Powerdns slave met dnssec

[Arieh]

Ik heb een simpele bind-master met powerdns-slave via axfr setup en wil dnssec werkend krijgen. Alles gaat goed, behalve dat powerdns weigert de RRSIG records terug te geven. De DNSKEY returned ie wel. Bind geeft beide netjes.

Als ik dit check:
pdnssec check-zone <domain>

[Error] DNSKEY in non-presigned zone will mostly be ignored and can cause problems.
[Error] DNSKEY in non-presigned zone will mostly be ignored and can cause problems.

Nu had ik gevonden dat je dan pdnssec set-presigned <domein> moet draaien, dat geeft echter geen output en verandert niets aan de zaak.

pdnssec set-nsec3 <domein> pakt ie niet: Zone '<domein>.nl' is not secured, can't set NSEC3 parameters

Is dit in principe op deze manier wel mogelijk? En moeten deze commands voor ieder domein worden uitgevoerd?

[Arieh]

Ben maar overgestapt op directslave icm bind. Werkt zonder problemen

[Marin]

Ben maar overgestapt op directslave icm bind. Werkt zonder problemen

Dat werkt inderdaad prima met DNSSec

[Mark17]

Met PowerDNS zou het ook gewoon met DNSsec moeten werken. Wel moet je kiezen waar je DNSsec wilt regelen, op de DirectAdmin server met bind of op een PowerDNS server. In het laatste geval wil je overigens de DirectAdmin server hoogstens als hidden slave hebben. Verschillende scripts hiervoor hebben we beschikbaar gemaakt onder een GPL licentie.

[Arieh]

Ja ik vond de Powerdns slave setup op zich best aardig, al vind ik het nu iets netter opgelost. Domeinen worden nu ook meteen verwijderd en is er qua onderhoud/updates weinig werk. PowerDNS is misschien handiger als je die inzet als master en een mooi onafhankelijk cluster wilt.

Met PowerDNS zou het ook gewoon met DNSsec moeten werken. Wel moet je kiezen waar je DNSsec wilt regelen, op de DirectAdmin server met bind of op een PowerDNS server. In het laatste geval wil je overigens de DirectAdmin server hoogstens als hidden slave hebben. Verschillende scripts hiervoor hebben we beschikbaar gemaakt onder een GPL licentie.

Staan die scripts toevallig ergens online? Kan altijd van pas komen

[Mark17]

Staan die scripts toevallig ergens online? Kan altijd van pas komen

https://github.com/tools4isp/dnsshop/
De meest relevante scripts staan in cron als je de rest niet wilt hebben.