트러블슈팅 8. "During secondary validation: DNS problem: NXDOMAIN looking up A" 로 Let's Encrypt 발급이 안 될 때
이 블로그 주소를 열던 날의 일입니다.
순서를 거꾸로 했습니다. 서버 쪽 준비를 먼저 다 끝내고, Caddy 에 블로그 사이트 블록을 올린 다음에 DNS 레코드를 넣었습니다. 블록을 올리는 순간부터 Caddy 는 인증서를 받으려고 Let’s Encrypt 에 요청을 보내는데, 그때는 레코드가 없으니 당연히 실패합니다.
DNS problem: NXDOMAIN looking up A for blog.pcmeister.co.kr - check that a DNS record exists for this domain
여기까지는 예상한 일이라 신경 쓰지 않았습니다. DNS 를 넣고 구글과 클라우드플레어 DNS 에서 새 레코드가 보이는 걸 확인한 다음, Caddy 에 바로 다시 시도하라고 reload 를 했습니다. 그런데 오류가 이렇게 바뀌었습니다.
challenge failed ... "detail":"During secondary validation: DNS problem: NXDOMAIN looking up A for blog.pcmeister.co.kr
Let’s Encrypt 는 몇 년 전부터 여러 지역에서 동시에 도메인을 확인합니다(multi-perspective validation). 노드의 접속 기록을 보니 실제로 세 곳에서 챌린지 요청이 들어와 있었습니다. 그런데 나머지 지점에서는 아직 레코드가 없다고 본 거죠. 제가 쓰는 DNS 업체는 DNSSEC 질의에 새 값이 늦게 반영되는 문제가 있어서, 공용 DNS 에서 보인다고 모든 검증 지점에서 보이는 건 아니었습니다.
이 상태에서 Caddy 는 Let’s Encrypt 를 포기하고 ZeroSSL 로 넘어갔습니다. Caddy 는 기본 발급자가 둘이라 하나가 실패하면 다른 쪽으로 시도하거든요. 로그에 이 줄이 찍히고 나서 15분이 넘도록 아무 소식이 없었습니다.
"msg":"trying to solve challenge","identifier":"blog.pcmeister.co.kr","challenge_type":"http-01","ca":"https://acme.zerossl.com/v2/DV90"
그사이 권한 네임서버 네 곳이 모두 새 값을 주는 걸 확인하고 caddy reload --force 를 다시 했는데 소용이 없었습니다. 이미 진행 중인 발급 작업이 있으면 reload 로는 그 작업이 끊기지 않습니다. 결국 Caddy 컨테이너를 재시작했습니다. 같은 노드의 다른 사이트들이 몇 초 끊기는 걸 감수했고요.
cd /opt/caddy && sudo docker compose restart caddy
재시작하고 51초 뒤에 인증서가 나왔습니다. 발급자는 ZeroSSL 이었습니다. Let’s Encrypt 쪽은 그사이 실패가 쌓여서 429(요청 제한)를 돌려주고 있었습니다.
"msg":"certificate obtained successfully","identifier":"blog.pcmeister.co.kr","issuer":"acme.zerossl.com-v2-DV90"
ZeroSSL 인증서도 브라우저에서 문제없이 신뢰하고, 갱신은 Caddy 가 알아서 하니 그대로 두었습니다.
다음부터는 순서를 지키려고 합니다. DNS 를 먼저 넣고, 권한 네임서버 전부에 DO 비트까지 붙여서 새 값이 나오는 걸 본 다음에 Caddy 블록을 올리는 겁니다. 실패를 쌓지 않으면 429 도 없고, 멈춘 발급 작업을 재시작으로 풀 일도 없습니다.
참고: Let’s Encrypt Multi-Perspective Validation, https://letsencrypt.org/2020/02/19/multi-perspective-validation/