amh - AMSSL证书管理 使用DNS接口验证失败了？

Question

AMSSL证书管理 使用DNS接口验证失败了

使用文件验证失败,使用DNS验证也是失败,奇怪了.
请老师给分析一下.

[amssl-3.8 admin]

[OK] amssl-3.8 is already installed.
configure arguments: --prefix=/usr/local/nginx-1.24 --user=www --group=www --with-http_ssl_module --with-openssl=/home/usrdata/nginx-1.24/openssl-1.1.1w --with-http_gzip_static_module --with-http_v2_
module --with-threads --without-mail_pop3_module --without-mail_imap_module --without-mail_smtp_module
e_1-site_2-site_2-lessl:Alidns-dns[DNS_GetRecordList]...[DNS_CreateRecord]...[domain_result]study.onext.top ...{
"type": "dns-01",
"url": "https://acme-v02.api.letsencrypt.org/acme/chall-v3/370743768377/tNcikQ",
"status": "invalid",
"validated": "2024-06-30T07:36:00Z",
"error": {
"type": "urn:ietf:params:acme:error:dns",
"detail": "DNS problem: looking up TXT for _acme-challenge.www.onext.top: DNSSEC: DNSKEY Missing",
"status": 400
},
"token": "HoLHPcrOfm3nAOi5ig6TpBi2c7UZta9xEGPHSdQDTc0"
}E105.(Authz-Error)
}E105.(Authz-Error)

Answer 1

报错DNSSEC: DNSKEY Missing" 应是查验DNSKEY环节问题，DNSKEY要根记录校验，
.top拒绝letsencrypt查询，官方有回应会与.top注册局处理。

最近.top域名dns方式申请letsencrypt证书都有问题。
.top域名建议先换文件方式申请。

Answer 2

从您提供的错误信息来看，AMSSL（可能是指某种自动管理SSL证书的脚本或系统，而非一个标准或知名的服务）在尝试使用DNS验证来颁发Let's Encrypt证书时遇到了问题。错误指出在DNS查询时遇到了与DNSSEC（域名系统安全扩展）相关的问题。

错误信息中的关键部分是：

"detail": "DNS problem: looking up TXT for _acme-challenge.www.onext.top: DNSSEC: DNSKEY Missing",

这表明系统在尝试为_acme-challenge.www.onext.top这个子域名查找TXT记录时，因为DNSSEC的原因而失败了。DNSSEC 是一种安全机制，它允许DNS查询被验证，以确保返回的数据没有被篡改。

以下是可能的原因和解决方案：

1. DNSSEC 未正确配置：

   • 您的DNS提供商可能没有完全支持DNSSEC，或者DNSSEC的配置存在问题。
   • 您可能需要联系您的DNS提供商（在您的情况下是阿里云Alidns），并询问他们DNSSEC的状态和配置。

2. TXT记录未正确添加：

   • 在使用DNS验证时，您需要在DNS中为一个特定的子域名（如_acme-challenge.www.onext.top）添加一个TXT记录。这个记录包含了Let's Encrypt需要的验证信息。
   • 确保这个TXT记录已经被正确添加，并且没有拼写错误。

3. 等待DNS传播：

   • 即使您已经添加了TXT记录，也可能需要一些时间来传播到全球的DNS系统。
   • 在某些情况下，您可能需要等待几分钟到几小时来让更改生效。

4. 检查防火墙或安全组设置：

   • 有时，防火墙或安全组设置可能会阻止对DNS的某些查询。
   • 确保您的服务器或DNS提供商的安全设置不会阻止这些必要的查询。

5. 检查Let's Encrypt的状态和限制：

   • Let's Encrypt有自己的速率限制和错误处理机制。
   • 如果您在短时间内多次尝试验证，可能会遇到错误。等待一段时间后再试可能有助于解决问题。

6. 使用其他验证方法：

   • 如果DNS验证持续失败，您可以考虑使用文件验证或其他Let's Encrypt支持的验证方法。

7. 更新AMSSL或相关工具：

   • 有时，错误可能是由于您使用的AMSSL或相关工具的版本过旧或存在bug。
   • 检查是否有可用的更新，并尝试更新到最新版本。

最后，请注意，在处理与SSL/TLS和DNS相关的问题时，一定要谨慎操作，并确保您的网站和应用程序的安全性。如果您不确定如何操作，最好咨询专业的IT人员或您的DNS提供商的支持团队。