Što je Let’s Encrypt DNS-01 Challenge i kako ga koristiti za dobivanje SSL certifikata?

Prema zadanim postavkama Let’s Encrypt koristi HTTP-01 izazov za provjeru vlasništva. HTTP-01 izazov stavlja datoteku na Webroot vašeg web poslužitelja i koristi DNS naziv web poslužitelja za dohvaćanje datoteke. Ako se datoteka može dohvatiti s interneta, provjerava se autoritet naziva domene i izdaje se SSL certifikat. To je dobro za većinu poslužitelja i kućnih korisnika koji si mogu priuštiti javnu IP adresu od svog pružatelja internetskih usluga (ISP).

No, što ako želite koristiti Let’s Encrypt SSL certifikate za nazive domena vaše kućne mreže ili privatne/interne mreže? Pa, u većini kućnih mreža, dobivanje Let’s Encrypt SSL certifikata je izazov jer vam najvjerojatnije vaš ISP neće dati javnu IP adresu. Dakle, nećete moći proći izazov Let’s Encrypt HTTP-01 (jer vaša računala/poslužitelji nisu dostupni s interneta).

U ovom slučaju možete upotrijebiti izazov Let’s Encrypt DNS-01 za dobivanje SSL certifikata za svoju kućnu/internu mrežu. U ovoj metodi, Let’s Encrypt dodaje DNS TXT zapis za “poddomenu _acme-challenge.yourdomain.xyz” na vašem DNS poslužitelju i provjerava je li DNS TXT zapis dostupan s interneta. Ako se TXT zapis podudara, potvrđeni ste kao vlasnik domene i Let’s Encrypt izdaje SSL certifikat.

Kako bi izazov Let’s Encrypt DNS-01 funkcionirao i automatski obnovio SSL certifikat, morate koristiti davatelja DNS usluge (tj. CloudFlare, DigitalOcean) koji izlaže API koji se može koristiti za dodavanje/uklanjanje TXT zapisa na DNS poslužitelju.

Ako vaš DNS registar (gdje ste registrirali naziv domene) nema podršku za takve usluge, možete koristiti davatelja DNS usluge treće strane. Sve što trebate učiniti je promijeniti adresu DNS poslužitelja imena vaše domene s DNS poslužitelja vašeg DNS registrara na adresu DNS poslužitelja imena vašeg željenog davatelja DNS usluge treće strane.

Tema sadržaja:

1. Popis DNS pružatelja usluga koji se lako integriraju s Let’s Encrypt DNS Validation
2. Popis Let’s Encrypt ACME klijenata
3. Promjena DNS poslužitelja naziva iz registra vaše domene
4. Prednosti provjere valjanosti Let’s Encrypt DNS-01
5. Nedostaci Let’s Encrypt DNS-01 Validacije
6. Zaključak
7. Reference

Popis DNS pružatelja usluga koji se lako integriraju s Let’s Encrypt DNS Validation

Zajednica Let’s Encrypt sastavila je a popis DNS pružatelja usluga koji izlažu neku vrstu API-ja za automatsko dodavanje/uklanjanje DNS zapisa tako da klijenti Let’s Encrypt mogu potvrditi nazive domena i izdati SSL certifikate.

Popis DNS pružatelja usluga koji se lako integriraju s Let’s Encrypt DNS validacijom može se pronaći na ovaj link .

Popis Let’s Encrypt ACME klijenata

Klijenti Let’s Encrypt nazivaju se i ACME klijenti. ACME je kratica za Automatic Certificate Management Environment. ACME je protokol za automatizaciju interakcije između računala/poslužitelja i autoriteta za izdavanje certifikata (tj. Let’s Encrypt).

Najpopularniji Let’s Encrypt ACME klijenti su:

• Certbot
• acme.sh
• lego lego
• Posh-ACME

Promjena DNS poslužitelja naziva iz registra vaše domene

Ako registrar vaše domene nije na popisu pružatelja DNS usluga koji se lako integriraju s Let’s Encrypt, možete koristiti CloudFlare ili druge pružatelje DNS usluga treće strane. Sve što trebate učiniti je promijeniti DNS poslužitelj imena vaše domene s nadzorne ploče vašeg registra domene na DNS poslužitelj imena treće strane pružatelja DNS usluga kojeg želite koristiti.

Pokazali smo vam postupak promjene DNS poslužitelja imena (u CloudFlareov DNS poslužitelj) za jednu od naših domena s nadzorne ploče/web stranice našeg registrara domena (gdje smo registrirali naziv naše domene) na sljedećoj snimci zaslona. Postupak bi trebao biti sličan za vaš registar domene. Za više informacija pročitajte dokumentaciju svog registrara domene ili ga kontaktirajte.

Prednosti provjere valjanosti Let’s Encrypt DNS-01

Prednosti DNS-01 provjere valjanosti Let’s Encrypt su:

• Ne zahtijeva javnu/internetski dostupnu IP adresu ili web poslužitelj.
• Možete ga koristiti za izdavanje SSL certifikata za nazive domena sa zamjenskim znakovima (tj. *.nodekite.com, *.linuxhint.com).
• Dobro funkcionira za više web poslužitelja.

Nedostaci Let’s Encrypt DNS-01 Validacije

Iako postoje mnoge prednosti provjere valjanosti Let’s Encrypt DNS-01, postoje i neki nedostaci:

• Da bi provjera valjanosti DNS-01 radila, trebate držati API ključ/token vašeg pružatelja DNS usluge na poslužitelju koji će let’s Encrypt klijent koristiti za stvaranje TXT zapisa na DNS poslužitelju za provjeru valjanosti DNS-01. Budući da se API ključ/token čuva na poslužitelju, ako je poslužitelj hakiran, postoji mogućnost da će API ključ/token biti ugrožen.
• Nakon što Let’s Encrypt klijent doda TXT zapis na DNS poslužitelju, potrebno je neko vrijeme da se promjene prenesu na druge DNS poslužitelje imena širom svijeta. Klijent Let’s Encrypt treba pričekati da se promjene prošire na uobičajene DNS poslužitelje imena širom svijeta kako bi potvrdio vlasništvo nad domenom. Ako vaš pružatelj DNS usluge ne pruži vrijeme propagacije DNS-a u API-ju, klijent Let’s Encrypt neće znati koliko dugo treba čekati da se promjene DNS-a prošire na druge poslužitelje imena širom svijeta. U tom slučaju, DNS provjera valjanosti može isteći, a Let’s Encrypt možda neće uspjeti izdati SSL certifikat.

Zaključak

U ovom smo članku raspravljali o izazovu Let’s Encrypt DNS-01 i zašto ga koristiti umjesto zadanog izazova HTTP-01 za provjeru vlasništva naziva domene. Također smo razgovarali o zahtjevima za prolazak izazova Let’s Encrypt DNS-01 za dobivanje Let’s Encrypt SSL certifikata. Naveli smo pružatelje DNS usluga koji se dobro integriraju s Let’s Encrypt kao i Let’s Encrypt ACME klijente koje možete koristiti za izvođenje DNS provjere sa svog računala/poslužitelja. Na kraju smo razgovarali o prednostima i nedostacima provjere valjanosti Let’s Encrypt DNS.

Reference:

• Vrste izazova – Let’s Encrypt
• DNS pružatelji usluga koji se lako integriraju s Let’s Encrypt DNS validacijom – Issuance Tech – Let’s Encrypt podrška zajednice
• Okruženje za automatsko upravljanje certifikatima – Wikipedia
• Certbot
• GitHub – acmesh-official/acme.sh: čista Unix shell skripta koja implementira ACME klijentski protokol
• Instalacija :: Let’s Encrypt klijent i ACME biblioteka napisani u Go.
• Početna – Posh-ACME