Pourquoi le port 53 doit-il être ouvert à tout Internet ?

Les serveurs de validation de Let's Encrypt interrogent depuis de nombreuses adresses dans le monde. Il n'existe aucune liste d'IP fixe que vous pourriez autoriser à la place. L'ouverture ne s'applique qu'à l'IP publique de l'appliance et qu'au port 53.

L'UDP sur le port 53 ne suffit-il pas ?

Non. Let's Encrypt bascule sur TCP pour les réponses DNS plus volumineuses (RFC 7766). Si le pare-feu ne laisse passer que l'UDP/53, la vérification « Depuis l'extérieur » reste rouge pour le TCP et l'appliance ne demande pas de certificat.

La vérification A, NS ou CNAME reste rouge. D'où cela vient-il ?

Le plus souvent, un enregistrement pointe vers le mauvais hôte, par exemple à cause d'une faute de frappe, ou un ancien enregistrement de même nom existe encore. Pour la délégation NS, c'est souvent l'enregistrement NS de la sous-zone acmedns qui manque. Corrigez l'enregistrement pour qu'il corresponde exactement à la valeur affichée par l'appliance.

Que se passe-t-il si l'appliance est remplacée ou réinstallée ?

Elle reçoit alors un nouvel identifiant de compte (UUID) et l'ancien CNAME ne mène nulle part. L'interface affiche l'UUID actuellement valide, vers lequel vous mettez à jour le CNAME une fois. Pour éviter d'en arriver là, créez une sauvegarde de configuration via l'interface web : lors de la restauration, l'appliance conserve son identifiant.

Ce guide s'applique-t-il de la même façon à Peplink InControl et à Ruckus SmartZone ?

Les enregistrements DNS et l'ouverture du pare-feu valent pour toute appliance InControl Cert Updater, qu'elle obtienne le certificat pour une interface Peplink InControl ou Ruckus SmartZone. L'étape 4, le réglage « Custom », décrit l'interface InControl.

InControl Cert Updater : configurer le DNS en trois enregistrements (Image générée par IA)

En savoir plus sur notre étiquetage IA

Aide pour votre appliance

InControl Cert Updater : configurer le DNS en trois enregistrements

Trois enregistrements DNS, une règle de pare-feu, un clic sur « Vérifier ». C'est tout ce dont votre appliance InControl Cert Updater a besoin pour que votre interface Peplink InControl ou Ruckus SmartZone présente durablement un certificat wildcard Let's Encrypt valide. Ce guide montre quelles valeurs saisir et où, comment contrôler vous-même le résultat et pourquoi vous n'aurez plus à toucher à votre zone DNS en fonctionnement normal.

Demander de l'aide pour la configuration Peplink dans la boutique Ascend

Le principe en un coup d'œil

DNS InControl Cert Updater : Let's Encrypt interroge l'enregistrement _acme-challenge, le CNAME de votre zone pointe vers la sous-zone acmedns, NS et A la délèguent au serveur de noms de l'appliance sur le port 53, le certificat arrive sur l'InControl

Pour votre certificat wildcard, Let's Encrypt interroge l'enregistrement _acme-challenge. de votre domaine InControl. Votre CNAME transmet cette requête au serveur de noms de l'appliance, qui y répond lui-même, récupère le certificat et l'installe sur l'InControl. La section « Pourquoi un certificat wildcard nécessite le DNS » explique pourquoi cela doit passer par le DNS.

Ce que l'appliance fait à votre place

Sans l'appliance, un certificat wildcard pour l'InControl signifie : à chaque renouvellement, écrire à la main un challenge dans la zone DNS, récupérer le certificat, le téléverser. Avec elle, il ne reste qu'une seule manipulation.

Certificat wildcard valide

L'appliance obtient auprès de Let's Encrypt un certificat TLS wildcard pour votre domaine InControl. Le navigateur n'affiche plus d'avertissement à l'ouverture de l'InControl.

Une seule étape manuelle

Vous créez une fois trois enregistrements DNS et une règle de pare-feu. Les enregistrements A et wildcard existants restent intacts.

Renouvellement sans intervention de votre part

Une fois la configuration faite, l'appliance renouvelle elle-même le certificat. Vous n'avez plus à toucher à votre zone DNS pour cela.

Contrôle depuis l'extérieur inclus

Au clic sur « Vérifier », un service Ascend teste en plus vos enregistrements et le port 53 depuis l'Internet public.

Aucun certificat à l'aveugle

Tant qu'une seule vérification n'est pas confirmée avec certitude par « ok », l'appliance n'indique pas « prêt ». Aucun certificat n'est demandé tant qu'on ne sait pas si le port 53 répond réellement.

Support à toute heure

Si vous êtes bloqué à une étape, vous joignez le support Ascend 24×7.

Les trois enregistrements DNS et l'ouverture du pare-feu

Enregistrement A	acmedns.<votre domaine InControl> → IP publique de l'appliance, TTL 3600. Exemple : acmedns.incontrol.example.com. 3600 IN A 203.0.113.10
Enregistrement NS	acmedns.<votre domaine InControl> → acmedns.<votre domaine InControl>, TTL 3600. Délègue la sous-zone au serveur de noms de l'appliance.
Enregistrement CNAME	_acme-challenge.<votre domaine InControl> → <UUID>.acmedns.<votre domaine InControl>, TTL 3600. L'UUID vous est indiqué par l'appliance.
Pare-feu	Entrant, port 53, UDP et TCP, source : tout Internet (0.0.0.0/0), destination : IP publique de l'appliance.
Enregistrements CAA	Uniquement si votre domaine comporte des enregistrements CAA : au moins un doit autoriser letsencrypt.org (issue "letsencrypt.org"), sinon Let's Encrypt refuse l'émission. Sans enregistrement CAA, il n'y a rien à faire.

Comment configurer le DNS pour l'InControl Cert Updater

1
Relever les valeurs de votre applianceOuvrez l'interface web de l'appliance et allez à l'étape « Certificat / DNS » de l'assistant de configuration ou, plus tard, à la carte « Configuration DNS » du tableau de bord. Les trois enregistrements y figurent déjà formatés, avec un bouton de copie. Le script /opt/incontrol-cert-updater/scripts/preflight-dns.sh affiche les mêmes valeurs en SSH. N'estimez ni n'inventez aucune valeur : chaque appliance a son propre UUID.
2
Créer les trois enregistrements dans votre zone DNS publiqueCréez les enregistrements A, NS et CNAME exactement comme l'appliance les affiche. Vérifiez si un ancien enregistrement existe déjà sous le même nom et supprimez-le. Votre enregistrement A existant pour l'InControl et vos enregistrements wildcard restent inchangés.
3
Ouvrir le port 53 dans le pare-feuAutorisez le port 53 vers l'IP publique de l'appliance, exactement comme dans la ligne « Pare-feu » du tableau ci-dessus.
4
Passer l'InControl sur « Custom »Sur la page d'accueil de l'interface d'administration de votre InControl, choisissez « Custom » sous « Web Server SSL Certificate ». Sans ce réglage, le certificat wildcard n'est jamais utilisé.
5
Cliquer sur « Vérifier » et lire le résultatCliquez sur « Vérifier » dans l'appliance. Ce que testent les trois groupes de vérification est décrit dans la section « Vérification : trois groupes, un résultat ». Pour savoir si le certificat est réellement utilisé, regardez si votre navigateur n'affiche plus d'avertissement de certificat à l'ouverture de l'InControl.

Pourquoi un certificat wildcard nécessite le DNS

L'InControl Cert Updater obtient automatiquement auprès de Let's Encrypt un certificat TLS wildcard pour votre appliance Peplink InControl ou Ruckus SmartZone et le maintient à jour par renouvellement. Un certificat wildcard ne peut être émis que via le challenge DNS-01. Let's Encrypt doit pour cela pouvoir lire un enregistrement TXT éphémère sous _acme-challenge. de votre domaine.

C'est précisément pour cela que l'appliance exploite son propre petit serveur de noms. Vous lui déléguez une fois la sous-zone acmedns. sous votre domaine InControl (enregistrements NS et A) et, avec le CNAME, vous faites pointer _acme-challenge. vers une adresse de cette sous-zone. Le serveur de validation de Let's Encrypt suit le CNAME, arrive au serveur de noms de l'appliance et y obtient la réponse au challenge en cours.

L'<UUID> du CNAME n'est pas un challenge, mais l'identifiant de compte fixe de votre appliance auprès de ce serveur de noms. C'est pourquoi le CNAME ne change pas au fil des années et des renouvellements. Seul le contenu derrière cette adresse change à chaque renouvellement, et l'appliance s'en charge elle-même. En bref : vous ne touchez à votre zone DNS qu'une seule fois.

Vérification : trois groupes, un résultat

Avec « Vérifier », l'appliance teste toutes les conditions préalables en trois groupes. Appliance : le serveur de noms interne fonctionne-t-il, est-il configuré pour votre zone et enregistré, le test d'écriture/lecture réussit-il, une adresse e-mail de contact valide est-elle renseignée, l'appliance joint-elle Let's Encrypt ? DNS client : votre propre DNS interne voit-il correctement les trois enregistrements (A, NS, CNAME) et aucune règle CAA bloquante ? Depuis l'extérieur : les enregistrements sont-ils également corrects vu de l'Internet public, et le port 53 de votre appliance répond-il réellement en UDP et en TCP ?

L'appliance ne peut pas vérifier elle-même le troisième groupe. Elle ne peut pas se voir de l'extérieur, et les résolveurs DNS publics ne sont pas joignables depuis de nombreux réseaux clients. Ces contrôles sont donc effectués pour vous en arrière-plan par un service Ascend dès que vous cliquez sur « Vérifier ». Vous n'avez rien d'autre à faire.

Les mêmes contrôles à la main

Votre équipe réseau ou DNS peut reproduire à tout moment les groupes « DNS client » et « Depuis l'extérieur », depuis n'importe quel ordinateur disposant d'un accès Internet, et non depuis l'appliance elle-même. Les quatre premières requêtes passent par vos propres résolveurs, les deux suivantes par un résolveur public, et les deux dernières interrogent directement le port 53 de l'appliance, une fois en UDP et une fois en TCP :

dig +short A     acmedns.VOTRE-DOMAINE
dig +short NS    acmedns.VOTRE-DOMAINE
dig +short CNAME _acme-challenge.VOTRE-DOMAINE
dig +short CAA   VOTRE-DOMAINE

dig +short A     acmedns.VOTRE-DOMAINE @1.1.1.1
dig +short NS    acmedns.VOTRE-DOMAINE @1.1.1.1

dig +short NS      acmedns.VOTRE-DOMAINE @IP-PUBLIQUE-DE-L-APPLIANCE
dig +tcp +short NS acmedns.VOTRE-DOMAINE @IP-PUBLIQUE-DE-L-APPLIANCE

Le réglage que tout le monde oublie

DNS correct, pare-feu ouvert, vérification au vert, et le navigateur avertit encore ? Alors l'InControl est toujours sur « Auto ». Dans ce mode, elle continue d'utiliser son propre certificat et ignore totalement celui de l'appliance. « Auto » ne peut de toute façon pas obtenir de certificat wildcard, comme l'InControl l'indique elle-même dans son texte d'aide. Réglez « Web Server SSL Certificate » sur « Custom » sur la page d'accueil de l'interface d'administration de l'InControl, et non dans l'interface de l'appliance. Que l'InControl affiche le certificat sur sa propre page de certificats n'est pas une preuve : elle le fait quel que soit le mode.

Modèle pour votre équipe réseau ou DNS

Si vous ne gérez pas vous-même la zone DNS ou le pare-feu, envoyez ce modèle à votre équipe. Remplacez les espaces réservés par les valeurs de l'interface de l'appliance :

Objet : Création de 3 enregistrements DNS + ouverture du pare-feu pour [DOMAINE]

Bonjour à tous,

pour la nouvelle appliance InControl Cert Updater, nous avons besoin,
une seule fois, des modifications suivantes :

1) Trois enregistrements DNS dans la zone [DOMAINE] :

   acmedns.[DOMAINE].           3600  IN  A      [IP-PUBLIQUE-DE-L-APPLIANCE]
   acmedns.[DOMAINE].           3600  IN  NS     acmedns.[DOMAINE].
   _acme-challenge.[DOMAINE].   3600  IN  CNAME  [UUID].acmedns.[DOMAINE].

   Merci de ne pas modifier les enregistrements A et wildcard existants
   pour [DOMAINE].

2) Ouverture du pare-feu :
   Entrant, port 53, UDP ET TCP, source : tout Internet (0.0.0.0/0),
   destination : [IP-PUBLIQUE-DE-L-APPLIANCE].
   (Les deux protocoles sont nécessaires, pas seulement UDP.)

Cette modification est ponctuelle. Ensuite, l'émission et le
renouvellement du certificat se font de façon entièrement automatique,
sans autre modification DNS.

N'hésitez pas à nous contacter pour toute question.

Cordialement
[VOTRE NOM]

Ce qu'Ascend fait pour vous

Si l'un des trois groupes de vérification reste rouge, le support d'Ascend, fondée en 2010 et joignable 24×7, vous aide : nous relevons les valeurs avec vous et contrôlons le résultat.

Licences et matériel adaptés dans la boutique Ascend

Licences et matériel autour de votre InControl : l'abonnement InControl 2 pour la gestion des appareils, FusionHub pour SpeedFusion dans le cloud et PrimeCare, qui inclut déjà InControl.

Questions fréquentes sur la configuration DNS

Liens complémentaires

Une vérification reste rouge ? Nous regardons avec vous.

Envoyez-nous votre domaine InControl et une capture d'écran du résultat de la vérification. Nous vérifions avec vous quel enregistrement ou quelle ouverture manque. Notre support est joignable 24×7.

Demander de l'aide pour la configuration

Nous vous aidons pour la configuration DNS

Indiquez-nous votre domaine InControl et le groupe de vérification qui ne passe pas au vert. Nous revenons vers vous.