Let's encrypt 签发和更新证书都必须要把域名的 A 记录解析到主机， CDN 隐藏 IP 后，如何方便操作？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

› Certbot 使用文档

› Dehydrated

› Stay.live 证书有效期监控

› HTTP Strict Transport Security

› OpenSSL 官网

› Qualys SSL Test

› 证书链补全工具

› 在线 CSR 生成工具

› SSL 云监控

› What's My Chain Cert?

› Certificate Search by Comodo

这是一个创建于 2809 天前的主题，其中的信息可能已经有所发展或是发生改变。

如果暂停隐藏，更新后再恢复隐藏，不但麻烦，还降低了安全性。

隐藏

CDN

encrypt

let's

11 条回复 • 2017-03-21 13:40:48 +08:00

seerhut

2017-03-21 10:47:36 +08:00

我用的 manual 模式，向 letsencrypt 提交 csr 后， le 会要求你在指定路径放一个指定文件，他通过域名去获取，对于你来说只要在源站放上这个文件，然后推给 cdn 确保各地都能取到就行了吧

ak47iej

2017-03-21 10:54:44 +08:00

acme.sh 有 DNS 认证模式的，支持挺多 DNS 供应商的，它直接在 DNS 加 txt 记录做认证，不用改 A 记录

hzqim

2017-03-21 11:03:12 +08:00

@seerhut 谢谢解答。
已经通过 standalone 或者 webroot 模式签发的证书，能通过 manual 模式来更新吗？
还是要删除现在的证书，重新通过 manual 模式生成新证书？

srlp

2017-03-21 11:07:54 +08:00 via iPhone

@hzqim 都可以，实际上更新证书就是换证书

dongoo

2017-03-21 11:55:03 +08:00 via Android

并不用一定要 A 解析，只要确保生成的文件被 cdn 拉去，且能通过域名访问到就通过验证了。

RqPS6rhmP3Nyn3Tm

2017-03-21 11:56:06 +08:00

用 dns 方式，简单很多

hzqim

2017-03-21 11:57:01 +08:00 via Android

@ak47iej 谢谢解答，另， certbox 能否适用这种方法？

geeklian

2017-03-21 12:32:12 +08:00 via Android

话说，既然用了 cdn ，为啥还要服务器更新证书。

cdn 和服务器间的通信不是都无视证书有效性的么

msg7086

2017-03-21 12:38:58 +08:00

为什么必须要解析 A 记录？不是啥都不用做直接在目录下生成 challenge 以后过认证就好了吗？

ryd994

2017-03-21 12:41:36 +08:00 via Android

只要 CDN 通 HTTP 就能用
我 HTTP ，除了 acme 目录，其他跳 https
除了第一次 Nginx 没证书会报错需要先把 https 服务注释掉以外，今后续签都是自动的啊
嗯专门写了段通用配置直接 include

neilp

2017-03-21 13:40:48 +08:00

如果用的 web 方式验证, 只要确保服务器的文件能被 cdn 拉取就好了, 跟你是不是暴露真实 ip 没有关系.

当然如果能用 dns api 验证也是极好的.