Let's Encrypt 的 DNS 验证是不是这几天出问题了

[pubby]

dnspod 上的域名始终是 Verify error:DNS problem: SERVFAIL looking up CAA for....

[msg7086]

试过用中国以外国家的 DNS 吗？

[pubby]

@msg7086 试过 aliyun 的，有几个正常，有些也报这个错

[pubby]

现在干脆报这个错了
Challenge error: An error occurred while processing your request.
Reference #179.5fe82d17.1522676619.342eaac5

用的 acme.sh

几十个域名续期，已经折腾好几天了

总感觉是 Let's 那边验证服务器这几天在抽风，这边记录都写进去了

[msg7086]

可以尝试一下这种方法： https://sb.sb/blog/linux-lets-encrypt-wildcard-ssl/

[pubby]

@msg7086 按照这个办法，新签的可以了，但是续签的依然不行，改 domain.conf 配置文件加入了 Le_ChallengeAlias='=@.acme.example.com,' 了的

同样的错误信息 host.example.org:Verify error:DNS problem: SERVFAIL looking up CAA for host.example.org

已经新加了 CNAME _acme-challenge.host.example.org -> acme.example.com.

[msg7086]

你可以试着先本地测试一下 CAA 记录。

dig host.example.org caa

[pubby]

@msg7086 2 个月后的今天又有几个域名遇到同样问题，终于找到原因了

要验证 example.com 那么 @ 不能是 CNAME 记录
要验证 sub.example.com 那么 sub 不能是 CNAME 记录
否则怎么都通不过验证，domain-alias / challenge-alias 也不行

[msg7086]

@pubby 可以 CNAME 的，在 CNAME 指向的域名设置就行了。

[pubby]

@msg7086 cname 指向的域名那边具体需要设置些什么呢。

以前用了一年多确实可以的，奇了怪

[msg7086]

@pubby CNAME 是别名。
比如 a CNAME 到 b，那么任何 a 的记录都是到 b 域名取的。也就是说，CNAME 以后，CAA 记录也好 MX 记录也好，设置在 b 域名上的记录才对 a 生效。