win-acme项目中Split Horizon DNS问题的分析与解决方案

问题背景

在win-acme项目(一个Windows证书自动管理工具)的最新版本2.2.7.1621中，用户报告了一个与Split Horizon DNS(也称为split brain DNS)相关的问题。Split Horizon DNS是指内部网络和外部网络使用不同的DNS服务器解析相同的域名，但返回不同的IP地址的技术方案。

问题现象

用户在恢复一台Windows Server 2019/Exchange系统时，尝试使用win-acme获取新证书时遇到了验证失败的情况。具体表现为：

1. 工具默认使用了内部DNS服务器IP进行域名解析
2. 由于内部DNS服务器无法正确解析外部DNS记录，导致DNS-01验证失败
3. 工具在尝试10次后最终失败退出

技术分析

win-acme工具在进行DNS验证时，默认会尝试使用公共DNS服务器进行解析。但在某些情况下，工具会回退到系统配置的DNS服务器。这种情况通常发生在：

1. 公共DNS查询被网络管理员出于安全考虑而阻止
2. 网络配置存在临时性问题
3. 系统DNS设置被优先使用

解决方案

对于遇到类似问题的用户，有以下几种解决方案：

1. 临时修改系统DNS设置：将网络接口的DNS服务器临时更改为公共DNS(如知名DNS服务商的1.1.1.1或8.8.8.8)，完成验证后再改回原设置

2. 手动修改配置文件：编辑win-acme的settings.json文件，在[system]部分指定使用公共DNS服务器地址

3. 检查网络策略：确认内部网络是否允许对外部DNS服务器的查询，必要时调整防火墙规则

最佳实践建议

1. 对于生产环境，建议预先测试证书获取流程
2. 保留完整的日志文件(%programdata%\win-acme目录下)，便于问题诊断
3. 考虑在非关键时段进行证书更新操作，留出故障处理时间
4. 对于关键系统，可考虑预先配置好备用DNS解析方案

总结

Split Horizon DNS环境下的证书管理需要特别注意DNS解析的一致性。win-acme工具虽然设计了自动回退机制，但在特定网络环境下可能需要手动干预。理解工具的工作原理和掌握基本的故障排查方法，可以帮助管理员更高效地完成证书管理工作。