(automatisierte) TLSA record updates mit letsencrypt Zertifikaten (via danebot?)

    Hallo, ich hab einen email-server der via acme.sh alle paar Monate seine neuen Zertifikate bekommt. Ich nutze auch DANE und bekomme via Monitoring immer wieder eine Meldung, dass meine TLSA-Records nicht passen. acme.sh verwendet immer den gleichen key, könnte also den pub key vom nächsten Zertifikat verwenden. Allerdings ist mir nicht ganz klar, wie die Einbindung aussieht mit danebot, was genau für das Aufrufen zuständig sein soll. Verwendet das hier wer? Wenn ja, ist das auch kompatibel mit acme.sh? Sieht für mich so aus als würde ich ein neues Zertifikat anfordern via acme.sh und dann im post-hook das danebot laufen lassen. Aber sicher bin ich mir da nicht.. ^^

    Wie sieht dein TLSA-Record denn aus? Wenn du DANE-EE und SubjectPublicKeyInfo (also 3 & 1) verwendest, sollte sich dein Record nicht ändern, wenn der Private-Key gleich bleibt (was bei acme.sh ja standardmäßig der Fall ist).

    Dieses Gebäude hat mir die Vorfahrt genommen! *hup*

    Oha, das sieht echt wild aus. ^^

    Wenn ich deine Domain richtig rausgefunden habe und auf deinem Mailserver auch ein Zertifikat mit dem entsprechenden Private-Key im Einsatz ist, scheint nur der Record mit „3 1 1…“ aktuell gültig zu sein (getestet mit https://dane.sys4.de).

    Die restlichen Records können dann weg. Der Kombination mit „3 1 1…“ ist nach meiner Beobachtung auch die gängigste Kombination.

    Dieses Gebäude hat mir die Vorfahrt genommen! *hup*

    Ja, mit 3 1 1 ist auch die, die ich behalten und aktualisieren mag. Aber wie sieht der "flow" aus mit acme.sh und danebot? Kennst du dich damit aus?

    acme.sh aufrufen, Zertifikat holen, dann im post-hook Danebot aufrufen, was dann für die "Verwaltung" (DNS) zuständig ist?

    Bei "3 1 1" musst du nichts im DNS aktualisieren, da sich die Infos im Hash nur ändern, wenn sich der Key ändert.

    Wenn du "3 0 1" nutzt, musst du bei jedem Renew den Record aktualisieren. Durch die TTL ist das aber gar nicht so einfach, da du den neuen Record ja ausreichend vor der Nutzung des neuen Zertifikats heinzufügen musst. Damit dann auch alle "sehen".

    Bei "3 1 1" reicht es, wenn du "hin und wieder" mal den Key änderst, und dann (evtl von Hand) den neuen Record (vorher) hinzuzufügen.