DNS

给 WireGuard Endpoint 排除 Fake-IP 后，我重启了 OpenClash。随后 PicGo 报图床域名解析失败。一开始以为是那个域名的记录坏了，后来发现是旁路由的普通 DNS 查询出了问题。 怎么确认是旁路由 DNS Mac 走 OpenWrt 旁路由时，查询图床域名返回 SERVFAIL；直接问主路由却能得到真实 IP。baidu.com 等需要真实 IP 的域名也失败，而 google.com 还能拿到 198.18.x.x 的 Fake-IP。这说明“Fake-IP 能返回”不等于上游 DNS 正常。 ...

先说结论： 服务没有开放 80/443 端口时，不能直接走依赖 80 端口的 HTTP-01 验证。这次我改用 acme.sh + Cloudflare DNS Challenge 申请泛域名证书，再通过 --install-cert 写回 Nginx 挂载目录，并在续期后自动重启容器。 背景 我有一套自建的 Docker Registry Proxy 服务，可看这篇博客：docker 自建镜像加速，用来代理 Docker Hub、GHCR、Quay、GCR、K8S、MCR、NVCR 等镜像源。 ...