Nous utilisons deux fournisseurs DNS pour la redondance. Depuis l'attaque DDOS DynDNS de 2016, je m'attends à ce que nous ne soyons pas les seuls à pratiquer cela.
Je tente d'utiliser le certbot Let's Encrypt avec le défi DNS. Le fait d'avoir deux fournisseurs DNS semble poser un problème. Est-ce que les deux fournisseurs DNS doivent être mis à jour avec des enregistrements TXT identiques dans le cadre du processus de défi ?
La vraie question est, comment l'autorité de certification (CA) ACME de Let's Encrypt valide-t-elle les entrées TXT DNS ? Interroge-t-elle simplement le DNS public comme le ferait n'importe quel client, ou interroge-t-elle le fournisseur DNS spécifique qui correspond au plugin certbot que j'utilise ? Je soupçonne la première option.
J'ai essayé de créer un certificat en n'utilisant qu'un seul des plugins. Les entrées TXT ont été créées, mais la validation a échoué. Je suppose que je devrai mettre à jour les deux fournisseurs DNS (ou trouver comment lier les deux fournisseurs pour qu'ils synchronisent les changements).
La documentation ne semble pas indiquer qu'il est possible d'utiliser plusieurs plugins du même type, bien que je ne l'ai pas encore essayé. Un de mes fournisseurs exige que je fasse une mise à jour pour accéder à leur API.
S'il n'est pas possible de chaîner plusieurs plugins d'authentification, alors je pense que ma seule option pour le renouvellement automatisé est d'utiliser les pre- et post-hooks avec un script personnalisé pour modifier les deux fournisseurs DNS.
J'apprécierais une confirmation avant d'entreprendre le travail et les dépenses nécessaires (ou de choisir de gérer manuellement le processus de renouvellement).
EDIT : Je suis conscient que StackExchange a écrit et publié son propre outil de mise à jour DNS open-source, dnscontrol, qui pourrait être utilisé dans des scripts pre- et post-hook. Cependant, un de nos fournisseurs n'est pas supporté.
