无法正常申请证书

[Misaka-L]

联系方式

[email protected]

1Panel 版本

v1.9.2

问题描述

一直会卡在 Waiting for DNS record propagation.，即使解析早已经生效（在服务器上 nslookup 上可以查询到 DNS 对应记录）

重现步骤

• 创建 DNSPod DNS 账号与 Let's Encrypt ACME 账号
• 申请一个主域名泛域名，其他域名根域名的证书
• 问题复现

期待的正确结果

正常申请证书，而不是卡在 Waiting for DNS record propagation.

相关日志输出

2023/12/24 04:52:18 开始申请证书,域名 [*.vrczh.com,vrczh.com] 申请方式 [DNS 自动] DNS 账号 [DNSPod] 厂商 [DnsPod]
2023/12/24 04:52:18 [INFO] [*.vrczh.com, vrczh.com] acme: Obtaining bundled SAN certificate
2023/12/24 04:52:18 [INFO] [*.vrczh.com] AuthURL: https://acme-v02.api.letsencrypt.org/acme/authz-v3/***
2023/12/24 04:52:18 [INFO] [vrczh.com] AuthURL: https://acme-v02.api.letsencrypt.org/acme/authz-v3/***
2023/12/24 04:52:18 [INFO] [*.vrczh.com] acme: use dns-01 solver
2023/12/24 04:52:18 [INFO] [vrczh.com] acme: Could not find solver for: tls-alpn-01
2023/12/24 04:52:18 [INFO] [vrczh.com] acme: Could not find solver for: http-01
2023/12/24 04:52:18 [INFO] [vrczh.com] acme: use dns-01 solver
2023/12/24 04:52:18 [INFO] [*.vrczh.com] acme: Preparing to solve DNS-01
2023/12/24 04:52:22 [INFO] [vrczh.com] acme: Preparing to solve DNS-01
2023/12/24 04:52:24 [INFO] [*.vrczh.com] acme: Trying to solve DNS-01
2023/12/24 04:52:24 [INFO] [*.vrczh.com] acme: Checking DNS record propagation using [1.1.1.1:53]
2023/12/24 04:52:29 [INFO] Wait for propagation [timeout: 1h0m0s, interval: 5s]
2023/12/24 04:52:30 [INFO] [*.vrczh.com] acme: Waiting for DNS record propagation.
2023/12/24 04:52:35 [INFO] [*.vrczh.com] acme: Waiting for DNS record propagation.
2023/12/24 04:52:40 [INFO] [*.vrczh.com] acme: Waiting for DNS record propagation.
2023/12/24 04:52:45 [INFO] [*.vrczh.com] acme: Waiting for DNS record propagation.
2023/12/24 04:52:51 [INFO] [*.vrczh.com] acme: Waiting for DNS record propagation.
2023/12/24 04:52:53 [INFO] [prometheus.status.vrczh.org] acme: Waiting for DNS record propagation.
2023/12/24 04:52:56 [INFO] [*.vrczh.com] acme: Waiting for DNS record propagation.
2023/12/24 04:52:59 [INFO] [prometheus.status.vrczh.org] acme: Waiting for DNS record propagation.
2023/12/24 04:53:01 [INFO] [*.vrczh.com] acme: Waiting for DNS record propagation.
2023/12/24 04:53:04 [INFO] [prometheus.status.vrczh.org] acme: Waiting for DNS record propagation.
2023/12/24 04:53:06 [INFO] [*.vrczh.com] acme: Waiting for DNS record propagation.
2023/12/24 04:53:09 [INFO] [prometheus.status.vrczh.org] acme: Waiting for DNS record propagation.

附加信息

环境信息

• 使用 DNSPod DNS 账号+Let's Encrypt ACME 账号申请证书
• DNS 验证方式
• 申请主域名：*.vrczh.com，其他域名：vrczh.com

已经尝试过的解决方案

• 更换服务器 DNS 服务器
• 删除 ACME 账号并重新创建账号
• 更换手动解析方式

服务器 nslookup 结果

root@***:~# nslookup
> set type=TXT
> _acme-challenge.vrczh.com
Server:     1.1.1.1
Address:    1.1.1.1#53

Non-authoritative answer:
_acme-challenge.vrczh.com   text = "z2MfMmtgBoN6euGWvkhfxif42eD7hXTuZcreYmm8ir4"
_acme-challenge.vrczh.com   text = "MA_EoGoS5SJ8CK_tWxBwOJ_AS_xtQj3zJUN9n7kTGhQ"

Authoritative answers can be found from:

[Misaka-L]

另外希望提供一个选项允许传入自定义的参数，方便排故。（如更换 lego 的 DNS 服务器或尝试使用类似于 dns.disable-cp 的参数）

[Misaka-L]

补充：
有时候还会出现以下问题

2023/12/24 05:09:48 [INFO] [*.vrczh.com] acme: use dns-01 solver
2023/12/24 05:09:48 [INFO] [vrczh.com] acme: Could not find solver for: tls-alpn-01
2023/12/24 05:09:48 [INFO] [vrczh.com] acme: Could not find solver for: http-01
2023/12/24 05:09:48 [INFO] [vrczh.com] acme: use dns-01 solver
2023/12/24 05:09:48 [INFO] [*.vrczh.com] acme: Preparing to solve DNS-01
2023/12/24 05:09:49 [INFO] [vrczh.com] acme: Preparing to solve DNS-01
2023/12/24 05:09:51 [INFO] [*.vrczh.com] acme: Cleaning DNS-01 challenge
2023/12/24 05:09:54 [INFO] [vrczh.com] acme: Cleaning DNS-01 challenge
2023/12/24 05:09:56 [WARN] [vrczh.com] acme: cleaning up failed: API call has failed: could not get domains: 记录列表为空 
2023/12/24 05:09:56 [INFO] Deactivating auth: https://acme-v02.api.letsencrypt.org/acme/authz-v3/296811477026
2023/12/24 05:09:56 [INFO] Deactivating auth: https://acme-v02.api.letsencrypt.org/acme/authz-v3/296811477036
2023/12/24 05:09:56 申请  [vrczh.com] 证书失败, error: one or more domains had a problem:
[*.vrczh.com] [*.vrczh.com] acme: error presenting token: API call failed: could not get domains: 记录已经存在，无需再次添加
[vrczh.com] [vrczh.com] acme: error presenting token: API call failed: could not get domains: 记录已经存在，无需再次添加
 

[Misaka-L]

补充：
主域名根域名，其他域名泛域名依然不行

[zhengkunwang223]

Waiting for DNS record propagation 是查看 dns 解析是否生效
最大超时时间一小时
不知道有没有超时的错误？

建议删除掉你的 DNS 的 TXT 解析 ，然后重试，1小时之后查看结果

[iTofu]

类似的问题，阿里云+*域名，来来回回删除/添加任务 + 调调后台解析，多搞几次试好了

[Misaka-L]

Waiting for DNS record propagation 是查看 dns 解析是否生效 最大超时时间一小时 不知道有没有超时的错误？

建议删除掉你的 DNS 的 TXT 解析 ，然后重试，1小时之后查看结果

会超时，手动删除 TXT 解析记录重试无效

[Misaka-L]

目前尝试了直接把 TXT 记录修改为泛域名，一样不行

[Misaka-L]

貌似是 LEGO 库中对 DNS 解析生效校验的实现有问题，但是貌似可以通过添加 --dns.disable-cp (使用 LEGO CLI) 解决。
貌似禁用服务器的 IPv6 也是个解决方案？

go-acme/lego#1406
go-acme/lego#804

[hide-on-bush-lalala]

各位大哥，有什么解决方案吗？

我也碰到了这个问题，而且似乎这个问题从1.7版本就有了，一直有。。。
我没有用泛域名，但是类似"test.vrczh.com"这样的申请证书都无法成功。

同样的dnspod

[zhengkunwang223]

感谢 @Misaka-L 提供的思路
感谢 @hide-on-bush-lalala 提供的 DNSPOD 账号
当前初步定位为 某些 DNS 服务器解析问题
使用 --dns.disable-cp 可以解决这个问题
我们会测试一下 如果不影响现有流程 会在下个版本更新

[StefanZhang]

同样的问题，申请和续期都不行，我是Cloudflare DNS, 错误信息如下：

[WARN] [xxxxx.com] acme: cleaning up failed: cloudflare: failed to find zone xxxxxx.com.: ListZonesContext command failed: Invalid request headers (6003)

[zhengkunwang223]

同样的问题，申请和续期都不行，我是Cloudflare DNS, 错误信息如下：

[WARN] [xxxxx.com] acme: cleaning up failed: cloudflare: failed to find zone xxxxxx.com.: ListZonesContext command failed: Invalid request headers (6003)

论坛置顶有解决方案

[zhengkunwang223]

感谢 @Misaka-L 提供的思路 感谢 @hide-on-bush-lalala 提供的 DNSPOD 账号 当前初步定位为 某些 DNS 服务器解析问题 使用 --dns.disable-cp 可以解决这个问题 我们会测试一下 如果不影响现有流程 会在下个版本更新

看了一下腾讯云的文档 和 lego 的文档
DNSPOD API 不再维护
https://docs.dnspod.cn/api/api3/
go-acme/lego#2057
后续版本会增加腾讯云 API 来解析域名

[wanghe-fit2cloud]

v1.9.3 版本已发布

[carlsue]

最后还是没有看懂如何处理，版本已经是1.9.3

[huiyio]

确实现在还是有这个问题

[haohao232323]

确实现在还是有这个问题

我也是，换了腾讯云的密钥，还是超时获取不到

[Misaka-L]

确实现在还是有这个问题

我也是，换了腾讯云的密钥，还是超时获取不到

签发超时之后，选择重新签发。然后选逃过DNS检查（可能需要先去 DNSPod 控制台删除已经添加的 TXT 记录）

[haohao232323]

确实现在还是有这个问题

我也是，换了腾讯云的密钥，还是超时获取不到

签发超时之后，选择重新签发。然后选逃过DNS检查（可能需要先去 DNSPod 控制台删除已经添加的 TXT 记录）

手动添加TXT记录吗，这个问题在下一版本能解决吗？

[haohao232323]

确实现在还是有这个问题

我也是，换了腾讯云的密钥，还是超时获取不到

签发超时之后，选择重新签发。然后选逃过DNS检查（可能需要先去 DNSPod 控制台删除已经添加的 TXT 记录）

手动添加TXT记录吗，这个问题在下一版本能解决吗？

刚刚查看昨天添加的任务，在出现大量超时以后，最终成功了，但是仍然不知道失败和成功的原因

[davidcrybao]

一样的问题,真是无语

[chivehao]

一样的问题，太迷了这。

[jason-xiaobaiai]

一摸一样，现在还是遇到了这个问题，服了

[zhengkunwang223]

最新版本 v1.10.7-lts 增加了一些配置，可以编辑证书再试试

[pmman289]

仍然存在此问题，提示[INFO] Wait for propagation [timeout: 1m0s, interval: 2s]

[zhengkunwang223]

目前证书申请用的是第三方 lego 插件 其中的逻辑我们暂时无法更改
目前已知可能会导致失败的原因

1. ipv6 部分有 ipv6 或者 ipv6 设置打开但是实际没有 ipv6 的机器容易失败，解决方案：禁用 ipv6
2. 部分有 CNAME 解析的域名会失败 ， 解决方案：申请证书时候勾选禁用 CNAME
3. 腾讯云机器使用默认的 DNS 类似 127.0.0.53 会导致失败 ，解决方案：申请证书的时候填写公共 DNS 8.8.8.8 或者 114.114.114.114
4. 部分 DNS 生效时间过长导致超时，解决方案：申请证书时候勾选跳过 DNS 验证