使用Lego实现跨DNS服务商的Let's Encrypt通配符证书签发方案

在混合DNS环境下管理SSL证书时，开发者常面临不同域名托管在不同DNS服务商的技术挑战。本文介绍如何利用Lego客户端实现跨DNS服务商的通配符证书自动化管理，特别适用于主域名与_acme-challenge子域名分离托管的场景。

核心原理：DNS-01挑战的CNAME重定向机制

Let's Encrypt的DNS-01验证方式允许通过CNAME记录将_acme-challenge子域名的验证请求重定向到其他DNS服务商。这一机制基于RFC标准实现，Lego作为ACME客户端原生支持该特性。其技术要点包括：

1. 域名所有权验证：通过TXT记录验证域名的控制权
2. CNAME解析链：自动追踪CNAME记录直至最终权威DNS
3. 通配符限制：仅支持一级通配符（如*.example.com）

典型部署架构

假设生产环境存在以下域名分布：

• 主域名：example.com（托管在华为云）
• 验证域名：acme-verify.net（托管在阿里云）

需要实现example.com及其子域名的证书自动化签发。

实施步骤详解

1. DNS记录配置

在华为云控制台创建CNAME记录：

_acme-challenge.example.com.    CNAME    _acme-challenge.acme-verify.net.

在阿里云控制台确保：

• acme-verify.net域名已完全托管
• 可自动管理_acme-challenge子域名的TXT记录

2. Lego客户端配置

使用阿里云DNS API进行证书签发：

ALICLOUD_ACCESS_KEY=your_key \
ALICLOUD_SECRET_KEY=your_secret \
lego --email [e-mail] \
     --dns alidns \
     --domains "example.com,*.example.com" \
     run

3. 验证流程

1. Lego向Let's Encrypt申请证书
2. CA服务器查询_acme-challenge.example.com
3. DNS系统返回CNAME指向_acme-challenge.acme-verify.net
4. Lego通过阿里云API设置TXT记录
5. CA验证TXT记录后颁发证书

多域名管理方案

对于需要管理多个主域名的情况：

# 华为云配置
_acme-challenge.site1.com → _acme-challenge.acme-verify.net
_acme-challenge.site2.org → _acme-challenge.acme-verify.net

# Lego命令
lego --domains "site1.com,*.site1.com,site2.org,*.site2.org"

注意事项

1. NS记录委派：也可通过NS记录将_acme-challenge子域完全委派给支持的服务商
2. API权限：确保DNS服务商API具有修改TXT记录的权限
3. 记录传播：注意DNS记录的TTL设置和全球传播时间
4. 通配符层级：不支持多级通配符（如*.*.example.com）

方案优势

1. 统一管理：所有域名的证书通过单一DNS服务商管理
2. 自动化维护：无需手动干预证书续期流程
3. 降低依赖：主域名可继续使用原有DNS服务商
4. 安全隔离：验证域名与实际业务域名分离

这种方案特别适合企业级证书管理、SaaS服务提供商等需要集中管理大量客户域名的场景。通过合理设计DNS架构，可以在不迁移主域名的前提下，实现全自动化的证书生命周期管理。