Skip to content
New issue

Have a question about this project? Sign up for a free GitHub account to open an issue and contact its maintainers and the community.

By clicking “Sign up for GitHub”, you agree to our terms of service and privacy statement. We’ll occasionally send you account related emails.

Already on GitHub? Sign in to your account

希望证书签发可以多域名单证书 #601

Closed
ERSTT opened this issue Oct 9, 2024 · 4 comments
Closed

希望证书签发可以多域名单证书 #601

ERSTT opened this issue Oct 9, 2024 · 4 comments
Labels
enhancement New feature or request

Comments

@ERSTT
Copy link

ERSTT commented Oct 9, 2024

最近遇到了abc.com abc.cn需要指向同一个服务
目前在UI里签发只能签 *.abc.tld abc.tld
不能签 *.a.abc.tld *.abc.tld abc.tld的单证书
也不能签 *.abc.tld abc.tld *.123.tld 123.tld的单证书
现在在UI下只能多域名签发多个证书 然后写不同的server来达到多域名指向单一服务的需求

另外希望在"站点列表"里添加一个跟"管理 Stream"界面 一样的“添加”按钮
如果想用"高级模式"新增站点 每次添加站点都要先填必填项目 然后才能去修改里填写
或者添加站点里添加"高级模式"

@ERSTT ERSTT added the enhancement New feature or request label Oct 9, 2024
@0xJacky
Copy link
Owner

0xJacky commented Oct 9, 2024

abc.com abc.cn 这个情况,现在是支持的

只要 server_name 是这样设置的,打开 let's encrypted 自动证书,就会获取到这样的证书

@ERSTT
Copy link
Author

ERSTT commented Oct 9, 2024

abc.com abc.cn 这种情况,现在是支持的

只要 server_name 是这样设置的,打开let's crypto自动证书,就能获取到这样的证书

试了下,在站点列表那里开证书的话,如果 server_name 有*.abc.com *.abc.cn abc.com abc.cn 确实可以都签发,但是停用这个站点就会停用续签,其他站点也无法使用此证书了。
除非让其他站点也重复去签发,感觉这样的话,站点一多在快过期的时候很大概率撞到letsencrypt的速率限制
如果用证书里的签发泛域名,就又得写两份server
感觉最好的解决方式还是在签发泛域名界面允许填写多个域名

目前版本潜在的解决方式可能是
创建一个站点 监听一个无用端口
server_name填写要自动续签的域名 然后让他运行

@0xJacky
Copy link
Owner

0xJacky commented Oct 9, 2024

  1. 停用站点没法续签很合理,因为站点关闭后不能续签了
  2. 速率限制这个问题,首次安装,我们会注册一个 ACME 用户并保存,之后的限流规则由 Let's encrypted 的策略决定:https://letsencrypt.org/zh-cn/docs/rate-limits/

我们最主要的限制是每个注册域名可签发的证书数量(每周 50 份)。

每个账户三小时内最多可创建 300 份订单。 每次向 Boulder CA 申请证书都会创建一份新订单,也就是说每次证书请求都会生成一份新订单。 如果超出订单数量限制,就会得到 too many new orders recently 的报错信息。

每个 IP 地址每 3 个小时最多可创建 10 个账户。 每个 IPv6 /48 地址段每 3 小时最多可以创建 500 个账户。 达到这两个账户限制是十分罕见的,我们建议我们建议大型集成商使用一个帐户为多个客户提供服务。 超过这些限制的请求,将会得到 too many registrations for this IP 或者 too many registrations for this IP range的报错信息。

如果你有超出 300 个域名,也可以创建多个账户来进行申请,理论上每三小时可以申请 3000 个证书,这个配额足够了吧?

关于这项功能的 pr: #361

@0xJacky
Copy link
Owner

0xJacky commented Oct 9, 2024

你可以创建多张 Wildcard 证书,然后对于 *.abc.tld abc.tld *.123.tld 123.tld 这种需求,可以在同一个 Server 里绑定多张证书,就可以实现你的需求。

@0xJacky 0xJacky closed this as not planned Won't fix, can't repro, duplicate, stale Oct 9, 2024
Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment
Labels
enhancement New feature or request
Projects
None yet
Development

No branches or pull requests

2 participants