Завдання отримання letsencrypt.org сертифікату в Proxmox за перевіркою  динамічного оновлення запису в DNS за допомогою ключа tsig і власно контрольованого BIND сервера.

Це потрібно в тих ситуаціях коли доступ до web сервера обмежений для зовнішньої перевірки серверами letsencrypt.org при застосуванні стандартного методу: http-01 challenge.

tsig

tsig-keygen -a HMAC-SHA512 ns240 > ns240.key

ns240.key:

key "ns240"   
{ algorithm hmac-sha512;  
  secret "VLv54K+dqSSk9lF75GKREQI8BT0ZYBs9BraQY3D/6f5b1Aw41NN86BwxRNATu7iDoEAiqTCUOk7B6SfxG7Q30A==";  
};

BIND

named.conf:

key "ns240.key" {  
 algorithm hmac-sha512;  
 secret "VLv54K+dqSSk9lF75GKREQI8BT0ZYBs9BraQY3D/6f5b1Aw41NN86BwxRNATu7iDoEAiqTCUOk7B6SfxG7Q30A==";  
};  
          
zone "lexxai.pp.ua"  
{  
  type  master;  
  file  "/usr/local/etc/namedb/master/db.lexxai.pp.ua";  
  allow-query { any; };  
  update-policy {  
   grant ns240.key. name _acme-challenge.ns240.lexxai.pp.ua. TXT;  
   grant ns241.key. name _acme-challenge.ns241.lexxai.pp.ua. TXT;  
  };  
};

PROXMOX


Proxmox ACME DNS plugin

NSUPDATE_SERVER=ns1.lexxai.pp.ua  
NSUPDATE_KEY=/home/nskey/ns240.key  
NSUPDATE_ZONE=lexxai.pp.ua

key path: /home/nskey/ns240.key  
chown nobody:nogroup /home/nskey/ns240.key