja DNS-01 działała, musisz przechowywać klucz/token API swojego dostawcy usług DNS na serwerze, którego klient Let's Encrypt będzie używać do tworzenia rekordu TXT na serwerze DNS w celu weryfikacji DNS-01. Ponieważ klucz/token API jest przechowywany na serwerze, w przypadku włamania na serwer istnieje ryzyko, że klucz/token API zostanie przejęty.
- Po tym, jak klient Let's Encrypt doda rekord TXT do serwera DNS, propagacja zmian do innych serwerów nazw DNS na całym świecie zajmuje trochę czasu. Klient Let's Encrypt musi poczekać, aż zmiany zostaną rozprzestrzenione na popularne serwery nazw DNS na całym świecie, aby zweryfikować własność domeny. Jeżeli Twój dostawca usług DNS nie poda w API czasu propagacji DNS, klient Let’s Encrypt nie będzie wiedział, jak długo należy czekać, aż zmiany DNS rozprzestrzenią się na inne serwery nazw na całym świecie. W takim przypadku weryfikacja DNS może przekroczyć limit czasu, a Let’s Encrypt może nie wystawić certyfikatu SSL.
Wniosek
W tym artykule omówiliśmy wyzwanie Let’s Encrypt DNS-01 i dlaczego warto go używać zamiast domyślnego wyzwania HTTP-01 w celu sprawdzenia własności nazwy domeny. Omówiliśmy także wymagania dotyczące zaliczenia wyzwania Let’s Encrypt DNS-01, aby otrzymać certyfikat Let’s Encrypt SSL. Wymieniliśmy dostawców usług DNS, którzy dobrze integrują się z Let's Encrypt, a także klientów Let's Encrypt ACME, których możesz użyć do sprawdzenia poprawności DNS ze swojego komputera/serwera. Na koniec omówiliśmy zalety i wady sprawdzania poprawności DNS Let’s Encrypt.
Bibliografia:
- Rodzaje wyzwań – Szyfrujmy
- Dostawcy DNS, którzy łatwo integrują się z Let's Encrypt Weryfikacja DNS – Issuance Tech – Pomoc społeczności Let's Encrypt
- Środowisko automatycznego zarządzania certyfikatami – Wikipedia
- Certbot
- GitHub – acmesh-official/acme.sh: Czysty skrypt powłoki Unix implementujący protokół klienta ACME
- Instalacja :: Klient Let's Encrypt i biblioteka ACME napisana w Go.
- Strona główna – Posh-ACME