1.首先要讓bind有ddns的功能，即允許外部使用key來動態更新A或TXT等record ，
先建立key:
=====================================
b=$(dnssec-keygen -a hmac-sha512 -b 512 -n USER -K /tmp foo)
cat > /etc/named/keys/update.key <<EOF
key "mykey" {
algorithm hmac-sha512;
secret "$(awk '/^Key/{print $2}' /tmp/$b.private)";
};
EOF
rm -f /tmp/$b.{private,key}
===把key檔路徑include進named的設定中==
include "/etc/named/keys/update.key";
=====================================
然後把domain獨立切出一個zone(範例是只允許TXT紀錄，因為只是要用來申請免費憑證):
=====================================
zone "yourdomain.com" {
type master;
file "/path/to/your/zone/file";
update-policy {
grant "mykey" subdomain yourdomain.com. TXT;
};
};
==zone file，若無dns沒a紀錄沒有關係=======================
$TTL 86400
@ IN SOA ns.yourdomain.com. admin.yourdomain.com. (
2023101001 ; Serial number
3600 ; Refresh interval (one hour)
1800 ; Retry interval (30 minutes)
1209600 ; Expire time (two weeks)
86400 ; Minimum TTL (one day)
)
@ IN A 1.2.3.4
* IN A 1.2.3.4
=====================================
安裝acme.sh(一般使用者即可，當然用root會更方便些):
curl https://get.acme.sh | sh -s email=my@yourdomain.com
或
wget -O - https://get.acme.sh | sh -s email=my@yourdomain.com
建立帳號並決定使用哪個免費憑證服務(預設zerossl)：
acme.sh --register-account -m myemail@yourdomain.com --server zerossl
如要用letsencrypt的話：
acme.sh --set-default-ca --server letsencrypt
acme.sh --register-account -m myemail@yourdomain.com --server letsencrypt
設定讓acme.sh自動更新:
acme.sh --upgrade --auto-upgrade
開始申請憑證(此範例為申請wildcard憑證)，此處的key格式要與named include的一樣就可以了:
export NSUPDATE_SERVER="dns.yourdomain.com"
export NSUPDATE_KEY="/path/to/your/update.key"
export NSUPDATE_ZONE="yourdomain.com"
~/.acme.sh/acme.sh --issue --dns dns_nsupdate -d yourdomain.com -d *.yourdomain.com --renew-hook "/path/to/install_cert.sh"
上面指令中的install_cert.sh即憑證renew成功後要執行的動作(複製憑證+重啟web):憑證申請成功後，先手動複製憑證+重啟web(做第一次即可)
~/.acme.sh/acme.sh --install-cert -d yourdomain.com --key-file /certs/path/yourdomain.com/key.pem --fullchain-file /certs/path/yourdomain.com/fullchain.pem --reloadcmd "sudo systemctl restart nginx.service"
因為要讓一般使用者可以重新啟動web server，需加上sudoer:
#/etc/sudoers.d/acme_install_cert
username ALL=(ALL) NOPASSWD: /bin/systemctl restart nginx.service
這樣以後每60天會自動renew憑證，且會自動複製憑證並重啟web server。
其它：
安裝acme.sh時，會自動在使用者的crontab加上以下指令，固定每天檢查憑證:
51 1 * * * "/home/username/.acme.sh"/acme.sh --cron --home "/home/username/.acme.sh" > /dev/null
~/.acme.sh/account.conf 在申請憑證完後，會把一開始export的環境變數儲存在這裡，其它設定也會放在這個檔
~/.acme.sh/yourdomain.com_ecc/yourdomain.com.conf 會放一些跟這個網域有關的設定，如
Le_API=使用的憑證廠商api
Le_RenewHook=renew hook
Le_RealKeyPath=key要複製的路徑
Le_RealFullChainPath=fullchain要複製的路徑
Le_ReloadCmd=重啟指令
ref:
https://github.com/acmesh-official/acme.sh/wiki/dnsapi#7-use-nsupdate-to-automatically-issue-cert
https://github.com/acmesh-official/acme.sh/wiki/Server
https://ezbox.idv.tw/180/bind-ddns-dynamic-dns/
https://cwza.github.io/my_blog/2015/12/02/Bind9%E7%9A%84Dynamic-Dns-Update%E8%A8%AD%E5%AE%9A%E7%AD%86%E8%A8%98/
https://ithelp.ithome.com.tw/articles/10062006
https://n.sfs.tw/content/index/11984?u=
https://bugs.launchpad.net/ubuntu/+source/bind9/+bug/2015176
https://www.hobrasoft.cz/en/blog/bravenec/acme-sh-renew-hook
