acme.sh DNS验证问题排查与解决方案

问题背景

在使用acme.sh进行DNS验证时，用户遇到了一个典型的问题：虽然成功添加了TXT记录，但验证过程却始终失败。具体表现为某些DNS服务无法正确解析新添加的记录，而其他DNS服务却能立即识别。

问题分析

通过深入分析，我们发现这个问题涉及多个技术层面：

1. DNS传播延迟：不同DNS服务商的缓存更新时间不同，某些服务的更新速度明显慢于其他服务
2. 验证机制：acme.sh默认会使用公共DNS服务验证记录是否存在
3. 历史记录干扰：域名之前在其他注册商处遗留的旧记录影响了验证过程

解决方案

方法一：切换DNS验证服务

acme.sh支持通过环境变量DOH_USE选择不同的DNS验证服务：

• 1：服务商A（默认）
• 2：服务商B
• 3：服务商C
• 4：服务商D

实践证明，某些DNS服务的更新速度更快，可以显著减少等待时间。

方法二：调整等待时间

使用--dnssleep参数可以控制等待DNS记录传播的时间：

acme.sh --issue --dnssleep 300

这会让脚本等待300秒后再继续验证。对于某些DNS服务商，可能需要更长的等待时间。

方法三：彻底禁用DNS检查

对于某些特殊情况，可以使用：

acme.sh --issue --dnssleep 0

这会跳过等待阶段，但需要确保DNS记录已经正确传播。

最佳实践建议

1. 优先使用更新快的DNS服务：通过设置export DOH_USE=2可以获得更快的验证速度
2. 合理设置等待时间：根据DNS服务商的特点，设置适当的dnssleep值
3. 检查历史记录：确保没有旧DNS记录干扰验证过程
4. 手动验证：在自动化流程前，先用dig或nslookup等工具手动验证记录是否存在

问题根源

最终发现问题的根本原因是域名之前在旧注册商处遗留的旧记录。这些记录虽然已经不再使用，但仍然存在于某些DNS缓存中。联系原注册商清理这些记录后，验证过程恢复正常。

总结

DNS验证是SSL证书申请过程中的关键环节，理解其工作原理和常见问题有助于快速定位和解决问题。通过合理配置acme.sh参数和了解不同DNS服务商的特点，可以显著提高证书申请的成功率和效率。