Исходное сообщение
"Bind. Удаленное управление, добавление/удаление RR записей" Отправлено Licha Morada, 01-Апр-20 21:11
>> Вам же важно, чтобы обновлялка сертификатов не могла лазать куда не надо? > Да, безусловно. Обновлялка не должна никуда лазить. Для этого на хосте с > BIND-ом ограниченный шел, пути, скрипты, судо и прочие ограничения, что не > очень удобно. IMXO, вообще ей нечего делать на хосте с BIND-ом. Я имел в виду, не давать ей прав модифицировать зону example.com, а только _acme-challenge.example.com. >> Можно оставить в покое вашу зону example.com, но завести на том-же хосте >> отдельную зону _acme-challenge.example.com и её сделать динамической. >> Или пусть зона _acme-challenge.example.com будет slave, чтобы её обновлял master который >> живёт там-же где и Postfix, а с локальным непубличным Bind-ом вы >> без SSH справитесь. > Про динамическую зону тоже думал, но как-то в другом ключе. Благодарю, Ваш > вариант вполне себе рабочий. Пожалуй на нем остановлюсь. Змечательно. Имейте в виду: - Если зона _acme-challenge.example.com живёт хосте с Postfix-ом, то её будет технически проще курочить из обновлялки, но будут сложности если кому-то кроме Postfix-а потребуются сертификаты Let's Encrypt. - Если зона _acme-challenge.example.com живёт хосте с BIND-ом, то придётся повозиться с её динамическим обновлением с Postfix-а, по nsupdate или обёрткой вокруг SSH, но решение будет масштабируемо на большее количесво сервисов с Let's Encrypt на домене example.com.

Ваше сообщение
Имя*:
EMail:	Для отправки новых сообщений в текущей нити на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>>> Вам же важно, чтобы обновлялка сертификатов не могла лазать куда не надо? >> Да, безусловно. Обновлялка не должна никуда лазить. Для этого на хосте с >> BIND-ом ограниченный шел, пути, скрипты, судо и прочие ограничения, что не >> очень удобно. > IMXO, вообще ей нечего делать на хосте с BIND-ом. Я имел в > виду, не давать ей прав модифицировать зону example.com, а только _acme-challenge.example.com. >>> Можно оставить в покое вашу зону example.com, но завести на том-же хосте >>> отдельную зону _acme-challenge.example.com и её сделать динамической. >>> Или пусть зона _acme-challenge.example.com будет slave, чтобы её обновлял master который >>> живёт там-же где и Postfix, а с локальным непубличным Bind-ом вы >>> без SSH справитесь. >> Про динамическую зону тоже думал, но как-то в другом ключе. Благодарю, Ваш >> вариант вполне себе рабочий. Пожалуй на нем остановлюсь. > Змечательно. Имейте в виду: > - Если зона _acme-challenge.example.com живёт хосте с Postfix-ом, то её будет технически > проще курочить из обновлялки, но будут сложности если кому-то кроме Postfix-а > потребуются сертификаты Let's Encrypt. > - Если зона _acme-challenge.example.com живёт хосте с BIND-ом, то придётся повозиться с > её динамическим обновлением с Postfix-а, по nsupdate или обёрткой вокруг SSH, > но решение будет масштабируемо на большее количесво сервисов с Let's Encrypt > на домене example.com.
	Введите код, изображенный на картинке: