PDA

Bekijk Volledige Versie : Powerdns slave met dnssec


Arieh
18/11/15, 00:11
Ik heb een simpele bind-master met powerdns-slave via axfr setup en wil dnssec werkend krijgen. Alles gaat goed, behalve dat powerdns weigert de RRSIG records terug te geven. De DNSKEY returned ie wel. Bind geeft beide netjes.

Als ik dit check:
pdnssec check-zone <domain>



[Error] DNSKEY in non-presigned zone will mostly be ignored and can cause problems.
[Error] DNSKEY in non-presigned zone will mostly be ignored and can cause problems.


Nu had ik gevonden dat je dan pdnssec set-presigned <domein> moet draaien, dat geeft echter geen output en verandert niets aan de zaak.

pdnssec set-nsec3 <domein> pakt ie niet: Zone '<domein>.nl' is not secured, can't set NSEC3 parameters

Is dit in principe op deze manier wel mogelijk? En moeten deze commands voor ieder domein worden uitgevoerd?
Arieh
20/11/15, 01:51
Ben maar overgestapt op directslave icm bind. Werkt zonder problemen :)
Marin
20/11/15, 18:59
Ben maar overgestapt op directslave icm bind. Werkt zonder problemen :)

Dat werkt inderdaad prima met DNSSec
Mark17
20/11/15, 21:41
Met PowerDNS zou het ook gewoon met DNSsec moeten werken. Wel moet je kiezen waar je DNSsec wilt regelen, op de DirectAdmin server met bind of op een PowerDNS server. In het laatste geval wil je overigens de DirectAdmin server hoogstens als hidden slave hebben. Verschillende scripts hiervoor hebben we beschikbaar gemaakt onder een GPL licentie.
Arieh
21/11/15, 00:06
Ja ik vond de Powerdns slave setup op zich best aardig, al vind ik het nu iets netter opgelost. Domeinen worden nu ook meteen verwijderd en is er qua onderhoud/updates weinig werk. PowerDNS is misschien handiger als je die inzet als master en een mooi onafhankelijk cluster wilt.


Met PowerDNS zou het ook gewoon met DNSsec moeten werken. Wel moet je kiezen waar je DNSsec wilt regelen, op de DirectAdmin server met bind of op een PowerDNS server. In het laatste geval wil je overigens de DirectAdmin server hoogstens als hidden slave hebben. Verschillende scripts hiervoor hebben we beschikbaar gemaakt onder een GPL licentie.

Staan die scripts toevallig ergens online? Kan altijd van pas komen :)
Mark17
22/11/15, 20:43
Staan die scripts toevallig ergens online? Kan altijd van pas komen :)

https://github.com/tools4isp/dnsshop/
De meest relevante scripts staan in cron als je de rest niet wilt hebben.