Let's Encrypt 究竟使用哪条 DNS 记录来执行 DNS-01 挑战验证？

Question 1

Let's Encrypt 究竟使用哪条 DNS 记录来执行 DNS-01 挑战验证？

dns-01验证在 ACME 的 RFC 中有详细说明，又名RFC 8555“自动证书管理环境 (ACME)”

它指出：

8.4. DNS 质询

当正在验证的标识符是域名时，客户端可以通过提供包含特定验证域名的指定值的 TXT 资源记录来证明对该域的控制。

和

提供给 DNS 的记录包含此摘要的 base64url 编码。客户端通过将标签“_acme-challenge”添加到要验证的域名来构造验证域名，然后在
该名称下提供带有摘要值的 TXT 记录。例如，如果要验证的域名是
“www.example.org”，则客户端将提供以下 DNS
记录：

_acme-challenge.www.example.org.300 IN TXT“gfj9Xq...Rg85nM”

所有公共 CA 都遵循 CABForum 指南，该指南还指出：

3.2.2.4.7 DNS 变更

通过确认 DNS CNAME、TXT 或 CAA 记录中是否存在随机值或请求令牌来确认申请人对 FQDN 的控制，该记录适用于 1) 授权域名；或 2) 带有以下划线字符开头的域标签前缀的授权域名。

并添加了以下重要信息：

注意：使用此方法验证 FQDN 后，CA 还可以为以已验证 FQDN 的所有域标签结尾的其他 FQDN 颁发证书。此方法适用于验证通配符域名。

Let's Encrypt 自己的文档位于https://letsencrypt.org/docs/challenge-types/

DNS-01 挑战

此挑战要求您通过在该域名下的 TXT 记录中放置特定值来证明您控制该域名的 DNS。

回到你的问题，你说：

但为什么它使用了一个我没有想到的记录名称？

如果您尝试验证名称www.example.net，则根据以上所有内容，TXT记录必须处于开启状态_acme-challenge.www.example.net。

我的理解是，_acme-challenge.example.net 应该用于验证 example.net、*.example.net 和 .example.net，这是在文档页面上的第二个使用示例中给出的。

首先，您说的是哪个文档页面？其次，不是，一般来说，每个名称都必须有自己的验证令牌。通配符*.example.net还需要一个特定的单独 TXT 记录，该记录在名称上，但其值与名称上的记录example.net不同（因为在证书中，名称不会覆盖，因此证书需要同时列出两者，因此两者都需要验证，才能对两者有效）。TXTexample.netexample.net*.example.comexample.net

Answer

Let's Encrypt 究竟使用哪条 DNS 记录来执行 DNS-01 挑战验证？

dns-01验证在 ACME 的 RFC 中有详细说明，又名RFC 8555“自动证书管理环境 (ACME)”

它指出：

8.4. DNS 质询

当正在验证的标识符是域名时，客户端可以通过提供包含特定验证域名的指定值的 TXT 资源记录来证明对该域的控制。

和

提供给 DNS 的记录包含此摘要的 base64url 编码。客户端通过将标签“_acme-challenge”添加到要验证的域名来构造验证域名，然后在
该名称下提供带有摘要值的 TXT 记录。例如，如果要验证的域名是
“www.example.org”，则客户端将提供以下 DNS
记录：

_acme-challenge.www.example.org.300 IN TXT“gfj9Xq...Rg85nM”

所有公共 CA 都遵循 CABForum 指南，该指南还指出：

3.2.2.4.7 DNS 变更

通过确认 DNS CNAME、TXT 或 CAA 记录中是否存在随机值或请求令牌来确认申请人对 FQDN 的控制，该记录适用于 1) 授权域名；或 2) 带有以下划线字符开头的域标签前缀的授权域名。

并添加了以下重要信息：

注意：使用此方法验证 FQDN 后，CA 还可以为以已验证 FQDN 的所有域标签结尾的其他 FQDN 颁发证书。此方法适用于验证通配符域名。

Let's Encrypt 自己的文档位于https://letsencrypt.org/docs/challenge-types/

DNS-01 挑战

此挑战要求您通过在该域名下的 TXT 记录中放置特定值来证明您控制该域名的 DNS。

回到你的问题，你说：

但为什么它使用了一个我没有想到的记录名称？

如果您尝试验证名称www.example.net，则根据以上所有内容，TXT记录必须处于开启状态_acme-challenge.www.example.net。

我的理解是，_acme-challenge.example.net 应该用于验证 example.net、*.example.net 和 .example.net，这是在文档页面上的第二个使用示例中给出的。

首先，您说的是哪个文档页面？其次，不是，一般来说，每个名称都必须有自己的验证令牌。通配符*.example.net还需要一个特定的单独 TXT 记录，该记录在名称上，但其值与名称上的记录example.net不同（因为在证书中，名称不会覆盖，因此证书需要同时列出两者，因此两者都需要验证，才能对两者有效）。TXTexample.netexample.net*.example.comexample.net

Question 2

Patrick 提供了很好的背景信息，但作为对问题的更直接的看法：

certbot 文档中的示例配置有以下更新策略：

 update-policy {
      grant keyname. name _acme-challenge.example.com. txt;
 };

这使得 DNS-01 质询能够确切地名字example.com。

但是，在您的命令行中您指定了-d www.example.net。

如果您想要证书，则www.example.com需要调整示例策略以反映这一点。
例如，您想要两者example.com，并且www.example.com（很可能）您需要在策略中允许两者。

例如这样的：

 update-policy {
      grant keyname. name _acme-challenge.example.com. txt;
      grant keyname. name _acme-challenge.www.example.com. txt;
 };

Answer

Patrick 提供了很好的背景信息，但作为对问题的更直接的看法：

certbot 文档中的示例配置有以下更新策略：

 update-policy {
      grant keyname. name _acme-challenge.example.com. txt;
 };

这使得 DNS-01 质询能够确切地名字example.com。

但是，在您的命令行中您指定了-d www.example.net。

如果您想要证书，则www.example.com需要调整示例策略以反映这一点。
例如，您想要两者example.com，并且www.example.com（很可能）您需要在策略中允许两者。

例如这样的：

 update-policy {
      grant keyname. name _acme-challenge.example.com. txt;
      grant keyname. name _acme-challenge.www.example.com. txt;
 };

Let's Encrypt 究竟使用哪条 DNS 记录来执行 DNS-01 挑战验证？

答案1

答案2

相关内容