Rekord MX wskazujący na rekord A z dwoma różnymi adresami IP


Więc mój problem jest prosty, potrzebuję tylko solidnej odpowiedzi, aby mój e-mail działał.
Mam dwa serwery, jeden do obsługi poczty, a drugi do obsługi sieci. Serwer WWW jest odpowiedzialny za odnawianie certyfikatów SSL (używam Let's Encrypt CA).
Mój rekord DNS A to mail.example.com i wskazuje na adres IP serwera poczty. Rekord MX wskazuje na ten rekord A.
Weryfikacja SSL odbywa się przez DNS, więc dodałem kolejny rekord A o tej samej nazwie hosta (mail.example.com), ale wskazujący na adres IP serwera WWW.
Próbowałem tego przez chwilę i zadziałało (sprawdzanie się powiodło, a usługa pocztowa działała dobrze), ale nie jestem tego w 100% pewien i doprowadziło mnie do następujących dwóch przemyśleń:
1 - Rekord A dla serwera WWW został dodany później, więc adres IP serwera pocztowego jest na pierwszym miejscu w zapytaniu DNS, więc wszystko działa poprawnie.
2 - Gdzieś wyczytałem, że przeglądarka korzysta z wyników zapytań DNS w losowej kolejności. Jeśli pierwszy adres IP nie może obsługiwać żądań HTTP, zostanie użyty drugi. Nie jestem tego pewien, ale czy to możliwe, że to samo dzieje się z pocztą? Jeśli pierwszy rozwiązany adres IP nie przyjmuje poczty, spróbuj użyć drugiego?
Chciałbym uzyskać wyjaśnienie w tej sprawie, ponieważ nie chcę mieć 100% pewności, co się dzieje i dlaczego, aby zapobiec przyszłym problemom.
Zaproszony:
Anonimowy użytkownik

Anonimowy użytkownik

Potwierdzenie od:

Ty stworzyłeś

DNS działający w trybie okrężnym
https://en.wikipedia.org/wiki/Round-robin_DNS
.
Nie twórz wielu rekordów A o tej samej nazwie, chyba że chcesz, aby wskazywały na tę samą usługę. Istnieją inne sposoby decydowania o tym, co próbujesz zrobić; na przykład poprzez zainstalowanie minimalnej usługi internetowej na serwerze pocztowym z jawnym zadaniem odnowienia certyfikatu lub zainstalowanie modułu równoważenia obciążenia/zwrotnego serwera proxy przed obydwoma serwerami. To ostatnie sprawia, że ​​zarządzanie certyfikatami jest trochę bardziej uciążliwe.
Anonimowy użytkownik

Anonimowy użytkownik

Potwierdzenie od:

To jest niewłaściwe podejście do pobierania certyfikatów Let's Encrypt dla serwera pocztowego bez zainstalowanego serwera WWW.
Zamiast tego powinieneś użyć samodzielnej wtyczki certbot. Tak więc certbot uruchamia swój własny wbudowany tymczasowy serwer WWW do sprawdzania poprawności HTTP.
Żądasz certyfikatu dla nazwy zgodnej z wartością Twojego rekordu MX. Na przykład, jeśli masz domenę example.com, a Twój rekord MX wskazuje na mail.example.com, żądasz certyfikatu dla mail.example.com, którego adres IP powinien wskazywać tylko na ten serwer poczty.
Na przykład:
certbot certonly --standalone -d mail.example.com

Następnie możesz dodać linki do otrzymanych certyfikatów w formacie
/etc/letsencrypt/live
do konfiguracji serwera poczty.
Pamiętaj, że kiedy
         certbot renew
Twój serwer pocztowy nie zostanie automatycznie zrestartowany. Będziesz musiał dostosować
         --post-hook
Zrób to. Na przykład:
certbot renew --post-hook "systemctl reload postfix dovecot"

Aby uzyskać więcej informacji na temat automatyzacji odnawiania certyfikatów, zobacz

Zadanie Crona do aktualizacji Szyfrujmy
https://serverfault.com/q/790772/126632
.
Anonimowy użytkownik

Anonimowy użytkownik

Potwierdzenie od:

Mikael ma rację co do działania okrężnego DNS. Inną opcją jest sprawdzenie domeny przez DNS, a nie przez żądanie HTTP. Sprawdzić

ten link
https://docs.certifytheweb.com ... .html
z Certify The Web, w którym wyjaśniono, jak korzystać z oprogramowania do sprawdzania DNS. Następnie możesz całkowicie usunąć serwer sieciowy, jeśli potrzebujesz tylko weryfikacji domeny.

Aby odpowiedzieć na pytania, Zaloguj się lub Zarejestruj się