Dns | inetshell

acme-dns: DNS-01 sin dar la llave de toda la zona (delegación CNAME de _acme-challenge) con certbot y cert-manager

NS auth.example.com → acme-dns; POST /register → username, password, fulldomain; CNAME _acme-challenge.example.com → . certbot certonly –manual –manual-auth-hook /etc/letsencrypt/acme-dns-auth.py –preferred-challenges dns -d ‘*.example.com’ -d example.com. En Kubernetes, solver dns01.acmeDNS con accountSecretRef. acme-dns 2.0.2 (febrero de 2025) sigue activo.

Certificado gestionado de Google que nunca se emite: CAA (pki.goog, letsencrypt.org), FAILED_NOT_VISIBLE y el orden correcto

CAA con issue pki.goog y issue letsencrypt.org (o ningún CAA), A/AAAA apuntando solo a la IP del balanceador, certificado adjunto al target proxy, y hasta 60 minutos. gcloud compute ssl-certificates describe muestra el domainStatus que dice cuál de las tres falla.

DKIM de 2048 bits: la llave no cabe en un TXT de 255 caracteres

El límite de 255 es por cadena, no por registro. fold -w 255 + comillas, todo en el mismo TXT; el verificador las concatena. Route 53 y Cloud DNS lo exigen; Cloudflare lo hace solo.

pfSense y OPNsense: el port forward no funciona desde la propia LAN (NAT reflection y split DNS)

El tráfico LAN → IP pública no sale por la WAN, muere en el firewall. Split DNS (host override → IP interna) es lo limpio; Pure NAT + automatic outbound NAT for reflection cuando el DNS no es tuyo.