Caddy服务器与deSEC DNS插件在启用ECH功能时的注意事项

近期，Caddy服务器在2.10版本中引入了对Encrypted Client Hello（ECH）功能的支持，这是一项提升TLS握手隐私性的重要技术。然而，部分用户在使用deSEC DNS插件配合Caddy的ECH功能时，意外遭遇了DNS区域数据被清空的问题。本文将深入分析这一现象的成因、影响范围及解决方案，帮助用户安全地部署相关功能。

问题现象与背景

当用户通过Caddy的deSEC插件配置ECH时，插件会尝试自动管理DNS记录以支持ECH的密钥发布。但在某些情况下，插件错误地执行了全区域覆盖操作，而非增量更新，导致除目标ECH记录外的所有DNS记录被删除。这一行为源于插件底层库（libdns/desec）的逻辑缺陷，已在后续提交中修复。

技术原理剖析

1. ECH的DNS依赖
   ECH要求通过HTTPS或SVCB/HTTPS类型的DNS记录发布公钥。Caddy的自动化管理需要插件动态修改这些记录，而deSEC插件的原始实现未正确处理“仅更新特定记录”的场景。

2. 插件工作机制
   早期版本的deSEC插件在执行写操作时，会先获取当前区域的所有记录，合并变更后全量提交。当合并逻辑存在缺陷时（如未保留非目标记录），即会导致数据丢失。

影响范围与应对措施

受影响版本：

• 使用libdns/desec 3cac5c92acccd2af872b3c6e847d817a8e5c2745之前提交的Caddy插件
• 配置了ECH功能且使用deSEC作为DNS提供商的环境

临时解决方案：

1. 暂停通过Caddy管理含关键记录的deSEC区域
2. 手动备份DNS区域文件（deSEC控制台支持导出）
3. 等待插件更新后验证修复版本

最佳实践建议

1. 变更管理策略

   • 在生产环境启用新功能前，先在测试区域验证
   • 使用DNS提供商的版本历史功能（如deSEC的30天记录历史）

2. 备份机制

   # 示例：通过deSEC API定期备份
   curl -X GET "https://desec.io/api/v1/domains/{domain}/rrsets/" \
        -H "Authorization: Token {your_token}" > backup.json
   

3. 更新策略
   关注相关组件的更新通知：

   • Caddy-dns/desec插件需升级至包含libdns修复的版本
   • 验证时检查CHANGELOG中关于"atomic update"或"record preservation"的改进

总结

此次事件揭示了自动化DNS管理中的风险边界——即使成熟工具链的组合也可能因边缘场景引发意外。建议用户：

• 理解工具链中各组件的交互逻辑
• 建立关键基础设施的备份体系
• 通过灰度发布策略降低变更风险

目前相关修复已由社区合并，用户可安全升级至最新版本插件。对于历史数据丢失的情况，可联系deSEC支持团队尝试通过后台快照恢复。