端口80被封且无法设置CNAME，Gin autotls如何生成SSL证书？

我一直尝试获取SSL证书，但我的ISP封禁了端口80，且域名服务不允许设置CNAME记录。就在我快要放弃时，我发现了autotls——部分Golang Web框架的一项功能，它居然成功为我生成了证书。我的问题是：这是如何实现的？能否有人为我解释其中原理？

• 核心：采用TLS-ALPN-01域名验证方案
  Let's Encrypt等证书颁发机构（CA）提供多种域名所有权验证方式，autotls默认使用TLS-ALPN-01替代了需要占用80端口的HTTP-01方案：

  • 该验证流程通过443端口（标准HTTPS端口）完成，绝大多数ISP不会封禁这个端口，刚好避开80端口被封的限制。
  • 验证时，autotls会临时启动一个TLS服务，在CA发起的TLS握手过程中，返回包含特定验证信息的证书，以此证明你对目标域名拥有控制权。

• 无需CNAME的直接验证逻辑
  TLS-ALPN-01不需要依赖CNAME记录做验证跳转：

  • CA会直接向你的域名解析指向的服务器IP发起443端口的TLS连接请求，autotls在本地服务器上直接处理这个验证请求，返回CA要求的验证内容。
  • 整个过程只需要确保你的域名A/AAAA记录正确指向服务器IP即可，不需要额外配置CNAME记录。

• autotls的封装简化
  autotls底层基于Go官方的autocert包实现，帮你封装了所有繁琐的证书流程：

  • 自动完成证书申请、验证、续期、本地缓存的全流程，不需要你手动对接ACME协议。
  • 当CA的验证请求到达时，autotls会自动拦截并处理TLS-ALPN-01的验证逻辑，不需要你修改现有Web服务的代码结构。

你的代码示例 #

package main

import (
  "log"
  "net/http"

  "github.com/gin-gonic/autotls"
  "github.com/gin-gonic/gin"
)

func main() {
  r := gin.Default()

  // Ping handler
  r.GET("/ping", func(c *gin.Context) {
    c.String(http.StatusOK, "pong")
  })

  log.Fatal(autotls.Run(r, "lubiak.k.vu", "mikolaj.minecraftnoob.com"))
}

内容的提问来源于stack exchange，提问作者funtoomen