Frytea's Blog
·
cert-manager CNAME 问题记录
内容提要
在使用 cert-manager 通过 webhook 调用 dnspod 签发 SSL 证书时，遇到 DNS 记录未传播的问题，导致认证失败。虽然可以设置 cnameStrategy: None，但大多数 webhook 实现不支持。临时解决方案是避免域名解析到 CNAME 记录，后续将研究 cert-manager 和 webhook 的实现。
关键要点
-
在使用 cert-manager 通过 webhook 调用 dnspod 签发 SSL 证书时遇到 DNS 记录未传播的问题。
-
认证失败的原因是申请证书的域名匹配到 CNAME 记录，导致找不到正确的 TXT 记录。
-
cert-manager 提供了 cnameStrategy: None 参数，但大多数 webhook 实现不支持该特性。
-
临时解决方案是避免 cert-manager 托管域名解析到 CNAME 记录。
-
后续将研究 cert-manager 和 webhook 的实现方法以寻找更好的解决方案。
延伸解读
CNAME 记录的影响
在使用 cert-manager 申请 SSL 证书时，CNAME 记录可能导致认证失败。这是因为 cert-manager 在查找 TXT 记录时会优先匹配 CNAME 记录，若未能找到正确的 TXT 记录，认证过程将无法完成。用户需特别注意域名解析设置，确保其不指向 CNAME 记录。
cnameStrategy 参数的局限性
虽然 cert-manager 提供了 cnameStrategy: None 参数以避免 CNAME 记录的影响，但大多数 webhook 实现并不支持这一特性。这意味着用户在使用 cert-manager 时，可能需要寻找其他解决方案或调整 webhook 实现，以确保 SSL 证书的顺利签发。
临时解决方案的可行性
当前的临时解决方案是避免将 cert-manager 托管的域名解析到 CNAME 记录。这一措施虽然有效，但并非长久之计。用户应关注 cert-manager 和 webhook 的后续更新，以便找到更为稳定和高效的解决方案。
延伸问答
使用 cert-manager 通过 webhook 签发 SSL 证书时遇到什么问题？
遇到 DNS 记录未传播的问题，导致认证失败。
为什么申请证书的域名匹配到 CNAME 记录会导致认证失败？
因为匹配到 CNAME 记录后，找不到正确的 TXT 记录，导致认证失败。
cert-manager 提供了什么参数来解决 CNAME 记录的问题？
cert-manager 提供了 cnameStrategy: None 参数，但大多数 webhook 实现不支持该特性。
在遇到 CNAME 记录问题时，有什么临时解决方案？
临时解决方案是避免 cert-manager 托管域名解析到 CNAME 记录。
后续对 cert-manager 和 webhook 的研究方向是什么？
后续将研究 cert-manager 和 webhook 的实现方法以寻找更好的解决方案。
在使用 cert-manager 时，如何配置 dns01 解析？
需要在配置中指定 dns01 的 cnameStrategy: None 和 webhook 的相关信息。
