Onderwerp: Dnssec

Gezien het aantal reacties in korte tijd hier zal ik even in het openbaar wat dingen aangeven:
- Om de module makkelijk bruikbaar te maken voor meerdere partijen (zonder verdere tussenkomst van ons) is circa 4 uur werk vereist (denk aan aanpassen en documenteren)
- Op de PowerDNS omgevingen zullen enkele scripts toegevoegd moeten worden
- 1 PowerDNS server doet het signen
- De enige plek waar een naam van ons te zien zal zijn zal in de plugin manager zijn (onder Author)
- In dit geval zal de module enkel met de gmysqlbackend werken (dit is in de toekomst vrij simpel uit te breiden indien gewenst)

Als er minimaal 250 euro (excl. BTW) bij elkaar wordt gebracht voor het openbaar maken zonder verdere beperkingen mbt de module en scripts dan zal dit gebeuren. Daarnaast is een iets aangepaste versie (tegen vergoeding) ook mogelijk en zullen er ook ondersteuning aangeboden worden.

100 hierbij toegezegd van de 250.

Bij deze ook 100.

Nou dan doe ik mee met de andere 50

Later deze week zal een bijgewerkte versie openbaar worden gemaakt incl. documentatie. Met Bart L, getUP en patrickekkel zal ik vandaag per pm contact opnemen voor de verdere afhandeling.

Top! Als er nog ergens een duit in het zakje moet hoor ik dat wel!

Duit + zakje = zet mij ook maar op een lijstje om de kosten te delen :-)

Mijn bijdrage is zojuist betaald

Wat zou het kosten om ook BIND slaves te gaan ondersteunen? Hebben hier meer mensen interesse in?

Wij doen dit met Plesk, maar met DA is in principe hetzelfde. Wij gebruiken PowerDNS servers met supermaster configuratie. De BIND DNS servers van DA en Plesk sturen een notify naar de PowerDNS servers, en de PowerDNS servers halen de zones van de DA/Plesk servers op. VErvolgens gebruiken we PowerDNS om de zones te signen. Deze methode heet 'signing slave'. De slave server signed de domeinen.

Voordeel van deze methode is dat je ook 1 set DNS servers kunt gebruiken voor meerdere DA/Plesk servers.

Mark,

Zoals eerder aangegeven is er vanuit hier ook interesse.
Uiteraard tegen een vergoeding. € 100,- voldoende?

Zie graag je PM voorbijkomen!

Oorspronkelijk geplaatst door Boyke

Wat zou het kosten om ook BIND slaves te gaan ondersteunen? Hebben hier meer mensen interesse in?

Is het een optie als je BIND -> PowerDNS -> BIND gebruikt of wil je PowerDNS er niet tussen hebben zitten? Deze optie is namelijk vrij simpel op te zetten en vergt enkel wat extra documentatie (en de eis dat BIND bepaalde checks doet of wekelijks het SOA record wordt bijgewerkt). De "laatste" BIND moet dan wel ondersteuning voor DNSSEC hebben.

Het aanpassen om BIND slaves te kunnen gebruiken zonder PowerDNS moet ook wel mogelijk zijn, hoeveel tijd dit gaat kosten zal ik echter uit moeten zoeken (aangezien we dit zelf niet gebruiken). Als de vereiste informatie in een database te zetten is dan is dit overigens ook een optie met de plugin die ik op korte termijn verwacht vrij te geven.

Vast een korte update aangezien ik aan had gegeven dat de module op korte termijn uit zou komen.

De module is af en bijna alles staat klaar voor vrijgave. Enkel de domeinnaam die we voor ondersteuning/verspreiding/informatie gaan gebruiken moeten we nog bepalen. Zodra deze geregeld is volgt een post met links naar de downloads. De verdere site op deze domeinnaam gaat de komende tijd vorm krijgen.

Voor iedereen die de module al heeft geïnstalleerd is de update al beschikbaar.

Later deze week zal de site af zijn. Alles spreekt verder redelijk voor zich en/of is gedocumenteerd in de bestanden zelf. De plugin kan via DirectAdmin gedownload en geïnstalleerd worden, de scripts moeten op dnssec.php komen te draaien op de PowerDNS server die het signen moet doen. Enkel dnssec.php moet via internet bereikbaar zijn (vul hiervoor de URL in).

Let op: er wordt geen gebruik gemaakt van een lokale cache om de snelheid te verbeteren.

DA plugin: http://www.tools4isp.org/da_tools4isp_dnssec.tar.gz
Scripts: http://www.tools4isp.org/scripts.tar.gz

Vervolgens is een cronjob toevoegen om bepaalde rechten goed te zetten wel van belang. De melding hiervoor volgt aan het eind van de installatie op het scherm.

Tips voor verbeteringen zijn uiteraard welkom.

Kunnen we het script ergens anders plaatsen dan op onze eigen DNS servers? En is het verder te beveiligen vanuit de code? Het lijkt mij niet gewenst om dit zo open te zetten.