1Panel面板申请证书问题

没有人知道吗

半个小时整这个数字本身就是线索。Cloudflare 给客户域名的 SOA minimum 是 1800 秒，负缓存按这个走，你的 ACME 客户端在写 TXT 之前先查了一次 _acme-challenge，那会儿记录还不存在，本地 resolver 把这次 NXDOMAIN 缓存了半小时，后面 CF 那边记录早就写好了它也看不见，只能干等缓存过期。下次复现的时候在卡住那一刻分别对着 8.8.8.8 和你域名的权威 ns 查一次那条 TXT，一个说不存在另一个已经有了，就是它。顺便说一句小黄云跟这个没关系，橙云只作用在 A、AAAA、CNAME 上，TXT 根本不经过 CF 边缘，关不关都一样。

绕开的办法是别让校验走本地 resolver。1Panel 底下用的是 lego，能指定校验用的 DNS 服务器就填你域名的那两个 ns.cloudflare.com，直接问权威不吃负缓存，填 1.1.1.1 或者 8.8.8.8 没用，公共 resolver 一样缓存 NXDOMAIN。更省事的是提前在 CF 手动加一条 _acme-challenge 的 TXT 占位，值随便填，这样那个名字永远存在，最多吃一个记录本身的 TTL，五分钟就过去了。DD 的 debian12 跟这事没关系，换个系统一样会卡。

@dementor #2 佬友，方法1，在1panel申请证书时指定dns服务器，那里只让填写ip地址，不让填写ns.cloudflare.com，方法2，提示在cf添加_acme-challenge 的 TXT 占位也不行，我是给子域名申请证书，添加_acme-challenge这个不管用，添加_acme-challenge.3xxx这个，我申请3xxx.yuming.com时就报错了。

方法1 是我说岔了，那栏要的就是 IP，填 8.8.8.8 或者 114.114.114.114。它不是让你指定谁托管解析，是 1Panel 拿哪台 DNS 去查你的 TXT 生没生效，默认走系统的，有些机器上是 127.0.0.53，查不到就一直在那转。

方法2 也是我说岔了，占位这个思路本身不成立。1Panel 的手动解析是点了确认之后才把这次的 TXT 值返给你，每次现生成，你提前填一条值对不上的没用。要是你配的是 DNS 账号那种自动模式，就更不用自己加，acme 会自己建自己删。先去 CF 把手动加的那两条删掉。

记录名你没写错，3xxx.yuming.com 对应的就是 _acme-challenge.3xxx，CF 会自动补后面的域名。所以问题不在这。

报错原文贴一下，还有 1Panel 的版本。如果报的是 Did not find challenge value in TXT record、日志里能翻到一行 Cleaning DNS-01 challenge，那不是你配的问题，是 1Panel 自己的 bug，2.0.14 配 CloudFlare 自动 DNS 会在校验完成前把记录删掉，issue 11203。要是报的是找不到 zone 或者 401 那一类，就是 Token 权限，CF 那边要 Zone-DNS-Edit 加 Zone-Zone-Read，两个都要，而且 Zone Resources 得把 yuming.com 圈进去。