Как получить wildcard letsencrypt connect.yandex.ru?

Question

[DragoN DragoN]

Как получить wildcard letsencrypt когда домен привязан к connect.yandex.ru?

Comments

[Сослан Хлоев]

Чьи DNS отвечают за Ваш домен?

Answer 1

[DragoN DragoN]

Удалось получить сертификат, после прописывания TXT записи. Сначала заранее завел 2 записи с таймаутом 5 минут, после ожидания 24 часов запустил получение сертификата, скопировал hash из certbot и вставил в TXT. После ожидания 5 минут, продолжил и получил второй hash. Повторил операцию и получил нужны сертификат

Answer 2

[Михаил Ткачев]

https://github.com/actionm/certbot-dns-pddyandex/

Answer 3

[Дмитрий Шицков]

Если нет сервера под рукой, то ручным методом только.
https://certbot.eff.org/docs/using.html#manual

Если есть веб-сервер, то стандартным методом
https://certbot.eff.org/docs/using.html#webroot

Yandex вообще как-бы не при чем тут

Comments

[DragoN DragoN]

Мне необходимо прописывать TXT запись, которая меняется (видимо от времени) при вводе в certbot

[Дмитрий Шицков]

DragoN DragoN, ясно... печально... API на DNS нет.
Используйте способ получения с веб-сервером чтобы не зависеть от DNS или делегируйте домен на другой DNS - собственный или с API.

[DragoN DragoN]

Дмитрий Шицков, почту использовать там удобно, поэтому выбор пал на яндекс

[Дмитрий Шицков]

DragoN DragoN, одно другому не мешает. Чтобы пользоваться почтой Яндекса не обязательно делегировать домен Яндексу.
Ну и как я написал, обычно используют метод получения через web-сервер

[DragoN DragoN]

Дмитрий Шицков, а можно чуть подробнее про этот вариант. Как я понимаю, через него возможно получить только перечислением доменов (-d), что является не очень удобным вариантом, когда они то добавляются, то убираются

[Дмитрий Шицков]

DragoN DragoN, о, прошу прощения, я лоханулся. Для вилдкардов только DNS доступен. Выходит, только смена DNS. Почту на Яндекск можно оставить. Поищите хостера. Я нашёл, например, вот этого, предоставлябщего бесплатно услугу DNS и возможность обновлять TXT-записи через запросы к API https://freedns.afraid.org/faq/

[DragoN DragoN]

Дмитрий Шицков, спасибо, напишу в техпод яндексу в дополнение. Не хотелось бы менять(

[Дмитрий Шицков]

DragoN DragoN, напишите, но вас там накормят завтраком или вообще скажут "неизвестно когда введём" или "это будет платный функционал" :)

[Глюкъ Виртуален]

DragoN DragoN, ну и что же ответил яндекс? :)

[DragoN DragoN]

Глюкъ Виртуален, на тот момент сказали что у них нет такой возможности

[Глюкъ Виртуален]

DragoN DragoN, Как вышли из положения?
Сейчас у них тоже "нет возможности".

[Дмитрий Шицков]

Глюкъ Виртуален, возможность "появилась". Они возобновили работу api pdd для взаимодествия с DNS https://yandex.ru/dev/connect/directory/api/concep...

[Глюкъ Виртуален]

Дмитрий Шицков, это все звиздеж.
Яндекс клал на TTL в NS-записях, а без этого обновить wildcard не получится.
Сколько бы ты ни выставил TTL у своей записи _acme-challenge, пофиг. За ns*.yandex.net скрывается штук 5 реальных серверов, и 3 из них отдают новые значения, а два - старые.

Всё, приехали.
Яндекс это дно рунета.

[Дмитрий Шицков]

Глюкъ Виртуален, ну, помимо этого, letsencrypt эту запись не у dns Яндекса запрашивает.

Тогда только первоначальный вариант остаётся - использовать почту Яндекса, а домен делегировать на какой-то другой dns

[Глюкъ Виртуален]

Дмитрий Шицков, пусть запрашивает хоть у кого. Источник записи яндекс и пока источник ее не обновит — она не обновится нигде.
Делегируешь домен на другой NS и почта тоже будет ломиться туда же.

[Дмитрий Шицков]

Глюкъ Виртуален, не будет, если перенести корректные записи mx и spf с Яндекс DNS.

[Глюкъ Виртуален]

Дмитрий Шицков, мне кажется, этот секс того не стоит. Проще совсем не пользоваться яндексом.

[Дмитрий Шицков]

Глюкъ Виртуален, хм, не понял в чем секс, с почтой Яндекса или без конфиг dns ничем отличаться не будет

[DragoN DragoN]

Дмитрий Шицков, вот буквально на днях нашел такие скрипты - https://www.oldfag.ru/2020/03/wildcard-certificate..., пробую