apache - Letsencrypt certbot 有效但续订无效

Question

我有一台服务器的 letsenrypt 证书已过期。为了解决这个问题，我简单地运行了 certbot --apache，它运行没有问题并解决了过期的证书。

为了防止将来出现这个问题，我想让证书自动更新，所以按照the instructions here我运行了 certbot renew --dry-run，但以错误结束:

Attempting to renew cert from /etc/letsencrypt/renewal/cms.ourdomain.com.conf produced an unexpected error: Failed authorization procedure. cms.ourdomain.com (tls-sni-01): urn:acme:error:connection :: The server could not connect to the client to verify the domain :: DNS problem: SERVFAIL looking up CAA for cms.ourdomain.com. Skipping.

由于 certbot --apache 运行良好，我不知道为什么这次续订会因 DNS 问题而失败。为确保我再次运行 certbot --apache 以强制并再次更新证书，这再次正常工作。所以 DNS 似乎没有问题。

有谁知道这个问题可能是什么原因造成的，或者我该如何调试它？欢迎所有提示!

Answer 1

据我所知，certbot 和 certbot --apache 实际上采用了一些截然不同的代码路径。也许试试 certbot --apache --dryrun？

顺便说一下，我已经放弃了 Apache 的特定实现。我发现停止 apache 并运行 certbot certonly --standalone -d example.com 可以很好地生成 key 和证书(在您的 apache 配置中手动指向它们)，然后运行 ​​certbot在 /etc/letsencrypt/renewal-hooks/{pre|post}/apache2.sh 中使用前 Hook 脚本和后 Hook 脚本更新 以停止和启动 apache 效果非常好。

我的脚本是这样的:

#!/bin/bash

# certbot pre renewal
# stop apache

systemctl stop apache2
sleep 5s

#!/bin/bash

# certbot post renewal
# start apache

systemctl start apache2