DNSSEC et résolveur local problèmes de validation

Question

yo la team
on a mis en place du dnssec sur nos zones publiques c'est validé partout sur les outils en ligne. mais nos serveurs internes (ubuntu server avec bind9 configuré en résolveur récursif) ont du mal à valider les requêtes. des sites comme cloudflare youtube ou google marchent nickel par contre nos propres domaines ne passent pas la validation. j'ai servfail et RRSIG signature verification failed dans les logs de bind. une idée ?
# named.conf.options sur nos serveurs
options {
    directory "/var/cache/bind";
    recursion yes;
    allow-recursion { any; };
    dnssec-enable yes;
    dnssec-validation auto;
    listen-on { any; };
};

vincent63 · Answer

salut
t'as bien importé les clés racine dnssec (DS records) pour tes zones dans le registre de ton nom de domaine ? si les DS sont pas là ou sont incorrects tes résolveurs pourront pas chainer la confiance jusqu'à ta zone et la validation échouera

jourdan-andre · Answer

aussi check l'heure de tes serveurs bind. si l'heure est désynchronisée même de quelques minutes les signatures RRSIG peuvent être interprétées comme invalides. le ntp c'est critique pour dnssec

alain-louis · Answer

les ds records sont bien en place et validés par l'outil de notre registrar. ntp est nickel aussi les serveurs sont synchro. c'est vraiment juste nos domaines qui posent problème les autres passent

vincent63 · Answer

ok bizarre. quand tu dis "nos domaines" c'est ceux où tu as mis en place dnssec ? t'as vérifié les dates de début/fin de validité des RRSIG générées par ton outil de signature ? des fois il y a un décalage entre l'heure de génération et l'heure système sur les résolveurs

gbonnin · Answer

et t'as pas un firewall quelque part qui bloquerait les requêtes pour les DNSKEY ou les NSEC/NSEC3 ? des fois certains firewalls font du dns inspection et ça peut casser la chaîne de confiance

jourdan-andre · Answer

dernière piste regarde la taille de tes réponses DNS. si tes records RRSIG ou NSEC sont trop gros ils peuvent dépasser la taille UDP classique et si tu as pas de EDNS0 correctement configuré ou un firewall qui bloque TCP port 53 ça peut poser problème

alain-louis · Answer

bon j'ai revérifié les signatures et en fait notre générateur de clés DNSSEC avait un bug sur la rotation automatique il avait pas mis à jour le dernier RRSIG pour une de nos zones. du coup les résolveurs voyaient une signature périmée. corrigé ça et tout est rentré dans l'ordre. merci les gars pour le coup de main

DNSSEC et résolveur local problèmes de validation

Commentaires

Laisser une réponse

DevOps et méthodologie Agile

Fonctionnement et manipulation des Volumes

Les Vaults sur Ansible

Rejoindre la communauté