Onderwerp: DNSSec - of all people....

Ik zit (default) achter een validating resolver .
Dit blijkt te werken as designed .

En het webhostingtalk.nl claimt DNSSec, maar dat is kapot.

http://dnssec-debugger.verisignlabs....hostingtalk.nl

Found 1 DS records for webhostingtalk.nl in the nl zone
Found 1 RRSIGs over DS RRset
RRSIG=37666 and DNSKEY=37666 verifies the DS RRset
No DNSKEY records found
webhostingtalk.nl A RR has value 109.72.90.229
No RRSIGs found
No RRSIGs found
No RRSIGs found
No RRSIGs found

Plz fix ;-)

Ik heb wel een voorkeur voor understatement, maar ik hoop dat duidelijk is dat dit geen cosmetisch issue maar een totale outage voor degenen die een validating resolver gebruiken betreft.

Was gisteren de hele avond weg maar we zijn er mee bezig.

Zodra de TTL van de webhostingtalk.nl records is verlopen zou het probleem opgelost moeten zijn.
Het bleek te gaan om een bug met PowerDNS in combinatie met Debian/Ubuntu.

Excuses voor het ongemak.

Oorspronkelijk geplaatst door Domenico

Zodra de TTL van de webhostingtalk.nl records is verlopen zou het probleem opgelost moeten zijn.
Het bleek te gaan om een bug met PowerDNS in combinatie met Debian/Ubuntu.

Excuses voor het ongemak.

Zeker ? Ik ben nog niet helemaal los op DNS Sec, maar dit ziet er nog niet compleet uit :

http://dnsviz.net/d/webhostingtalk.nl/dnssec/
(en ook http://dnssec-debugger.verisignlabs....hostingtalk.nl )

Het lijkt me te zeggen dat het DS record in de .nl zone niet matched met de (nieuwe ?) records in de webhostingtalk.nl zone .

(
Error :
webhostingtalk.nl/DNSKEY: DS RRs exist for algorithm(s) 8 in the nl zone, but no matching DNSKEYs of algorithm(s) 8 were used to sign the webhostingtalk.nl DNSKEY RRset.
Warning : webhostingtalk.nl/DS (alg 8, id 104) digest alg=2:The DS RR(s) do not correspond to any DNSKEY in the webhostingtalk.nl zone.)

Ach ja, er zijn helaas wel meer providers niet in staat om DNSSEC voor elkaar te krijgen

TransIP: http://dnscheck.iis.se/?time=1350570...&test=standard

PCextreme: http://dnscheck.iis.se/?time=1350570...&test=standard

tja, volgens mij komen registrats er inmiddels achter dat er toch nog zeer weinig (lees: niemand) mensen met een validating resolver werken en het puur aanbieden van keymateriaal al voldoende is om korting te krijgen bij de SIDN op je domeinen...

of het nu klopt of niet...

Het probleem was hier op kantoor ook. En als de DNS ergens strikt is

Anyway, goed dat het opgelost is.

Ja nog niet opgelost. Althans het is even afwachten. Gaat wel goed komen uiteraard.

Oorspronkelijk geplaatst door Domenico

Zodra de TTL van de webhostingtalk.nl records is verlopen zou het probleem opgelost moeten zijn.
Het bleek te gaan om een bug met PowerDNS in combinatie met Debian/Ubuntu.

Excuses voor het ongemak.

Een verouderde PowerDNS versie? Voor 3.1 wordt afgeraden voor DNSsec.

http://dnsviz.net/d/sinnerg.nl/dnssec/ is ook PowerDNS op Debian.

Overigens zijn er nog een aantal algemene problemen waar alle partijen tegen aanlopen, aan het mogelijk maken van secure verhuizen wordt gewerkt voor zover ik weet. Er zijn momenteel 3 acces providers die DNSsec valideren (T-mobile voor mobiel internet, Bit, XS4ALL op 1 van de clusters).

Vervelend want het werkt nog steeds niet.

Hulp nodig? Kan wel even een pakketje aanmaken met werkende DNSsec ondersteuning

Volgens deze check is het nu goed. Kan iemand achter een validating resolver dit even testen?

http://dnssec-debugger.verisignlabs....hostingtalk.nl

Oorspronkelijk geplaatst door Domenico

Volgens deze check is het nu goed. Kan iemand achter een validating resolver dit even testen?

http://dnssec-debugger.verisignlabs....hostingtalk.nl

Ik kan nu niet bij de resolver waar ik het probleem mee constateerde, maar de OARC resolvers zijn tevreden.
https://www.dns-oarc.net/oarc/services/odvr

Nu ben ik natuurlijk wel nieuwsgierig naar wat meer details omtrent oorzaak cq leermomenten ...

Domenico: dit bericht komt via een validerende resolver. Alles weer goed dus.