Secara lalai, Let’s Encrypt menggunakan cabaran HTTP-01 untuk mengesahkan pemilikan. Cabaran HTTP-01 meletakkan fail pada Webroot pelayan web anda dan menggunakan nama DNS pelayan web untuk mengambil fail tersebut. Jika fail boleh diambil dari internet, kuasa nama domain disahkan dan sijil SSL dikeluarkan. Itu bagus untuk kebanyakan pelayan dan pengguna rumah yang mampu membeli alamat IP awam daripada pembekal perkhidmatan Internet (ISP) mereka.
Tetapi, bagaimana jika anda ingin menggunakan sijil Let’s Encrypt SSL untuk nama domain rangkaian rumah anda atau rangkaian peribadi/dalaman? Nah, dalam kebanyakan rangkaian rumah, mendapatkan sijil Let's Encrypt SSL adalah satu cabaran kerana kemungkinan besar, ISP anda tidak akan memberi anda alamat IP awam. Jadi, anda tidak akan dapat melepasi cabaran Let's Encrypt HTTP-01 (kerana komputer/pelayan anda tidak boleh diakses dari internet).
Dalam kes ini, anda boleh menggunakan cabaran Let's Encrypt DNS-01 untuk mendapatkan sijil SSL untuk rangkaian rumah/dalaman anda. Dalam kaedah ini, Let's Encrypt menambah rekod DNS TXT untuk 'subdomain _acme-challenge.yourdomain.xyz' pada pelayan DNS anda dan menyemak sama ada rekod DNS TXT tersedia daripada Internet. Jika rekod TXT sepadan, anda disahkan sebagai pemilik domain dan Let's Encrypt mengeluarkan sijil SSL.
Untuk cabaran Let’s Encrypt DNS-01 berfungsi dan memperbaharui sijil SSL secara automatik, anda mesti menggunakan penyedia perkhidmatan DNS (iaitu CloudFlare, DigitalOcean) yang mendedahkan API yang boleh digunakan untuk menambah/mengalih keluar rekod TXT pada pelayan DNS.
Jika pendaftar DNS anda (tempat anda mendaftarkan nama domain) tidak mempunyai sokongan untuk perkhidmatan tersebut, anda boleh menggunakan pembekal perkhidmatan DNS pihak ketiga. Apa yang anda perlu lakukan ialah menukar alamat pelayan nama DNS domain anda daripada pelayan DNS pendaftar DNS anda kepada alamat pelayan nama DNS pembekal perkhidmatan DNS pihak ketiga yang anda inginkan.
Topik Kandungan:
- Senarai Penyedia DNS yang Mudah Bersepadu dengan Let's Encrypt DNS Validation
- Senarai Klien Let's Encrypt ACME
- Menukar Pelayan Nama DNS daripada Pendaftar Domain Anda
- Kelebihan Let’s Encrypt DNS-01 Validation
- Kelemahan Let’s Encrypt DNS-01 Validation
- Kesimpulan
- Rujukan
Senarai Penyedia DNS yang Mudah Bersepadu dengan Let's Encrypt DNS Validation
Komuniti Let's Encrypt disusun a senarai penyedia DNS yang mendedahkan beberapa jenis API untuk menambah/mengalih keluar rekod DNS secara automatik supaya pelanggan Let’s Encrypt boleh mengesahkan nama domain dan mengeluarkan sijil SSL.
Senarai penyedia DNS yang disepadukan dengan mudah dengan pengesahan DNS Let’s Encrypt boleh didapati di pautan ini .
Senarai Klien Let's Encrypt ACME
Pelanggan Let's Encrypt juga dipanggil pelanggan ACME. ACME bermaksud Persekitaran Pengurusan Sijil Automatik. ACME ialah protokol untuk mengautomasikan interaksi antara komputer/pelayan dan pihak berkuasa sijil (iaitu Let's Encrypt).
Pelanggan Let's Encrypt ACME yang paling popular ialah:
Menukar Pelayan Nama DNS daripada Pendaftar Domain Anda
Jika pendaftar domain anda tiada dalam senarai penyedia DNS yang disepadukan dengan mudah dengan Let's Encrypt, anda boleh menggunakan CloudFlare atau penyedia perkhidmatan DNS pihak ketiga yang lain. Apa yang anda perlu lakukan ialah menukar pelayan nama DNS domain anda daripada papan pemuka pendaftar domain anda kepada pelayan nama DNS pembekal perkhidmatan DNS pihak ketiga yang anda mahu gunakan.
Kami menunjukkan kepada anda proses menukar pelayan nama DNS (kepada pelayan DNS CloudFlare) untuk salah satu domain kami daripada papan pemuka/tapak web pendaftar domain kami (tempat kami mendaftarkan nama domain kami) dalam tangkapan skrin berikut. Prosesnya sepatutnya serupa untuk pendaftar domain anda. Untuk mendapatkan maklumat lanjut, baca dokumentasi pendaftar domain anda atau hubungi mereka.
Kelebihan Let’s Encrypt DNS-01 Validation
Kelebihan pengesahan DNS-01 Let's Encrypt ialah:
- Ia tidak memerlukan alamat IP awam/boleh diakses internet atau pelayan web.
- Anda boleh menggunakannya untuk mengeluarkan sijil SSL untuk nama domain kad bebas (iaitu *.nodekite.com, *.linuxhint.com).
- Ia berfungsi dengan baik untuk berbilang pelayan web.
Kelemahan Let’s Encrypt DNS-01 Validation
Walaupun terdapat banyak kelebihan pengesahan Let’s Encrypt DNS-01, terdapat juga beberapa kelemahan:
- Untuk pengesahan DNS-01 berfungsi, anda perlu menyimpan kunci/token API pembekal perkhidmatan DNS anda pada pelayan yang akan digunakan oleh klien Let’s Encrypt untuk mencipta rekod TXT pada pelayan DNS untuk pengesahan DNS-01. Memandangkan kunci/token API disimpan pada pelayan, jika pelayan digodam, terdapat kemungkinan kunci/token API akan terjejas.
- Selepas klien Let’s Encrypt menambah rekod TXT pada pelayan DNS, ia mengambil sedikit masa untuk menyebarkan perubahan kepada pelayan nama DNS lain di seluruh dunia. Pelanggan Let's Encrypt perlu menunggu perubahan disebarkan kepada pelayan nama DNS biasa di seluruh dunia untuk mengesahkan pemilikan domain. Jika pembekal perkhidmatan DNS anda tidak menyediakan masa penyebaran DNS dalam API, klien Let’s Encrypt tidak akan tahu berapa lama untuk menunggu perubahan DNS disebarkan ke pelayan nama lain di seluruh dunia. Dalam kes itu, pengesahan DNS mungkin tamat masa, dan Let's Encrypt mungkin gagal mengeluarkan sijil SSL.
Kesimpulan
Dalam artikel ini, kami membincangkan cabaran Let's Encrypt DNS-01 dan mengapa menggunakannya mengatasi cabaran HTTP-01 lalai untuk mengesahkan pemilikan nama domain. Kami juga membincangkan keperluan untuk melepasi cabaran Let’s Encrypt DNS-01 untuk mendapatkan sijil SSL Let’s Encrypt. Kami menyenaraikan penyedia perkhidmatan DNS yang berintegrasi dengan baik dengan Let’s Encrypt serta klien Let’s Encrypt ACME yang boleh anda gunakan untuk melaksanakan pengesahan DNS daripada komputer/pelayan anda. Akhir sekali, kami membincangkan kebaikan dan keburukan pengesahan DNS Let's Encrypt.
Rujukan:
- Jenis Cabaran - Mari Sulitkan
- Pembekal DNS yang mudah menyepadukan dengan pengesahan DNS Let’s Encrypt – Teknologi Terbitan – Sokongan Komuniti Let’s Encrypt
- Persekitaran Pengurusan Sijil Automatik – Wikipedia
- Certbot
- GitHub – acmesh-official/acme.sh: Skrip shell Unix tulen yang melaksanakan protokol klien ACME
- Pemasangan :: Mari Sulitkan klien dan pustaka ACME yang ditulis dalam Go.
- Rumah – Posh-ACME