Domæner uden DNS-API

Gør domænet klar uden en API-nøgle til jeres DNS.

Domænet ligger hos en udbyder uden DNS-API

AutoDNS (CNAME) virker hos alle DNS-udbydere. I opretter en fast CNAME viderestilling, og valideringen går gennem sslbrain Cloud (EU).

Det skal I bruge

Navnene, certifikatet skal dække.
Adgang til at oprette DNS-poster hos udbyderen.

Opret den faste DNS-post

Åbn Udstedelse › Domæner, og klik på Gør klar ved domænet.
Kopiér den viste CNAME-post til jeres DNS. Der skal være én post pr. navn; domænet og dets wildcard bruger samme post. Se navn og værdi i trin 6.
Skriv navnene i domænetesten, og klik på Tjek domæne. Lad CNAME-posten blive stående til fornyelserne.

Kontrollér, at det virker

Domænetesten viser Klar til certifikat. I kan nu vælge certifikatkilde og oprette installationsplanen.

Hvis det fejler

Testen viser forkert eller manglende CNAME → ret posten efter værdien under Gør klar. Se fejlfinding i trin 6.
Appliancen kan ikke nå sslbrain Cloud → kontrollér forbindelsen under første opsætning.
I skal ændre poster på jeres egen DNS-server → brug oplysningerne til jeres egen DNS-server nedenfor.
En DNS-API-adgang fejler → åbn den under Servere › Adgange. Brug Test adgang for en REST-udbyder. RFC 2136 og script testes ved udstedelsen; læs resultatet i kørslen under Installationsplaner › Kørsler.

Når I vil opdatere jeres egen DNS-server

En DNS-server som BIND kan opdateres med nsupdate efter RFC 2136. Appliancen skal kunne nå serveren. TSIG-nøglen skal have ret til at oprette og slette valideringsposterne, og en offentlig CA skal kunne læse dem i offentlig DNS.

Oprettelsesformularen viser kun indbyggede udbydere. En ejer åbner Udstedelse › Domæner › DNS-udbydere › Tilføj DNS-udbyder, giver adgangen et Navn, vælger Hetzner DNS og skriver en midlertidig værdi i Hetzner DNS API Token. Klik på Test og gem, derefter Gem alligevel, når testen fejler.

Åbn adgangen under Servere › Adgange. Vælg native (RFC 2136 nsupdate) under Executor adapter, udfyld felterne nedenfor og Zone-bindinger (en pr linje), og klik på Gem. Det midlertidige token bruges ikke af denne adapter.

Felt	Indhold
Nameserver (server)	DNS-serverens navn eller adresse
Zone	Zonen, fx `example.dk`
TSIG algoritme	Fx `hmac-sha256`, som er standard
TTL (sekunder)	5 til 86400, standard 60
Brugernavn	TSIG-nøglens navn
Kodeord / Nøgle	TSIG-nøglens hemmelighed i base64

Når udbyderen har et API, der mangler på listen

En ejer giver adgangen et Navn og vælger Ny custom REST DNS-udbyder… under DNS-udbyder i oprettelsesformularen. Brug udbyderens API-dokumentation til felterne:

Afsnit	Det skal beskrives
Udbyderen	Navn, beskrivelse og Base-URL med HTTPS på en offentlig adresse
Login	Auth-type og de tilhørende headers eller query-parametre
Zoner	Sti til zonelisten og JSON-paths til listen, zone-id og zonenavn
Opret record	Metode, sti, JSON-body og TTL
Slet record	Ét DELETE-kald med postens ID eller opslag af ID før sletning

Stier og body kan bruge {zone_id}, {zone}, {name}, {fqdn}, {type}, {value} og {ttl}. Sletning kan også bruge {record_id}. En JSON-path skrives med punktum, fx data.records. Udfyld adgangsoplysningerne, brug Test adgang, og klik på Gem.

Appliancen kalder selv udbyderens API. Ændrer I beskrivelsen, gælder det alle adgange, der bruger den.

Når valideringen kræver et script

Læg et eksekverbart script i /data/dns-scripts/ på appliancen. På en virtuel appliance er mappen /opt/sslbrain/data/dns-scripts/ på værten; filerne kan lægges ind via konsollens root-shell. Ved Docker ligger mappen på volumen monteret som /data. Brug chmod 755 på filen.

Opret adgangen som beskrevet for RFC 2136. Vælg derefter script under Executor adapter, og udfyld Sti til operator-script. Timeout er som standard 60 sekunder og kan sættes til 5 til 300 sekunder.

Miljøvariabel	Indhold
`SSLBRAIN_DNS_ACTION`	`create` eller `remove`
`SSLBRAIN_DNS_RECORD_NAME`	Postens navn
`SSLBRAIN_DNS_RECORD_TYPE`	Postens type
`SSLBRAIN_DNS_RECORD_VALUE`	Postens værdi
`SSLBRAIN_DNS_FQDN`	Navnet, der valideres
`SSLBRAIN_DNS_AUTODNS_TARGET`	Appliancens CNAME-mål
`SSLBRAIN_DNS_REQUIREMENT_ID`	Valideringens id, når det findes
`SSLBRAIN_DNS_USERNAME`	Brugernavnet fra adgangen
`SSLBRAIN_DNS_SECRET_FILE`	Fil med hemmeligheden, med filrettigheder 0600

Exit-kode 0 betyder udført, 2 betyder udført med advarsel, og alle andre koder betyder fejl. Hemmeligheden gives gennem filen og står ikke på kommandolinjen.