UI 網站 » nginx

DNS-01 考驗

admin — Sat, 24 May 2025 01:31:16 +0000

#https://letsencrypt.org/zh-tw/docs/challenge-types/
這個考驗會請你在網域的 TXT 紀錄中，放一段特定的文字，來證明你擁有此網域的 DNS 控制權。DNS-01 的設定步驟會比 HTTP-01 困難，但是它可以在 HTTP-01 無法使用的情況下完成驗證。它也允許你申請萬用憑證。

在 Let’s Encrypt 給予 ACME 客戶端 token 後，客戶端會拿 token 與帳號金鑰進行運算，並產生一段文字，請將這段文字利用 TXT 紀錄放在 DNS 的主機名稱 _acme-challenge. 底下。

我們認為自動化申請和更新憑證非常重要，只有當你的 DNS 業者有提供 API 讓你自動更新憑證時，使用 DNS-01 才有意義。我們的社群整理了一份有提供 API 的 DNS 業者清單。你的 DNS 業者可能與你註冊網域業者（你購買網域的公司）是同一家，但也有可能不一樣。如果你想要更換你的 DNS 業者，你只需要在網域註冊商的 DNS 紀錄中做一點變更，而不需要等待你的網域名稱到期。

請注意，將開啟所有權限的 API 金鑰放在網頁伺服器上，如果伺服器被駭客攻擊，可能會造成嚴重的後果。最好的做法是，使用限制權限的 API 金鑰，或是在不同的伺服器上執行 DNS 驗證後，再將憑證複製到你的網頁伺服器。

因為 Let’s Encrypt 在搜尋用於 DNS-01 的 TXT 紀錄時遵循 DNS 標準，你可以使用 CNAME 紀錄或是 NS 紀錄，藉由指派 _acme-challenge 子域名給其他專門用來回應驗證的 DNS。如果你的 DNS 服務商更新紀錄的速度很慢，那麼你也可以使用這個方法，把驗證工作指派給其他速度較快的 DNS。

大部分的 DNS 業者會有"更新時間"，這個時間的長短會決定你的 DNS 紀錄要花多久才會被所有伺服器更新。這個時間很難估算，因為他們通常使用任播 (anycast) 的方式，這表示很多伺服器擁有同一個 IP 位置。根據你在世界上不同的位置，你可能會和不同的 Let’s Encrypt 伺服器溝通（並得到不同回應）。最好的情況是 DNS API 為你提供了自動檢測更新是否完成。如果你的 DNS 業者沒有提供這種 API，你只需要將 ACME 客戶端等待一段的時間（通常超過一小時）來確保在觸發驗證前 DNS 紀錄已經完全更新。

你可以在 DNS 紀錄上為網域名稱提供多個 TXT 紀錄。例如：你想同時驗證萬用憑證和非萬用憑證。需要注意的是，要確保舊的 TXT 紀錄已經被清除，如果回應資料太多，Let’s Encrypt 將會拒絕驗證。

優點：

你可以申請頒發萬用憑證
能替你驗證多個網頁伺服器
缺點：

把 API 金鑰在你的網頁伺服器上會有安全疑慮
你的 DNS 業者可能沒有提供 API
你的 DNS 業者的 API 可能沒有提供 DNS 更新時間的資訊

ACME 驗證方式

admin — Sat, 24 May 2025 01:30:39 +0000

這是現今最常見的一種驗證方式。Let’s Encrypt 給予 ACME 客戶端一個 token，請 ACME 客戶端將包含 token 和帳號金鑰指紋的檔案，放到網頁伺服器中 http:///.well-known/acme-challenge/ 的位置。當 ACME 客戶端通知 Let’s Encrypt 這個檔案已經放置完成，Let’s Encrypt 就會試著取得它（可能會從多個主機嘗試取得數次）。如果我們能從你的網頁伺服器取得檔案並驗證其內容，你就通過了這個考驗，你可以接著向我們申請憑證頒發。如果我們的驗證失敗，你就必須重來一次。

我們驗證 HTTP-01 時，接受最多 10 次重新導向，並且只接受從 “http:” 導向到 “https:” 與通訊埠 80 導向到通訊埠 443，不接受 IP 位址的重新導向。當我們被重新導向到 HTTPS 後，我們不會驗證憑證是否有效（因為驗證的目的是申請有效憑證，所以可能會遇到自簽憑證或是過期憑證）。

HTTP-01 只能只能透過通訊埠 80 來完成；讓 ACME 客戶端使用任意通訊埠進行驗證，可能會導致安全性問題，所以 ACME 標準中不允許這樣的驗證行為。

優點：

在不需要了解設定網域的額外知識下，輕鬆的完成自動驗證
允許主機或服務提供業者透過 CNAME 紀錄申請憑證
適用於多數現成的網頁伺服器
缺點：

如果你的網路服務業者 (ISP) 阻擋通訊埠 80（這種情況很少見，但有些住宅區的 ISP 會這麼做）那麼你就無法使用這個方式驗證
Let’s Encrypt 不允許你使用這種驗證方式頒發萬用憑證
如果你有很多個網頁伺服器，你必須確保驗證檔案在各個伺服器上

synology 反代

admin — Fri, 10 Nov 2023 09:19:06 +0000

synology 反代

https://kb.synology.com/zh-tw/DSM/help/DSM/AdminCenter/application_appportalias?version=6

youtube

https://www.youtube.com/watch?v=ZcuTT8Kaw7k

1.route create port 443
2.nas申請 ddns

windows nginx command

admin — Wed, 01 Mar 2023 05:43:57 +0000

1.start
start nginx.exe
or
nginx.exe

2.stop
nginx.exe -s stop
or
nginx.exe -s quit

3.reload
nginx -s reload

4.reopen log
nginx -s reopen

5. nginx vversion
nginx -v

最後查詢啟動是否成功。
輸入指令：tasklist /fi “imagename eq nginx.exe