מהו אתגר ה-Let's Encrypt DNS-01 וכיצד להשתמש בו כדי לקבל אישורי SSL?

כברירת מחדל, Let's Encrypt משתמש באתגר HTTP-01 כדי לאמת את הבעלות. אתגר HTTP-01 מציב קובץ ב-Webroot של שרת האינטרנט שלך ומשתמש בשם ה-DNS של שרת האינטרנט כדי להביא את הקובץ. אם ניתן לאחזר את הקובץ מהאינטרנט, הסמכות של שם הדומיין מאומתת ומונפקת תעודת SSL. זה טוב לרוב השרתים והמשתמשים הביתיים שיכולים להרשות לעצמם כתובת IP ציבורית מספק שירותי האינטרנט שלהם (ISP).

אבל, מה אם אתה רוצה להשתמש בתעודות SSL Let's Encrypt עבור שמות הדומיין של הרשת הביתית או הרשת הפרטית/פנימית שלך? ובכן, ברוב הרשתות הביתיות, קבלת תעודת Let's Encrypt SSL היא אתגר מכיוון שסביר להניח ש-ISP שלך לא ייתן לך כתובת IP ציבורית. לכן, לא תוכל לעבור את אתגר Let's Encrypt HTTP-01 (כיוון שהמחשבים/שרתים שלך אינם נגישים מהאינטרנט).

במקרה זה, אתה יכול להשתמש באתגר Let's Encrypt DNS-01 כדי לקבל את אישורי ה-SSL עבור הרשת הביתית/פנימית שלך. בשיטה זו, Let's Encrypt מוסיף רשומת DNS TXT עבור 'subdomain _acme-challenge.yourdomain.xyz' בשרת ה-DNS שלך ובודק אם רשומת DNS TXT זמינה מהאינטרנט. אם רשומת ה-TXT תואמת, אתה מאומת כבעלים של הדומיין ו-Let's Encrypt מנפיק את אישור ה-SSL.

כדי שהאתגר Let's Encrypt DNS-01 יעבוד ויחדש אוטומטית את אישור ה-SSL, עליך להשתמש בספק שירותי DNS (כלומר CloudFlare, DigitalOcean) שחושף API שניתן להשתמש בו כדי להוסיף/להסיר את רשומות ה-TXT בשרת ה-DNS.

אם לרשם ה-DNS שלך (שם רשמת את שם הדומיין) אין תמיכה בשירותים כאלה, תוכל להשתמש בספק שירותי DNS של צד שלישי. כל מה שאתה צריך לעשות הוא לשנות את כתובת שרת ה-DNS של הדומיין שלך משרת ה-DNS של רשם ה-DNS שלך לכתובת שרת ה-DNS של ספק שירותי ה-DNS הרצוי של צד שלישי.

נושא התוכן:

1. רשימת ספקי DNS המשתלבים בקלות עם Let's Encrypt Validation DNS
2. רשימה של לקוחות בוא נצפן ACME
3. שינוי שרת השמות של ה-DNS מרשם הדומיין שלך
4. היתרונות של אימות DNS-01 Let's Encrypt
5. החסרונות של אימות DNS-01 Let's Encrypt
6. סיכום
7. הפניות

רשימת ספקי DNS המשתלבים בקלות עם Let's Encrypt Validation DNS

קהילת Let's Encrypt הידור א רשימה של ספקי DNS שחושפים איזשהו API להוספה/הסרה אוטומטית של רשומות ה-DNS כך שהלקוחות של Let's Encrypt יוכלו לאמת את שמות הדומיין ולהנפיק את תעודות ה-SSL.

ניתן למצוא את רשימת ספקי ה-DNS המשתלבים בקלות עם אימות ה-DNS של Let's Encrypt בכתובת הקישור הזה .

רשימה של לקוחות בוא נצפן ACME

לקוחות Let's Encrypt נקראים גם לקוחות ACME. ACME ראשי תיבות של Automatic Certificate Management Environment. ACME הוא פרוטוקול לאוטומציה של האינטראקציה בין המחשב/שרת לרשות האישורים (כלומר Let's Encrypt).

הלקוחות הפופולריים ביותר של Let's Encrypt ACME הם:

• Certbot
• acme.sh
• לֶגוֹ
• פוש-ACME

שינוי שרת השמות של ה-DNS מרשם הדומיין שלך

אם רשם הדומיינים שלך אינו ברשימת ספקי ה-DNS שמשתלבים בקלות עם Let's Encrypt, אתה יכול להשתמש ב-CloudFlare או בספקי שירותי DNS אחרים של צד שלישי. כל מה שאתה צריך לעשות הוא לשנות את שרת השמות של ה-DNS של הדומיין שלך מלוח המחוונים של רשם הדומיינים שלך לשרת השמות של ה-DNS של ספק שירותי ה-DNS של הצד השלישי שבו אתה רוצה להשתמש.

הראינו לך את התהליך של שינוי שרת השמות של ה-DNS (לשרת ה-DNS של CloudFlare) עבור אחד מהדומיינים שלנו מלוח המחוונים/אתר של רשם הדומיינים שלנו (שם רשמנו את שם הדומיין שלנו) בצילום המסך הבא. התהליך צריך להיות דומה עבור רשם הדומיינים שלך. למידע נוסף, קרא את התיעוד של רשם הדומיינים שלך או פנה אליו.

היתרונות של אימות DNS-01 Let's Encrypt

היתרונות של אימות DNS-01 של Let's Encrypt הם:

• זה לא דורש כתובת IP ציבורית/נגישה לאינטרנט או שרת אינטרנט.
• אתה יכול להשתמש בו כדי להנפיק את אישורי ה-SSL עבור שמות דומיינים בתווים כלליים (כלומר *.nodekite.com, *.linuxhint.com).
• זה עובד היטב עבור שרתי אינטרנט מרובים.

החסרונות של אימות DNS-01 Let's Encrypt

למרות שישנם יתרונות רבים של אימות Let's Encrypt DNS-01, ישנם גם כמה חסרונות:

• כדי שאימות DNS-01 יעבוד, עליך לשמור את מפתח/אסימון ה-API של ספק שירותי ה-DNS שלך בשרת שבו ישתמש לקוח Let's Encrypt כדי ליצור רשומת TXT בשרת ה-DNS לצורך אימות DNS-01. מכיוון שמפתח/אסימון ה-API נשמרים בשרת, אם השרת נפרץ, יש סיכוי שמפתח/אסימון ה-API ייפגע.
• לאחר שהלקוח Let's Encrypt מוסיף רשומת TXT בשרת ה-DNS, לוקח זמן להפיץ את השינויים לשרתי שמות אחרים של DNS ברחבי העולם. לקוח Let's Encrypt צריך להמתין עד שהשינויים יתפשטו לשרתי השמות הנפוצים של DNS ברחבי העולם כדי לאמת את הבעלות על הדומיין. אם ספק שירותי ה-DNS שלך לא מספק את זמן הפצת ה-DNS ב-API, לקוח Let's Encrypt לא יידע כמה זמן לחכות עד שהשינויים ב-DNS יתפשטו לשרתי שמות אחרים ברחבי העולם. במקרה כזה, אימות ה-DNS עלול להגמר, וייתכן של-Let's Encrypt לא יצליח להנפיק אישור SSL.

סיכום

במאמר זה, דנו באתגר Let's Encrypt DNS-01 ומדוע להשתמש בו על פני אתגר HTTP-01 המוגדר כברירת מחדל כדי לאמת את הבעלות על שם דומיין. דנו גם בדרישות להעברת אתגר Let's Encrypt DNS-01 כדי לקבל תעודת Let's Encrypt SSL. פירטנו את ספקי שירותי ה-DNS המשתלבים היטב עם Let's Encrypt וכן את לקוחות Let's Encrypt ACME שבהם אתה יכול להשתמש כדי לבצע את אימות ה-DNS מהמחשב/שרת שלך. לבסוף, דנו ביתרונות ובחסרונות של אימות ה-DNS של Let's Encrypt.

הפניות:

• סוגי אתגרים - בואו להצפין
• ספקי DNS המשתלבים בקלות עם אימות DNS של Let's Encrypt - Issuance Tech - Let's Encrypt Support Community
• סביבת ניהול תעודות אוטומטי – ויקיפדיה
• Certbot
• GitHub - acmesh-official/acme.sh: סקריפט מעטפת יוניקס טהור המטמיע פרוטוקול לקוח ACME
• התקנה :: Let's Encrypt לקוח וספריית ACME שנכתבו ב-Go.
• בית – Posh-ACME