¿Por qué tiene que estar abierto el puerto 53 a todo Internet?

Los servidores de validación de Let's Encrypt consultan desde muchas direcciones distintas de todo el mundo. No existe una lista fija de IP que pueda permitir en su lugar. La regla se aplica solo a la IP pública de la appliance y solo al puerto 53.

¿No basta con UDP en el puerto 53?

No. Let's Encrypt recurre a TCP cuando las respuestas DNS son más grandes (RFC 7766). Si el firewall solo deja pasar UDP/53, la comprobación «Desde fuera» sigue en rojo para TCP y la appliance no solicita ningún certificado.

La comprobación de A, NS o CNAME sigue en rojo. ¿A qué se debe?

Normalmente un registro apunta al host equivocado, por ejemplo por una errata, o todavía existe un registro antiguo con el mismo nombre. En la delegación NS suele faltar el registro NS de la subzona acmedns. Corrija el registro para que coincida exactamente con el valor que muestra la appliance.

¿Qué ocurre si se sustituye o se reinstala la appliance?

Entonces recibe un nuevo identificador de cuenta (UUID) y el CNAME antiguo apunta a la nada. La interfaz muestra el UUID válido en ese momento, al que actualiza el CNAME una sola vez. Para evitarlo desde el principio, cree una copia de seguridad de la configuración desde la interfaz web: al restaurarla, la appliance conserva su identificador.

¿Esta guía es válida por igual para Peplink InControl y Ruckus SmartZone?

Los registros DNS y la regla de firewall valen para cualquier appliance InControl Cert Updater, tanto si obtiene el certificado para una interfaz Peplink InControl como para una Ruckus SmartZone. El paso 4, el ajuste «Custom», describe la interfaz de InControl.

InControl Cert Updater: configurar el DNS con tres registros (Imagen generada por IA)

Más información sobre el etiquetado de IA

Ayuda para su appliance

InControl Cert Updater: configurar el DNS con tres registros

Tres registros DNS, una regla de firewall, un clic en «Comprobar». Es todo lo que necesita su appliance InControl Cert Updater para que su interfaz Peplink InControl o Ruckus SmartZone lleve de forma permanente un certificado wildcard válido de Let's Encrypt. Esta guía muestra qué valores introducir y dónde, cómo comprobar usted mismo el resultado y por qué no tendrá que volver a tocar su zona DNS en funcionamiento normal.

Solicitar ayuda con la configuración Peplink en la tienda de Ascend

El principio de un vistazo

DNS de InControl Cert Updater: Let's Encrypt consulta el registro _acme-challenge, el CNAME de su zona apunta a la subzona acmedns, NS y A la delegan al servidor de nombres de la appliance en el puerto 53 y el certificado llega a la InControl

Para su certificado wildcard, Let's Encrypt consulta el registro _acme-challenge. de su dominio InControl. Su CNAME reenvía esa consulta al servidor de nombres de la appliance, que la responde por sí mismo, obtiene el certificado y lo instala en la InControl. El apartado «Por qué un certificado wildcard necesita DNS» explica por qué esto tiene que pasar por DNS.

Lo que la appliance hace por usted

Sin la appliance, un certificado wildcard para la InControl significa: en cada renovación, escribir a mano un challenge en la zona DNS, recoger el certificado y subirlo. Con ella, solo queda un paso manual.

Certificado wildcard válido

La appliance obtiene de Let's Encrypt un certificado TLS wildcard para su dominio InControl. El navegador deja de mostrar una advertencia al abrir la InControl.

Un único paso manual

Crea una sola vez tres registros DNS y una regla de firewall. Los registros A y wildcard existentes no se tocan.

Renovación sin que usted haga nada

Tras la configuración, la appliance renueva el certificado por sí sola. Para ello ya no tiene que tocar su zona DNS.

Comprobación desde fuera incluida

Al hacer clic en «Comprobar», un servicio de Ascend prueba además sus registros y el puerto 53 desde Internet.

Ningún certificado a ciegas

Mientras haya una sola comprobación sin confirmar con certeza como «ok», la appliance no indica «lista». Nunca se solicita un certificado si no está claro que el puerto 53 responde de verdad.

Soporte a cualquier hora

Si se queda atascado en algún punto, puede contactar con el soporte de Ascend 24×7.

Los tres registros DNS y la regla de firewall

Registro A	acmedns.<su dominio InControl> → IP pública de la appliance, TTL 3600. Ejemplo: acmedns.incontrol.example.com. 3600 IN A 203.0.113.10
Registro NS	acmedns.<su dominio InControl> → acmedns.<su dominio InControl>, TTL 3600. Delega la subzona al servidor de nombres de la appliance.
Registro CNAME	_acme-challenge.<su dominio InControl> → <UUID>.acmedns.<su dominio InControl>, TTL 3600. La appliance le muestra el UUID.
Firewall	Entrada por el puerto 53, UDP y TCP, origen: todo Internet (0.0.0.0/0), destino: IP pública de la appliance.
Registros CAA	Solo si su dominio tiene registros CAA: al menos uno debe permitir letsencrypt.org (issue "letsencrypt.org"); de lo contrario, Let's Encrypt rechaza la emisión. Sin registros CAA no hay que hacer nada.

Cómo configurar el DNS para el InControl Cert Updater

1
Leer los valores de su applianceAbra la interfaz web de la appliance y vaya al paso «Certificado / DNS» del asistente de configuración o, más adelante, a la tarjeta «Configuración DNS» del panel. Allí aparecen los tres registros ya formateados, con un botón de copiar. Como alternativa, el script /opt/incontrol-cert-updater/scripts/preflight-dns.sh muestra los mismos valores por SSH. No estime ni invente valores: cada appliance tiene su propio UUID.
2
Crear los tres registros en su zona DNS públicaCree los registros A, NS y CNAME exactamente como los muestra la appliance. Compruebe si ya existe un registro antiguo con el mismo nombre y elimínelo. Su registro A existente para la InControl y sus registros wildcard permanecen sin cambios.
3
Abrir el puerto 53 en el firewallPermita el puerto 53 hacia la IP pública de la appliance, exactamente como indica la fila «Firewall» de la tabla anterior.
4
Poner la InControl en «Custom»En la página de inicio de la interfaz de administración de su InControl, seleccione «Custom» en «Web Server SSL Certificate». Sin este ajuste, el certificado wildcard no se utiliza nunca.
5
Hacer clic en «Comprobar» y leer el resultadoHaga clic en «Comprobar» en la appliance. Lo que verifican los tres grupos de comprobación se describe en el apartado «Comprobación: tres grupos, un resultado». Sabrá que el certificado se está usando de verdad cuando su navegador deje de mostrar una advertencia de certificado al abrir la InControl.

Por qué un certificado wildcard necesita DNS

El InControl Cert Updater obtiene automáticamente de Let's Encrypt un certificado TLS wildcard para su appliance Peplink InControl o Ruckus SmartZone y lo mantiene actualizado mediante renovaciones. Un certificado wildcard solo puede emitirse mediante el challenge DNS-01. Para ello, Let's Encrypt debe poder leer un registro TXT de corta duración bajo _acme-challenge. de su dominio.

Precisamente por eso la appliance ejecuta su propio pequeño servidor de nombres. Usted le delega una sola vez la subzona acmedns. bajo su dominio InControl (registros NS y A) y, con el CNAME, hace que _acme-challenge. apunte a una dirección de esa subzona. El servidor de validación de Let's Encrypt sigue el CNAME, llega al servidor de nombres de la appliance y allí recibe la respuesta al challenge actual.

El <UUID> del CNAME no es un challenge, sino el identificador de cuenta fijo de su appliance en este servidor de nombres. Por eso el CNAME no cambia a lo largo de los años ni de las muchas renovaciones. Solo cambia el contenido detrás de esa dirección en cada renovación, y de eso se encarga la appliance. En resumen: toca su zona DNS una única vez.

Comprobación: tres grupos, un resultado

Con «Comprobar», la appliance verifica todos los requisitos en tres grupos. Appliance: ¿funciona el servidor de nombres interno, está configurado para su zona y registrado, funciona la prueba de escritura/lectura, hay un correo de contacto válido y llega la appliance a Let's Encrypt? DNS del cliente: ¿ve su propio DNS interno correctamente los tres registros (A, NS, CNAME) y ninguna regla CAA que bloquee? Desde fuera: ¿se ven también correctos los registros desde Internet y responde realmente el puerto 53 de su appliance por UDP y TCP?

El tercer grupo no puede comprobarlo la appliance por sí misma. No puede verse desde fuera, y desde muchas redes de clientes ni siquiera se alcanzan los resolutores DNS públicos. Por eso un servicio de Ascend realiza estas comprobaciones en segundo plano por usted en cuanto hace clic en «Comprobar». No tiene que hacer nada más.

Las mismas comprobaciones a mano

Su equipo de redes o de DNS puede reproducir en cualquier momento los grupos «DNS del cliente» y «Desde fuera», desde cualquier ordenador con acceso a Internet, no desde la propia appliance. Las primeras cuatro consultas pasan por sus propios resolutores, las dos siguientes por un resolutor público, y las dos últimas consultan directamente el puerto 53 de la appliance, una por UDP y otra por TCP:

dig +short A     acmedns.SU-DOMINIO
dig +short NS    acmedns.SU-DOMINIO
dig +short CNAME _acme-challenge.SU-DOMINIO
dig +short CAA   SU-DOMINIO

dig +short A     acmedns.SU-DOMINIO @1.1.1.1
dig +short NS    acmedns.SU-DOMINIO @1.1.1.1

dig +short NS      acmedns.SU-DOMINIO @IP-PUBLICA-DE-LA-APPLIANCE
dig +tcp +short NS acmedns.SU-DOMINIO @IP-PUBLICA-DE-LA-APPLIANCE

El ajuste que todos olvidan

¿DNS correcto, firewall abierto, comprobación en verde y el navegador sigue advirtiendo? Entonces la InControl sigue en «Auto». En ese modo sigue usando su propio certificado e ignora por completo el de la appliance. «Auto» tampoco puede obtener un certificado wildcard, como indica la propia InControl en su texto de ayuda. Ponga «Web Server SSL Certificate» en «Custom» en la página de inicio de la interfaz de administración de la InControl, no en la interfaz de la appliance. Que la InControl muestre el certificado en su propia página de certificados no es una prueba: lo hace sea cual sea el modo.

Plantilla para su equipo de redes o de DNS

Si no gestiona usted mismo la zona DNS ni el firewall, envíe esta plantilla a su equipo. Sustituya los marcadores por los valores de la interfaz de la appliance:

Asunto: Crear 3 registros DNS + abrir el firewall para [DOMINIO]

Hola a todos:

para la nueva appliance InControl Cert Updater necesitamos, una sola vez,
los siguientes cambios:

1) Tres registros DNS en la zona [DOMINIO]:

   acmedns.[DOMINIO].           3600  IN  A      [IP-PUBLICA-DE-LA-APPLIANCE]
   acmedns.[DOMINIO].           3600  IN  NS     acmedns.[DOMINIO].
   _acme-challenge.[DOMINIO].   3600  IN  CNAME  [UUID].acmedns.[DOMINIO].

   Por favor, no modifiquen los registros A y wildcard existentes de
   [DOMINIO].

2) Apertura del firewall:
   Entrada por el puerto 53, UDP Y TCP, origen: todo Internet (0.0.0.0/0),
   destino: [IP-PUBLICA-DE-LA-APPLIANCE].
   (Se necesitan ambos protocolos, no solo UDP.)

Este cambio es puntual. Después, la emisión y la renovación del
certificado funcionan de forma totalmente automática, sin más cambios
de DNS.

Quedamos a su disposición para cualquier consulta.

Un cordial saludo
[SU NOMBRE]

Lo que hace Ascend por usted

Si uno de los tres grupos de comprobación sigue en rojo, le ayuda el soporte de Ascend, fundada en 2010 y disponible 24×7: leemos los valores junto con usted y revisamos el resultado.

Licencias y hardware adecuados en la tienda de Ascend

Licencias y hardware en torno a su InControl: la suscripción InControl 2 para la gestión de dispositivos, FusionHub para SpeedFusion en la nube y PrimeCare, que ya incluye InControl.

Preguntas frecuentes sobre la configuración del DNS

Enlaces de interés

¿Una comprobación sigue en rojo? Lo miramos con usted.

Envíenos su dominio InControl y una captura de pantalla del resultado de la comprobación. Revisamos con usted qué registro o qué regla falta. Nuestro soporte está disponible 24×7.

Solicitar ayuda con la configuración

Le ayudamos con la configuración del DNS

Indíquenos su dominio InControl y qué grupo de comprobación no se pone en verde. Nos pondremos en contacto con usted.