Onderwerp: RIPE weigert nameservers als delegated NS

Beste WHTers,

Onze netwerk/colocatie provider heeft al enkele malen geprobeerd onze eigen nameservers aan te melden als delegate NS voor onze "eigen" IP range, maar blijkbaar accepteert de RIPE ze niet...

Heb de "config" meerdere malen gechecked (via http://www.db.ripe.net/cgi-bin/delcheck/delcheck2.cgi), maar daar komt niets geks uit. Sterker nog de config is 100% in orde volgens de checker.

Zijn er mogelijk ongeschreven regels waar de nameservers aan moeten voldoen welke ik niet op de website van RIPE terug kan vinden?

Oorspronkelijk geplaatst door Boyke

Beste WHTers,

Onze netwerk/colocatie provider heeft al enkele malen geprobeerd onze eigen nameservers aan te melden als delegate NS voor onze "eigen" IP range, maar blijkbaar accepteert de RIPE ze niet...

Heb de "config" meerdere malen gechecked (via http://www.db.ripe.net/cgi-bin/delcheck/delcheck2.cgi), maar daar komt niets geks uit. Sterker nog de config is 100% in orde volgens de checker.

Zijn er mogelijk ongeschreven regels waar de nameservers aan moeten voldoen welke ik niet op de website van RIPE terug kan vinden?

Je hebt inderdaad één of meer /24's (of /16's) , inderdaad precies op octet grenzen ?
Hebben ze een domain object gemaakt verwijzend naar je DNS servers , en de genoemde mnt-domains bij het inetnum object ?

http://www.ripe.net/data-tools/dns/r...rse-delegation
Hoezo "blijkbaar" ? Wat staat er in de reply mail of webpagina, al dan niet van de ripe robot ?

Overigens, ze kunnen die adres space aan jou delegeren (daar hoef jij zelf geen LIR voor te zijn), en dan kun je zelf de reverse DNSen toevoegen.

Ik weet niet of ze een domain object hebben gemaakt en deze heb doorverwezen naar onze DNS servers. Dat zal ik eens navragen, bedankt voor de tip.

Met "blijkbaar" doelde ik op het feit dat de provider beweert dat RIPE niet aangeeft waarom ze niet geaccepteerd worden.

"Overigens, ze kunnen die adres space aan jou delegeren (daar hoef jij zelf geen LIR voor te zijn), en dan kun je zelf de reverse DNSen toevoegen." -> Dit is ook precies mijn bedoeling, wij zijn namelijk zelf geen LIR.

Bij het invoeren van de nameservers krijg je gewoon een foutmelding terug als het niet lukt:

---
Modify FAILED: [domain] 96.72.37.in-addr.arpa
***Info: Authorisation passed
***Info: Syntax check passed

domain: 96.72.37.in-addr.arpa
descr: BITENCY-REVERSEDNS
admin-c: BC4098-RIPE
nserver: ns1.bitency.net
nserver: ns2.bitency.net
nserver: ns3.bestaatniet.nl
tech-c: BC4098-RIPE
zone-c: BC4098-RIPE
mnt-by: BITENCY-MNT
changed: d.opdeweegh@bitency.nl 20120126
source: RIPE

***Info: Authorisation for existing [domain] 96.72.37.in-addr.arpa
using mnt-by:
authenticated by: BITENCY-MNT

***RDNS: (related to ns3.bestaatniet.nl) ERROR (20
points): Could not look up an IP address for nameserver
ns3.bestaatniet.nl found in the submitted domain
object.


***Error: There are 20 or more problem points.
Delegation was not successful.


***Error: RDNS Authorisation failed

***Info: Authorisation for [domain] 96.72.37.in-addr.arpa
using mnt-by:
authenticated by: BITENCY-MNT

Oorspronkelijk geplaatst door Boyke

Ik weet niet of ze een domain object hebben gemaakt en deze heb doorverwezen naar onze DNS servers. Dat zal ik eens navragen, bedankt voor de tip.

Met "blijkbaar" doelde ik op het feit dat de provider beweert dat RIPE niet aangeeft waarom ze niet geaccepteerd worden.

Mijn eigen ervaring met RIPE wijzigingen doen is wel even geleden, maar destijds krijg je gewoon foutmeldingen, en ik kan me nauwelijks voorstellen dat dat slechter geworden is.
(ah, zie nu ook de post van dennis0162).
Ik denk eigenlijk dat je provider gewoon een beetje meer moet leren over RIPE.

Oorspronkelijk geplaatst door Boyke

"Overigens, ze kunnen die adres space aan jou delegeren (daar hoef jij zelf geen LIR voor te zijn), en dan kun je zelf de reverse DNSen toevoegen." -> Dit is ook precies mijn bedoeling, wij zijn namelijk zelf geen LIR.

Als ze eerst je adresreeks (grootste inetnum object) doen, kun jij zelf de rest daarop, of meer specifieke delen ervan doen.
Als je ze nog niet hebt, begin alvast met het maken van eigen maintainer, en contact/role objecten om eraan te hangen. Tenminste, ik neem aan dat , gegeven dat je zelf reverse DNS wilt doen, je ook zelf zichtbaar wilt zijn als verantwoordelijk voor die adressen.

Lijkt mij inderdaad ook dat je netjes een foutmelding terug krijgt.

Kan ik die objecten gewoon aanmaken zonder dat ik LIR ben?

Oorspronkelijk geplaatst door Boyke

Lijkt mij inderdaad ook dat je netjes een foutmelding terug krijgt.

Ja, maar die zijn niet altijd even duidelijk. Vraag je provider in ieder geval om je de exacte foutmelding even door te sturen..

Oorspronkelijk geplaatst door Boyke

Kan ik die objecten gewoon aanmaken zonder dat ik LIR ben?

Als jij het password van de betreffende maintainer weet, dan wel ja.

Heb je in de nameservers waarnaar de rDNS gedelegeerd wordt, de betreffende zones al wel aangemaakt? Hou er rekening mee dat dit een vereiste is, want RIPE voert automatisch een check op de nameservers uit om te kijken of die zones al wel bestaan. Als je dat dus nog niet gedaan had: maak die zones aan (en zorg er uiteraard voor dat de instellingen kloppen), en laat je provider het dan nog eens proberen.

Oorspronkelijk geplaatst door Boyke

Lijkt mij inderdaad ook dat je netjes een foutmelding terug krijgt.

Kan ik die objecten gewoon aanmaken zonder dat ik LIR ben?

Begin gewoon met je in te lezen in het RIPE database model, en dan kun je maintainer en person objecten aanmaken.
Zie oa:
https://www.ripe.net/data-tools/supp...on/doc-library
https://www.ripe.net/data-tools/db/faq
https://www.ripe.net/data-tools/db/f...-ripe-database

https://www.ripe.net/data-tools/dns/reverse-dns
Aardig : wat ik niet wist is dat RIPE ook rfc2317 classless delegation doet :
https://www.ripe.net/data-tools/dns/...rse-delegation

Oorspronkelijk geplaatst door Apoc

[over het aanmaken van die objecten]

Als jij het password van de betreffende maintainer weet, dan wel ja.

Nee, de vraag was, als wedervraag op mijn suggestie om dan ook meteen eigen maintainer en person objecten aan te maken, of hij dat gewoon kan doen zonder LIR te zijn.
En die (maintainer en person objecten) kan hij gewoon beginnen aan te maken.

Hi Boyke,

Het handigste is als je even vraagt wat voor soort error melding hij krijgt.

Vraag hem even om ook het mailtje wat hij naar de RIPE bot stuurt te mailen ( dat mag zonder het maintainer wachtwoord voor zijn maintainer )

Dan kan ik er wel even naar kijken. Dit is namelijk niet zo lastig en die RIPE bot geeft meestal exact aan waar de schoen wringt.

Mvg,
Erik Bais
A2B Internet

Oorspronkelijk geplaatst door Apoc

Heb je in de nameservers waarnaar de rDNS gedelegeerd wordt, de betreffende zones al wel aangemaakt? Hou er rekening mee dat dit een vereiste is, want RIPE voert automatisch een check op de nameservers uit om te kijken of die zones al wel bestaan. Als je dat dus nog niet gedaan had: maak die zones aan (en zorg er uiteraard voor dat de instellingen kloppen), en laat je provider het dan nog eens proberen.

Uiteraard, anders komen ze ook niet door de delegation checker heen -> http://www.db.ripe.net/cgi-bin/delcheck/delcheck2.cgi

Maar die maintainer en person objecten zijn die noodzakelijk bij het aanmelden van de nameservers? Moeten die dan al gekoppeld zijn aan de /24 in dit geval?

Oorspronkelijk geplaatst door Boyke

Uiteraard, anders komen ze ook niet door de delegation checker heen -> http://www.db.ripe.net/cgi-bin/delcheck/delcheck2.cgi

Maar die maintainer en person objecten zijn die noodzakelijk bij het aanmelden van de nameservers? Moeten die dan al gekoppeld zijn aan de /24 in dit geval?

Ik dacht dat een object altijd een maintainer (en tech-c/admin-c ) moest hebben; Of zo niet, dat een object ze erft van een hoger liggend object.
Die technische eis kun je nakijken in de URLs die ik gaf.

Maar je ISP zal waarschijnlijk gewoon zichzelf als noodzakelijke contact/maintainer objecten gebruikt hebben.
Als de DNS server de noodzakelijke zone heeft kan RIPE delegeren, of de beheerder van die DNS server nu wel of niet iemand is die als maintainer of tech-c genoemd staat;
Dat kan RIPE ook niet zien, tenslotte.

Je (dwz: de maintainer die aan een object hangt) kunt overigens later contacten en maintainers wijzigen voor een object;
Je kunt dus nu al de reverse DNS krijgen zonder eerst je eigen maintainer en person objecten te hebben, en die pas later (laten) toevoegen.

Noem gewoon eens de IP reeksen, dan kunnen we kijken wat er nu in staat.

Nu staan er gewoon de nameservers van de colocatie provider in. Zie ook https://stat.ripe.net/84.244.152.0/24

Het gaat om de zone 152.244.84.in-addr.arpa met gelijk een link naar de check rechtstreeks op onze nameservers -> http://www.db.ripe.net/cgi-bin/delch...ns_to_delegate

Oorspronkelijk geplaatst door Boyke

Nu staan er gewoon de nameservers van de colocatie provider in. Zie ook https://stat.ripe.net/84.244.152.0/24

Het gaat om de zone 152.244.84.in-addr.arpa met gelijk een link naar de check rechtstreeks op onze nameservers -> http://www.db.ripe.net/cgi-bin/delch...ns_to_delegate

Die nameservers moeten in het
domain-object 152.244.84.in-addr.arpa gezet worden, samen met een changed: regel.

Kijk op
https://apps.db.ripe.net/search/query.html
en tik '152.244.84.in-addr.arpa' als query in.
Dat is een whois lookup op een domain object (geen dns zone, de naam is alleen gelijk aan die van een reverse zone).

Dat huidige reverse domain object is al lang niet geupdate, en op moment kan alleen de We Dare maintainer het wijzigen.

Oorspronkelijk geplaatst door visser

Die nameservers moeten in het
domain-object 152.244.84.in-addr.arpa gezet worden, samen met een changed: regel.

Dat begrijp ik, maar dat is nu juist wat niet wil lukken omdat RIPE ze weigert volgens de informatie die ik heb gekregen.