Let's encrypt 签发和更新证书都必须要把域名的 A 记录解析到主机， CDN 隐藏 IP 后，如何方便操作？
hzqim 2017-03-21 10:42:18 +08:00 3605 次点击这是一个创建于 3127 天前的主题，其中的信息可能已经有所发展或是发生改变。
如果暂停隐藏，更新后再恢复隐藏，不但麻烦，还降低了安全性。
 | 1 seerhut 2017-03-21 10:47:36 +08:00  1 我用的 manual 模式，向 letsencrypt 提交 csr 后， le 会要求你在指定路径放一个指定文件，他通过域名去获取，对于你来说只要在源站放上这个文件，然后推给 cdn 确保各地都能取到就行了吧 |
 | 2 ak47iej 2017-03-21 10:54:44 +08:00 1 acme.sh 有 DNS 认证模式的，支持挺多 DNS 供应商的，它直接在 DNS 加 txt 记录做认证，不用改 A 记录 |
 | 3 hzqim OP |
 | 5 dongoo 2017-03-21 11:55:03 +08:00 via Android 1 并不用一定要 A 解析，只要确保生成的文件被 cdn 拉去，且能通过域名访问到就通过验证了。 |
 | 6 RqPS6rhmP3Nyn3Tm 2017-03-21 11:56:06 +08:00 1 用 dns 方式，简单很多 |
 | 8 geeklian 2017-03-21 12:32:12 +08:00 via Android 1 话说，既然用了 cdn ，为啥还要服务器更新证书。 cdn 和服务器间的通信不是都无视证书有效性的么 |
 | 9 msg7086 2017-03-21 12:38:58 +08:00 1 为什么必须要解析 A 记录？不是啥都不用做直接在目录下生成 challenge 以后过认证就好了吗？ |
 | 10 ryd994 2017-03-21 12:41:36 +08:00 via Android 1 只要 CDN 通 HTTP 就能用 我 HTTP ，除了 acme 目录，其他跳 https 除了第一次 Nginx 没证书会报错需要先把 https 服务注释掉以外，今后续签都是自动的啊 嗯专门写了段通用配置直接 include |
 | 11 neilp 2017-03-21 13:40:48 +08:00 1 如果用的 web 方式验证, 只要确保 服务器的文件能被 cdn 拉取就好了, 跟你是不是暴露真实 ip 没有关系. 当然如果能用 dns api 验证也是极好的. |
Select Language