Projet

Général

Profil

Historique

Wiki » Divers »

DNS

Voir aussi DNSSEC et Bind

Liens

Bonne présentation au dernier RIPE sur les outils de déboguage DNS. Même les gens expérimentés y trouveront au moins un truc qu'ils ne connaissaient pas. https://ripe64.ripe.net/presentations/33-DNS_debug+monitor.pdf

Principaux manques : dans la partie validation d'un fichier de zone, validns, et dans celle de l'analyse des données, DNSwitness. https://wiki.auto-hebergement.fr/coop%C3%A9ration/serveur_de_noms_secondaire

Un très bon rapport d'étudiants (c'est sympa, de faire bosser des étudiants sur des problèmes intéressants et utiles) : « Defending against DNS reflection amplification attacks » http://www.nlnetlabs.nl/downloads/publications/report-rrl-dekoning-rozekrans.pdf

Résolution de noms : les programmeurs vont-ils avoir de meilleures interfaces ? http://www.bortzmeyer.org/resolution-noms-api.html

Sujets

  • Alternatives a bind9 ?
  • Comment migrer ces zones ?
  • Peut-on utiliser plusieurs implémentations DNS de manière synchronisée en même temps ?
  • Comment faire de l'anycast ?
  • Partager ces services avec d'autres structures ?

Astuces

sileht: dig sur bind permets de recuperer le vrai hostname de la machine interrogée :
dig @sileht.net hostname.bind txt ch
pour detecter DNS load balancé: for j in $(seq 0 20) ; do dig @a.dns.gandi.net hostname.bind txt ch +short ; done

https://lists.dns-oarc.net/pipermail/dns-operations/2011-December/007857.html

FYI: here's a pcap filter that will match only UDP DNS ANY queries:

udp and dst port 53 and udp[10]&0xf8=0 and udp[12:4]=65536 and udp[16:4]=0 and udp[udp[4:2]-3]=255

It only works for IPv4 (that's a pcap limitation).

http://whatsmydns.net is an online service that allows you to instantly perform a DNS lookup to check a hostnames current IP Address and other DNS information against a selection of random name servers around the world.

Il y a aussi : http://viewdns.info/propagation/ - http://dnschk.com/ - : http://www.preshweb.co.uk/cgi-bin/dns-propagation-tracker.pl

Misc

Verisign NS

http://lists.tetaneutral.net/pipermail/technique/2013-August/000984.html
http://lists.tetaneutral.net/pipermail/technique/2013-August/000985.html

Après quelques recherches, il s'avère que Verisign, le registre de
com/net, veut aussi un glue dans le contexte où, pour mazone.net, on
veut un serveur qui fait autorité en ns.autrezone.(net|com). On trouve
une illustration concrète ici :

http://groups.gandi.net/fr/topic/gandi.fr.domaine.dns/19733

Délégation de zone

Exemple de délégation du domaine toto.tetaneutral.net à la machine 91.224.149.XX (peut importe sont vrai nom)

$ORIGIN toto.tetaneutral.net.
@                      IN  NS    ns.toto.tetaneutral.net.
ns                     IN  A      91.224.149.XX
ns                     IN  AAAA   2a01:6600:8081:XX00::1

recursion

Pour limiter les requêtes recursives aux IP tetaneutral.net dans /etc/bind/named.conf.options :

allow-recursion { 91.224.148.0/23; 2a01:6600:8000::/40; };

Transferts

http://www.mail-archive.com/frnog@frnog.org/msg18590.html
http://www.icann.org/en/resources/registrars/transfers
http://www.icann.org/en/resources/registrars/transfers/policy