DNS doğrulama sorun giderme

Bir özel alan adı eklediğinizde, Elido sizden oluşturmanızı istediğimiz kayıtları aramak için DNS'i her 30 saniyede bir yoklar. Genellikle doğrulama 60 saniye içinde tamamlanır. Daha uzun sürdüğünde, bu kontrol listesi neredeyse her zaman yanlış giden şeyi kapsar.

Kayıtların ağınızın dışından var olduğunu doğrulayın

İlk kontrol, kayıtların yalnızca kayıt şirketinizde değil, herkese açık olarak görünür olup olmadığıdır.

dig links.acme.com CNAME +short
# beklenen: <something>.elido.me.

Bir apex alan adı için:

dig acme.link A +short
# beklenen: 2 adet A kaydı (Hetzner FRA + OVH FRA)

dig acme.link AAAA +short
# beklenen: bu PoP'lardan birinden IPv6

dig hiçbir şey döndürmüyorsa, kayıt şirketi henüz yaymamıştır — veya daha sık olarak, kayıt bir yazım hatasıyla kaydedilmiştir.

Yaygın yazım hatası kalıpları

Kayıt değerini, Elido'nun Ayarlar → Alan Adları → [alan adı] → DNS Kayıtları altında size gösterdiği tam değerle karşılaştırın. En yaygın hatalar:

• Sondaki nokta. Bazı kayıt şirketleri <target>.elido.me. (sondaki noktayla) ister; bazıları bunu otomatik ekler. <target>.elido.me.'yi bunu otomatik ekleyen bir kayıt şirketine yapıştırmak <target>.elido.me.. sonucunu verir — geçersiz. Sondaki nokta olmadan deneyin.
• Ad alanında FQDN yerine ana bilgisayar adı. links.acme.com için bazı kayıt şirketleri Ad alanında links.acme.com değil, links ister. Tam FQDN'yi yazdıysanız, aslında links.acme.com.acme.com oluşturmuş olursunuz.
• Yanlış kayıt türü. Bir alt alan adı CNAME gerektirir. Bir apex, A (veya ALIAS) gerektirir. Kayıt şirketiniz apex CNAME düzleştirmeyi desteklemiyorsa, A kayıtlarına geçin — DNS talimatları panelinde her iki seçeneği de sunuyoruz.

Apex (bölge kökü) alan adları

DNS spesifikasyonuna göre apex'te CNAME'ler yasaktır. acme.link (yani links.acme.com değil) deniyorsanız, üç seçeneğiniz var:

1. Sunduğumuz iki A kaydını kullanın. Her yerde çalışır.
2. Kayıt şirketiniz destekliyorsa ALIAS / ANAME kullanın (Cloudflare, DNSimple, easyDNS). Bunu otomatik olarak doğru A kayıtlarına düzleştirir.
3. Bunun yerine bir alt alan adı seçin. go.acme.com veya links.acme.link, apex'ten daha kolay ve CDN dostudur.

Cloudflare proxy (turuncu bulut)

Alan adınız Cloudflare'in proxy'sinin (turuncu bulut açık) arkasındaysa, DNS doğrulaması yine de çalışır ancak TLS sağlanması başarısız olur. Cloudflare TLS'i kendisi sonlandırır, bu yüzden Caddy'miz ziyaretçiyi hiç göremez ve bir sertifika veremez.

Turuncu bulutu kapatın (Yalnızca DNS / gri bulut). Cloudflare yalnızca yetkili DNS olarak hizmet verecek; proxy işlemini biz hallederiz.

Gerçekten Cloudflare'in DDoS katmanına ihtiyacınız varsa, Cloudflare'in Origin CA sertifikasını kullanın ve Ayarlar → Alan Adları → [alan adı] → Özel Sertifika altında Elido'ya yükleyin.

CAA kayıtları

Alan adınızda CAA kayıtları varsa, bunlar Let's Encrypt'e izin vermelidir:

dig acme.link CAA +short
# sonuçta herhangi bir satır varsa, letsencrypt.org bunlardan biri olmalıdır

Çıktıda 0 issue "letsencrypt.org" görüyorsanız, sorun yok demektir. Yalnızca başka CA'lar için CAA kayıtları görüyorsanız, Let's Encrypt için bir tane ekleyin:

acme.link.    CAA  0 issue "letsencrypt.org"

DNSSEC uyuşmazlığı

Kayıt şirketinizde DNSSEC etkinse ancak DS kayıtları doğru şekilde yayınlanmadıysa, genel çözümleyiciler kayıtlarınız yerine SERVFAIL döndürür. Şunu çalıştırın:

dig +trace links.acme.com

İzleme SERVFAIL ile bitiyorsa, devam etmeden önce kayıt şirketinizde DNSSEC'i düzeltin — genellikle DNSSEC'i devre dışı bırakıp bir saat bekleyerek ve doğru DS kayıtlarıyla yeniden etkinleştirerek.

Doğrulama yoklama sıklığı

Alan adını eklediğiniz ilk saat boyunca DNS'i her 30 saniyede bir, sonraki 24 saat boyunca her 5 dakikada bir, bundan sonra ise saatte bir yoklarız. İstediğiniz zaman Şimdi Doğrula'ya tıklayarak anında bir kontrol zorlayabilirsiniz.

Alan adınız 24 saat boyunca Beklemede kalırsa ve ağınızın dışından dig doğru kayıtları gösteriyorsa, Şimdi Doğrula'ya bir kez tıklayın — bazen önceki yayılımdan kalan önbelleğe alınmış olumsuz sonucumuz asılı kalabilir.

"Doğrulandı ama TLS yok" ne anlama gelir

DNS doğrulandıysa ancak alan adı 10 dakikadan uzun süre "TLS bekleniyor" gösteriyorsa, Caddy Let's Encrypt ile sorun yaşıyordur. Nedenleri:

• CAA kayıtları (yukarıya bakın).
• Let's Encrypt'ten hız sınırlaması (kayıtlı alan adı başına haftada 50 sertifika). Bu yalnızca çok yüksek hacimli devreye almalarda karşınıza çıkar.
• Yukarı akış (upstream) güvenlik duvarı tarafından engellenen TLS-ALPN meydan okuması. 443 numaralı bağlantı noktasını giriş IP'lerimize açın (güven sayfamızda listelenmiştir).

Sorun giderme

Doğrulama dizüstü bilgisayarımdan çalışıyor ama panodan çalışmıyor. Dizüstü bilgisayarınız yerel DNS çözümleyicinizi kullanıyor; doğrulayıcımız genel çözümleyiciler kullanır (1.1.1.1, 8.8.8.8). Kayıt şirketiniz küresel olarak yaymadıysa, genel çözümleyiciler kaydı henüz görmeyebilir. Ne gördüğümüzü doğrulamak için dig @1.1.1.1 links.acme.com kullanın.

Kayıtlar doğru görünüyor ama Doğrula sürekli başarısız oluyor. Kayıtların TTL'sini 300 saniyeye düşürün ve 10 dakika bekleyin. Yüksek TTL'ler olumsuz önbelleklemeyi zorlaştırır.

Apex CNAME düzleştirme etkinleştirildi ama doğrulama başarısız oldu. Cloudflare, sorgu anında düzleştirir, ancak yalnızca Cloudflare'in çözümleyicileri üzerinden yapılan sorgular için. Genel çözümleyiciler CNAME'i görür ve reddeder. Açıkça A kayıtlarına geçin.