InControl Cert Updater: configurare il DNS con tre record

Per il suo certificato wildcard, Let's Encrypt interroga il record _acme-challenge. del suo dominio InControl. Il suo CNAME inoltra questa richiesta al name server dell'appliance, che risponde da sé, ottiene il certificato e lo installa sull'InControl. Perché tutto questo debba passare dal DNS è spiegato nella sezione «Perché un certificato wildcard richiede il DNS».

L'InControl Cert Updater ottiene automaticamente da Let's Encrypt un certificato TLS wildcard per la sua appliance Peplink InControl o Ruckus SmartZone e lo mantiene aggiornato tramite i rinnovi. Un certificato wildcard può essere emesso solo tramite la challenge DNS-01. A tal fine Let's Encrypt deve poter leggere un record TXT di breve durata sotto _acme-challenge. del suo dominio.

Proprio per questo l'appliance gestisce un proprio piccolo name server. Lei gli delega una sola volta la sottozona acmedns. sotto il suo dominio InControl (record NS e A) e, con il CNAME, fa puntare _acme-challenge. a un indirizzo di questa sottozona. Il server di validazione di Let's Encrypt segue il CNAME, arriva al name server dell'appliance e lì ottiene la risposta alla challenge corrente.

L'<UUID> nel CNAME non è una challenge, ma l'identificativo di account fisso della sua appliance presso questo name server. Per questo il CNAME non cambia nel corso degli anni e dei numerosi rinnovi. A cambiare a ogni rinnovo è solo il contenuto dietro quell'indirizzo, e se ne occupa l'appliance da sé. In breve: tocca la sua zona DNS una volta sola.

Con «Verifica», l'appliance controlla tutti i prerequisiti in tre gruppi. Appliance: il name server interno è in esecuzione, è configurato per la sua zona e registrato, il test di scrittura/lettura funziona, è memorizzato un indirizzo e-mail di contatto valido, l'appliance raggiunge Let's Encrypt? DNS del cliente: il suo DNS interno vede correttamente i tre record (A, NS, CNAME) e nessuna regola CAA bloccante? Dall'esterno: i record risultano corretti anche dalla rete Internet pubblica e la porta 53 della sua appliance risponde davvero su UDP e TCP?

Il terzo gruppo l'appliance non può verificarlo da sola. Non può vedersi dall'esterno e da molte reti dei clienti i resolver DNS pubblici non sono nemmeno raggiungibili. Questi controlli li esegue quindi in background per lei un servizio Ascend, non appena fa clic su «Verifica». Non deve fare nient'altro.

Gli stessi controlli a mano

Il suo team di rete o DNS può ripetere in qualsiasi momento i gruppi «DNS del cliente» e «Dall'esterno», da un qualsiasi computer con accesso a Internet, non dall'appliance stessa. Le prime quattro query passano attraverso i suoi resolver, le due successive attraverso un resolver pubblico, le ultime due interrogano direttamente la porta 53 dell'appliance, una volta via UDP e una via TCP:

dig +short A     acmedns.IL-SUO-DOMINIO
dig +short NS    acmedns.IL-SUO-DOMINIO
dig +short CNAME _acme-challenge.IL-SUO-DOMINIO
dig +short CAA   IL-SUO-DOMINIO

dig +short A     acmedns.IL-SUO-DOMINIO @1.1.1.1
dig +short NS    acmedns.IL-SUO-DOMINIO @1.1.1.1

dig +short NS      acmedns.IL-SUO-DOMINIO @IP-PUBBLICO-DELL-APPLIANCE
dig +tcp +short NS acmedns.IL-SUO-DOMINIO @IP-PUBBLICO-DELL-APPLIANCE

Se non gestisce da sé la zona DNS o il firewall, invii questo modello al suo team. Sostituisca i segnaposto con i valori dell'interfaccia dell'appliance:

Oggetto: Creare 3 record DNS + regola firewall per [DOMINIO]

Buongiorno a tutti,

per la nuova appliance InControl Cert Updater servono, una tantum,
le seguenti modifiche:

1) Tre record DNS nella zona [DOMINIO]:

   acmedns.[DOMINIO].           3600  IN  A      [IP-PUBBLICO-DELL-APPLIANCE]
   acmedns.[DOMINIO].           3600  IN  NS     acmedns.[DOMINIO].
   _acme-challenge.[DOMINIO].   3600  IN  CNAME  [UUID].acmedns.[DOMINIO].

   Vi preghiamo di lasciare invariati i record A e wildcard esistenti
   per [DOMINIO].

2) Regola firewall:
   In ingresso porta 53, UDP E TCP, origine: l'intera Internet (0.0.0.0/0),
   destinazione: [IP-PUBBLICO-DELL-APPLIANCE].
   (Servono entrambi i protocolli, non solo UDP.)

Questa modifica è una tantum. Dopodiché l'emissione e il rinnovo del
certificato avvengono in modo completamente automatico, senza ulteriori
modifiche DNS.

Per qualsiasi domanda restiamo a disposizione.

Cordiali saluti
[IL SUO NOME]

Che cosa fa Ascend per lei

Se uno dei tre gruppi di verifica resta rosso, il supporto di Ascend, fondata nel 2010 e raggiungibile 24×7, la aiuta: leggiamo i valori insieme a lei e controlliamo il risultato.