Bekijk Volledige Versie : Dnssec
Allen,
Heeft er iemand al een fatsoenlijke oplossing voor DNSSEC binnen DA? Wij zijn nu langzaam over aan het gaan van ons eigen custom CP naar DA, en DNSSEC is toch wel een gemis.
Tegen de tijd dat DA het zelf heeft geïmplementeerd hebben wij allemaal al een baard vermoed ik zo.
Zet een PowerDNS cluster op verspreid over meerdere locaties, sluit al je DirectAdmin servers aan op het cluster, verwijs je nameservers naar je cluster en zet alle domeinen op die nameservers. En laat PowerDNS het DNSSEC deel regelen. Heb je geen gedoe met nameserver wijzigingen als je eens een site van de ene server naar de andere verhuisd en je DNS platform is ook meteen redundant (ipv de nameservers van 1 DirectAdmin server te gebruiken).
Zet een PowerDNS cluster op verspreid over meerdere locaties, sluit al je DirectAdmin servers aan op het cluster, verwijs je nameservers naar je cluster en zet alle domeinen op die nameservers. En laat PowerDNS het DNSSEC deel regelen. Heb je geen gedoe met nameserver wijzigingen als je eens een site van de ene server naar de andere verhuisd en je DNS platform is ook meteen redundant (ipv de nameservers van 1 DirectAdmin server te gebruiken).
Thanks, we hebben al redundancy met een tweede ns naast da. Maar de ns1 ondersteunt nu dus geen dnssec :)
Maar gaat da in jou setup de zone nog wel kunnen beheren?
Thanks, we hebben al redundancy met een tweede ns naast da. Maar de ns1 ondersteunt nu dus geen dnssec :)
Maar gaat da in jou setup de zone nog wel kunnen beheren?
Als je het slim aanpakt kan dat, de hidden master is dan Bind op een DA server en de slave(s) zijn dan bv PowerDNS en die doen het signen. Deze methode passen wij zelf al geruime tijd toe.
Overigens heb ik net op het DA forum een topic geopend voor een eigen plugin voor DA die even snel in elkaar gezet is. Aanpassingen zodat anderen hem kunnen gebruiken wil ik wel maken (meld het dan even).
Als je het slim aanpakt kan dat, de hidden master is dan Bind op een DA server en de slave(s) zijn dan bv PowerDNS en die doen het signen. Deze methode passen wij zelf al geruime tijd toe.
Overigens heb ik net op het DA forum een topic geopend voor een eigen plugin voor DA die even snel in elkaar gezet is. Aanpassingen zodat anderen hem kunnen gebruiken wil ik wel maken (meld het dan even).
Zou je de link van dat topic even kunnen posten :) ?
Zou je de link van dat topic even kunnen posten :) ?
Bij deze http://forum.directadmin.com/showthread.php?t=47487
Thanks mark, ik kom hier nog ff bij je op terug :)
Ik zat ook al een tijdje rond te kijken. Op zich werkt de huidige setup mooi (aantal DA servers in cluster over meerdere locaties voor DNS), alleen is DNSSEC wel steeds meer een gemis. Eigenlijk zit ik er niet op te wachten om er nog eens apart PowerDNS naast te zetten. Maar als het niet anders is, moet ik er toch maar eens naar kijken.
Oh, dat is tof Mark. Ik heb zeker interesse om dit aangepast te zien voor een 'normale' PowerDNS set-up. Is ook geen probleem om daar financieel wat voor bij te dragen als anderen hier ook mee geholpen zijn.
Thanks, we hebben al redundancy met een tweede ns naast da. Maar de ns1 ondersteunt nu dus geen dnssec :)
Maar gaat da in jou setup de zone nog wel kunnen beheren?
Je kunt via DA gewoon de zone beheren ja :) En je hebt ook geen gedoe met extra DA servers die erbij komen en hun eigen nameserver weer hebben. En mooie service om aan je VPS/dedicated server klanten aan te bieden.
dennis0162
06/10/13, 12:40
Oh, dat is tof Mark. Ik heb zeker interesse om dit aangepast te zien voor een 'normale' PowerDNS set-up. Is ook geen probleem om daar financieel wat voor bij te dragen als anderen hier ook mee geholpen zijn.
Daar heb ik ook wel interesse in.
Oh, dat is tof Mark. Ik heb zeker interesse om dit aangepast te zien voor een 'normale' PowerDNS set-up. Is ook geen probleem om daar financieel wat voor bij te dragen als anderen hier ook mee geholpen zijn.
Dit systeem werkt onder water met een standaard PowerDNS setup met gmysqlbackend, vervolgens draaien er een aantal scripts mbt het DNSSEC verhaal en haalt deze module eigenlijk enkel de informatie die is verzameld door deze scripts op. Op 1 van de gebruikte scripts na is alles inmiddels al via het net beschikbaar gemaakt door ons.
Ik zal per pm even contact opnemen.
magentohosting
06/10/13, 15:49
Ook vanuit hier is interesse hiervoor.
Op dit moment draaien er 2 PowerDNS servers die vanuit DirectAdmin verder aangestuurd worden.
Wat heb je verder van ons nodig om het verder compatible te maken?
Ook wij draaien dezelfde setup omgeving als hierboven en ook wij doen graag mee in vorm van vergoeding e.d.
Ook wij draaien dezelfde setup omgeving als hierboven en ook wij doen graag mee in vorm van vergoeding e.d.
Geldt natuurlijk ook voor ons.
Gezien het aantal reacties in korte tijd hier zal ik even in het openbaar wat dingen aangeven:
- Om de module makkelijk bruikbaar te maken voor meerdere partijen (zonder verdere tussenkomst van ons) is circa 4 uur werk vereist (denk aan aanpassen en documenteren)
- Op de PowerDNS omgevingen zullen enkele scripts toegevoegd moeten worden
- 1 PowerDNS server doet het signen
- De enige plek waar een naam van ons te zien zal zijn zal in de plugin manager zijn (onder Author)
- In dit geval zal de module enkel met de gmysqlbackend werken (dit is in de toekomst vrij simpel uit te breiden indien gewenst)
Als er minimaal 250 euro (excl. BTW) bij elkaar wordt gebracht voor het openbaar maken zonder verdere beperkingen mbt de module en scripts dan zal dit gebeuren. Daarnaast is een iets aangepaste versie (tegen vergoeding) ook mogelijk en zullen er ook ondersteuning aangeboden worden.
100 hierbij toegezegd van de 250.
patrickekkel
07/10/13, 11:44
Nou dan doe ik mee met de andere 50
Later deze week zal een bijgewerkte versie openbaar worden gemaakt incl. documentatie. Met Bart L, getUP en patrickekkel zal ik vandaag per pm contact opnemen voor de verdere afhandeling.
Top! Als er nog ergens een duit in het zakje moet hoor ik dat wel!
Duit + zakje = zet mij ook maar op een lijstje om de kosten te delen :-)
patrickekkel
08/10/13, 11:17
Mijn bijdrage is zojuist betaald :)
Wat zou het kosten om ook BIND slaves te gaan ondersteunen? Hebben hier meer mensen interesse in?
Wij doen dit met Plesk, maar met DA is in principe hetzelfde. Wij gebruiken PowerDNS servers met supermaster configuratie. De BIND DNS servers van DA en Plesk sturen een notify naar de PowerDNS servers, en de PowerDNS servers halen de zones van de DA/Plesk servers op. VErvolgens gebruiken we PowerDNS om de zones te signen. Deze methode heet 'signing slave'. De slave server signed de domeinen.
Voordeel van deze methode is dat je ook 1 set DNS servers kunt gebruiken voor meerdere DA/Plesk servers.
magentohosting
08/10/13, 14:02
Mark,
Zoals eerder aangegeven is er vanuit hier ook interesse.
Uiteraard tegen een vergoeding. € 100,- voldoende?
Zie graag je PM voorbijkomen!
Wat zou het kosten om ook BIND slaves te gaan ondersteunen? Hebben hier meer mensen interesse in?
Is het een optie als je BIND -> PowerDNS -> BIND gebruikt of wil je PowerDNS er niet tussen hebben zitten? Deze optie is namelijk vrij simpel op te zetten en vergt enkel wat extra documentatie (en de eis dat BIND bepaalde checks doet of wekelijks het SOA record wordt bijgewerkt). De "laatste" BIND moet dan wel ondersteuning voor DNSSEC hebben.
Het aanpassen om BIND slaves te kunnen gebruiken zonder PowerDNS moet ook wel mogelijk zijn, hoeveel tijd dit gaat kosten zal ik echter uit moeten zoeken (aangezien we dit zelf niet gebruiken). Als de vereiste informatie in een database te zetten is dan is dit overigens ook een optie met de plugin die ik op korte termijn verwacht vrij te geven.
Vast een korte update aangezien ik aan had gegeven dat de module op korte termijn uit zou komen.
De module is af en bijna alles staat klaar voor vrijgave. Enkel de domeinnaam die we voor ondersteuning/verspreiding/informatie gaan gebruiken moeten we nog bepalen. Zodra deze geregeld is volgt een post met links naar de downloads. De verdere site op deze domeinnaam gaat de komende tijd vorm krijgen.
Voor iedereen die de module al heeft geïnstalleerd is de update al beschikbaar.
Later deze week zal de site af zijn. Alles spreekt verder redelijk voor zich en/of is gedocumenteerd in de bestanden zelf. De plugin kan via DirectAdmin gedownload en geïnstalleerd worden, de scripts moeten op dnssec.php komen te draaien op de PowerDNS server die het signen moet doen. Enkel dnssec.php moet via internet bereikbaar zijn (vul hiervoor de URL in).
Let op: er wordt geen gebruik gemaakt van een lokale cache om de snelheid te verbeteren.
DA plugin: http://www.tools4isp.org/da_tools4isp_dnssec.tar.gz
Scripts: http://www.tools4isp.org/scripts.tar.gz
Vervolgens is een cronjob toevoegen om bepaalde rechten goed te zetten wel van belang. De melding hiervoor volgt aan het eind van de installatie op het scherm.
Tips voor verbeteringen zijn uiteraard welkom.
Kunnen we het script ergens anders plaatsen dan op onze eigen DNS servers? En is het verder te beveiligen vanuit de code? Het lijkt mij niet gewenst om dit zo open te zetten.
Een aantal van de scripts vereisen de aanwezigheid van pdnssec en dit programma zit bij de installatie van PowerDNS. Daarnaast is een kopie van de PowerDNS database vereist (met schrijfrechten). Dit kan verder uiteraard perfect op een andere server draaien (deze hoeven niet via http/https bereikbaar te zijn). Daarnaast moet dnssec.php via http/https bereikbaar zijn, deze heeft enkel leesrechten op de PowerDNS database nodig. Het beperken van de toegang tot dnssec.php kan gedaan worden middels bv een .htaccess bestand met een IP restrictie tot de systemen waar je de plugin installeert. Het voordeel van het beperken is overigens beperkt, de verstrekte informatie maak je ook openbaar (direct of indirect) via DNS.
THanks Mark. Wij gaan het allemaal ook eens bekijken. Lijkt ons een mooie oplossing. We zullen snel terugkomen met wat testresultaten.
Marco Mahieu
31/10/13, 23:48
Allen,
Heeft er iemand al een fatsoenlijke oplossing voor DNSSEC binnen DA? Wij zijn nu langzaam over aan het gaan van ons eigen custom CP naar DA, en DNSSEC is toch wel een gemis.
Tegen de tijd dat DA het zelf heeft geïmplementeerd hebben wij allemaal al een baard vermoed ik zo.
Wij hebben hiervoor een eigen script ontwikkeld, welke tevens gelijk zorg draagt voor de MX fallback. Werkt met Plesk & DirectAdmin servers. Draait al jaren zonder problemen.
Vanderblom
21/11/13, 22:12
Later deze week zal de site af zijn. Alles spreekt verder redelijk voor zich en/of is gedocumenteerd in de bestanden zelf. De plugin kan via DirectAdmin gedownload en geïnstalleerd worden, de scripts moeten op dnssec.php komen te draaien op de PowerDNS server die het signen moet doen. Enkel dnssec.php moet via internet bereikbaar zijn (vul hiervoor de URL in).
Let op: er wordt geen gebruik gemaakt van een lokale cache om de snelheid te verbeteren.
DA plugin: http://www.tools4isp.org/da_tools4isp_dnssec.tar.gz
Scripts: http://www.tools4isp.org/scripts.tar.gz
Vervolgens is een cronjob toevoegen om bepaalde rechten goed te zetten wel van belang. De melding hiervoor volgt aan het eind van de installatie op het scherm.
Tips voor verbeteringen zijn uiteraard welkom.
Klopt het dat de bestanden corrupt zijn?
Even getest, en ze downloaden prima
Onder Windows geven de meeste programma's dit wel aan. Als ik hem uitpak op m`n Linux console is deze gewoon goed.
THanks Mark. Wij gaan het allemaal ook eens bekijken. Lijkt ons een mooie oplossing. We zullen snel terugkomen met wat testresultaten.
Heb je het inmiddels getest?