Proxmox ACME DNS NSUPDATE letsencrypt.org

Завдання отримання letsencrypt.org сертифікату в Proxmox за перевіркою  динамічного оновлення запису в DNS за допомогою ключа tsig і власно контрольованого BIND сервера.
Це потрібно в тих ситуаціях коли доступ до web сервера обмежений для зовнішньої перевірки серверами letsencrypt.org при застосуванні стандартного методу: http-01 challenge.

tsig

tsig-keygen -a HMAC-SHA512 ns240 > ns240.key

ns240.key:

key "ns240" 
{ algorithm hmac-sha512;
  secret "VLv54K+dqSSk9lF75GKREQI8BT0ZYBs9BraQY3D/6f5b1Aw41NN86BwxRNATu7iDoEAiqTCUOk7B6SfxG7Q30A==";
};

BIND

named.conf:

key "ns240.key" {
 algorithm hmac-sha512;
 secret "VLv54K+dqSSk9lF75GKREQI8BT0ZYBs9BraQY3D/6f5b1Aw41NN86BwxRNATu7iDoEAiqTCUOk7B6SfxG7Q30A==";
};
        
zone "lexxai.pp.ua"
{
  type  master;
  file  "/usr/local/etc/namedb/master/db.lexxai.pp.ua";
  allow-query { any; };
  update-policy {
   grant ns240.key. name _acme-challenge.ns240.lexxai.pp.ua. TXT;
   grant ns241.key. name _acme-challenge.ns241.lexxai.pp.ua. TXT;
  };
};

PROXMOX

Proxmox ACME DNS plugin

NSUPDATE_SERVER=ns1.lexxai.pp.ua
NSUPDATE_KEY=/home/nskey/ns240.key
NSUPDATE_ZONE=lexxai.pp.ua

key path: /home/nskey/ns240.key
chown nobody:nogroup /home/nskey/ns240.key