InControl Cert Updater: настройка DNS в три записи

Для вашего wildcard-сертификата Let's Encrypt запрашивает запись _acme-challenge. вашего домена InControl. Ваш CNAME перенаправляет этот запрос на сервер имён устройства, оно отвечает на него само, получает сертификат и устанавливает его на InControl. Почему всё это должно идти через DNS, объясняет раздел «Почему wildcard-сертификату нужен DNS».

InControl Cert Updater автоматически получает от Let's Encrypt wildcard-сертификат TLS для вашего устройства Peplink InControl или Ruckus SmartZone и постоянно поддерживает его актуальным путём продления. Wildcard-сертификат можно выпустить только через DNS-01 challenge. Для этого Let's Encrypt должен иметь возможность прочитать недолговечную TXT-запись под _acme-challenge. вашего домена.

Именно для этого устройство запускает собственный небольшой сервер имён. Вы один раз делегируете ему подзону acmedns. под вашим доменом InControl (записи NS и A) и с помощью CNAME направляете _acme-challenge. на адрес в этой подзоне. Проверяющий сервер Let's Encrypt следует по CNAME, попадает на сервер имён устройства и получает там ответ на актуальный challenge.

<UUID> в CNAME не является challenge, а представляет собой постоянный идентификатор учётной записи вашего устройства на этом сервере имён. Поэтому CNAME не меняется годами и после множества продлений. При каждом продлении меняется только содержимое за этим адресом, и устройство делает это само. Коротко: к вашей DNS-зоне вы прикасаетесь один-единственный раз.

По кнопке «Проверить» устройство тестирует все условия в трёх группах. Устройство: работает ли внутренний сервер имён, настроен ли он на вашу зону и зарегистрирован ли, проходит ли тест записи и чтения, указан ли действующий контактный e-mail, доступен ли с устройства Let's Encrypt? DNS клиента: правильно ли ваш собственный внутренний DNS видит три записи (A, NS, CNAME) и нет ли блокирующего правила CAA? Снаружи: выглядят ли записи правильно и из публичного интернета, и отвечает ли порт 53 вашего устройства на самом деле по UDP и TCP?

Третью группу устройство само проверить не может. Оно не видит себя снаружи, а публичные DNS-резолверы из многих сетей клиентов вообще недоступны. Поэтому эти проверки выполняет для вас в фоновом режиме служба Ascend, как только вы нажимаете «Проверить». Ничего дополнительно делать не нужно.

Те же проверки вручную

Ваша сетевая команда или команда DNS может в любое время самостоятельно воспроизвести группы «DNS клиента» и «Снаружи» с любого компьютера с доступом в интернет, но не с самого устройства. Первые четыре запроса идут через ваши собственные резолверы, следующие два через публичный резолвер, а последние два обращаются к порту 53 устройства напрямую, один раз по UDP и один раз по TCP:

dig +short A     acmedns.ВАШ-ДОМЕН
dig +short NS    acmedns.ВАШ-ДОМЕН
dig +short CNAME _acme-challenge.ВАШ-ДОМЕН
dig +short CAA   ВАШ-ДОМЕН

dig +short A     acmedns.ВАШ-ДОМЕН @1.1.1.1
dig +short NS    acmedns.ВАШ-ДОМЕН @1.1.1.1

dig +short NS      acmedns.ВАШ-ДОМЕН @ПУБЛИЧНЫЙ-IP-УСТРОЙСТВА
dig +tcp +short NS acmedns.ВАШ-ДОМЕН @ПУБЛИЧНЫЙ-IP-УСТРОЙСТВА

Если вы не управляете DNS-зоной или межсетевым экраном сами, отправьте этот шаблон своей команде. Замените заполнители значениями из интерфейса устройства:

Тема: Просим создать 3 DNS-записи и открыть порт в межсетевом экране для [ДОМЕН]

Здравствуйте!

Для нового устройства InControl Cert Updater нам однократно требуются
следующие изменения:

1) Три DNS-записи в зоне [ДОМЕН]:

   acmedns.[ДОМЕН].             3600  IN  A      [ПУБЛИЧНЫЙ-IP-УСТРОЙСТВА]
   acmedns.[ДОМЕН].             3600  IN  NS     acmedns.[ДОМЕН].
   _acme-challenge.[ДОМЕН].     3600  IN  CNAME  [UUID].acmedns.[ДОМЕН].

   Существующие A-записи и wildcard-записи для [ДОМЕН] просим не менять.

2) Правило межсетевого экрана:
   Входящий порт 53, UDP И TCP, источник: весь интернет (0.0.0.0/0),
   назначение: [ПУБЛИЧНЫЙ-IP-УСТРОЙСТВА].
   (Нужны оба протокола, а не только UDP.)

Это изменение однократное. После него выпуск и продление сертификата
выполняются полностью автоматически, без дальнейших изменений в DNS.

Если возникнут вопросы, обращайтесь.

С уважением,
[ВАШЕ ИМЯ]

Что Ascend делает для вас

Если одна из трёх групп проверки остаётся красной, вам поможет служба поддержки Ascend, основанной в 2010 году и доступной 24×7: мы вместе с вами считываем значения и проверяем результат.