Let's encrypt 签发和更新证书都必须要把域名的 A 记录解析到主机， CDN 隐藏 IP 后，如何方便操作？

› Certificate Search by Comodo

This topic created in 3410 days ago, the information mentioned may be changed or developed.

如果暂停隐藏，更新后再恢复隐藏，不但麻烦，还降低了安全性。

11 replies • 2017-03-21 13:40:48 +08:00

seerhut

Mar 21, 2017

我用的 manual 模式，向 letsencrypt 提交 csr 后， le 会要求你在指定路径放一个指定文件，他通过域名去获取，对于你来说只要在源站放上这个文件，然后推给 cdn 确保各地都能取到就行了吧

ak47iej

Mar 21, 2017

acme.sh 有 DNS 认证模式的，支持挺多 DNS 供应商的，它直接在 DNS 加 txt 记录做认证，不用改 A 记录

hzqim

Mar 21, 2017

@seerhut 谢谢解答。
已经通过 standalone 或者 webroot 模式签发的证书，能通过 manual 模式来更新吗？
还是要删除现在的证书，重新通过 manual 模式生成新证书？

srlp

Mar 21, 2017 via iPhone

@hzqim 都可以，实际上更新证书就是换证书

dongoo

Mar 21, 2017 via Android

并不用一定要 A 解析，只要确保生成的文件被 cdn 拉去，且能通过域名访问到就通过验证了。

RqPS6rhmP3Nyn3Tm

Mar 21, 2017

用 dns 方式，简单很多

hzqim

Mar 21, 2017 via Android

@ak47iej 谢谢解答，另， certbox 能否适用这种方法？

geeklian

Mar 21, 2017 via Android

话说，既然用了 cdn ，为啥还要服务器更新证书。

cdn 和服务器间的通信不是都无视证书有效性的么

msg7086

Mar 21, 2017

为什么必须要解析 A 记录？不是啥都不用做直接在目录下生成 challenge 以后过认证就好了吗？

ryd994

Mar 21, 2017 via Android

只要 CDN 通 HTTP 就能用
我 HTTP ，除了 acme 目录，其他跳 https
除了第一次 Nginx 没证书会报错需要先把 https 服务注释掉以外，今后续签都是自动的啊
嗯专门写了段通用配置直接 include

neilp

Mar 21, 2017

如果用的 web 方式验证, 只要确保服务器的文件能被 cdn 拉取就好了, 跟你是不是暴露真实 ip 没有关系.

当然如果能用 dns api 验证也是极好的.