Archiv für ‘DNS’

aol.com mit DNS-Problemen

21. Dezember 2010 11:25 | Autor: Marc | Keine Kommentare | Kategorie(n): Allgemeines

Heute Morgen ist einem Benutzer der Postfix-Mailingliste aufgefallen, dass die Domain aol.com keinen MX-Record mehr hat. Eine kurze Abfrage per dig hat dies bestätigt. Da aol.com-Mailadressen meines Wissens nach aber durchaus noch existieren, ist dies vermutlich so nicht gewollt.

Inzwischen fehlt auch der A-Record. NS- und SOA-Records sind (zumindest bisher) noch auflösbar.

 

ENUM

30. Mai 2010 21:41 | Autor: Marc | Keine Kommentare | Kategorie(n): Allgemeines

Kennt hier jemand ENUM?
Die Wahrscheinlichkeit dürfte gering sein. Obwohl es ENUM schon einige Jahre gibt – bei der DeNIC seit 2002. Es ist bisher nicht über den Test-Status hinausgekommen. Das hat allerdings auch seine Vorteile, so ist die Registrierung i.d.R. kostenlos. Bei Portunity beispielsweise. Hier lassen sich auch eigene Name-Server definieren. Allerdings bin ich an dem Punkt gerade gescheitert. Das Web-Frontend behauptet, meine Server würden nicht authoritativ antworten. dig behaupet allerdings das Gegenteil.

Wie schon zu vernehmen war, basiert ENUM also auf DNS. Genau genommen auf der arpa-Zone e164.arpa. Unter dieser werden, wie beim RDNS, ENUM-Zonen aus dem E164-Dialplan der ITU vergeben. Dabei verwaltet eine Oranisation in jedem Land (bzw. in den teilnehmenden) die Zone mit der internationalen Vorwahl. In Deutschland ist dies die DeNIC mit der Zone 4.9.e164.arpa. Unter dieser können dann die eindeutigen Zonen registriert werden, welche aus einer vollständigen, internationen Rufnummer (E164) bestehen. Auch Sonderrufnummern sind zulässig. Eine ENUM-Zone kann also z.B. 0.0.0.0.0.9.1.1.0.4.9.4.e164.arpa. lauten, wobei dies eine fiktive Rufnummer im Hamburger Ortsnetz (40) ist.

Bei einem Lookup auf diese Zone kann ein Endgerät (z.B. VoIP-Telefon/Asterisk-Server) dann anhand der angegebenen Prioritäten, unter Berücksichtigung der eigenen Fähigkeiten, entscheiden, welches Ziel angewählt wird.

Hier eine Beispiel-Zonendatei für die oben genannte Rufnummer.


0.0.0.0.0.9.1.1.0.4.9.4.e164.arpa.  IN SOA ns1.example.com.
hostmaster.example.com.

(2010053000 10000 3600 604800 1800)
@  IN NS ns1.example.com.
@  IN NS ns2.example.com.

@  IN NAPTR 10 10 "u" "E2U+tel" "!^.*$!tel:+494911900000!" .
@  IN NAPTR 10 20 "u" "E2U+sip" "!^.*$!sip:+user1@example.com!" .

Update:
Inzwischen hat Portunity meine Name-Server übernommen. Ich hatte nicht bedacht, dass ja auch eine openeum.eu-Zone benötigt wird.

 

Das DNSSEC-Testbed der DeNIC nutzen

28. Mai 2010 09:21 | Autor: Marc | Keine Kommentare | Kategorie(n): Allgemeines

Seit 2. Juli 2009 testet die DeNIC zusammen mit dem BSI und verschiedenen Providern des eco die Signierung der de-Zone mittels DNSSEC im Rahmen eines eigenen Testbed.

Wer über einen Resolver verfügt, der den Algorithmus RSASHA256 beherrscht (Unbound ab 1.4 oder BIND ab 9.7), kann die beiden DNSSEC-Nameserver der DeNIC in Frankfurt und Amsterdam nutzen. Der Server in Frankfurt kann dabei auch IPv6. Konfigurationsbeispiele für BIND und Unbound sind auf der DeNIC-Seite angegeben.

Eigene de-Domains lassen sich natürlich auch signieren. Damit die Chain-of-Trust (im Idealfall sieht die folgendermaßen aus: . (Root-Zone) -> de. -> example.de.) vollständig ist, muss aber der öffentliche Teil des Schlüssels bei der DeNIC hinterlegt werden und hier spielen bisher leider nur wenige Provider mit. Mir ist aktuell nur Hostserver bekannt, der auch die Registration der Domain tech-nerds-dnssec.de übernommen hat. Die Domain ist selbstverständlich signiert und eignet sich so auch, um den eigenen Resolver zu testen. Das geht in gewohnter Weise mit dem Tool dig.
dig +dnssec tech-nerds-dnssec.de

Wenn dig hier das Flag ad ausgibt, konnte die Antwort erfolgreich authentifiziert werden.

dig +dnssec tech-nerds-dnssec.de

 

Signierte Root-Zone kommt später

27. Mai 2010 14:52 | Autor: Marc | Keine Kommentare | Kategorie(n): Allgemeines

Die ursprünglich für den 1. Juli 2010 geplante Veröffentlichung des öffentlichen Schlüsselteils (Key Signing Key) der Root-Zone ist auf den 15. Juli verschoben worden.

Wie auf root-dnssec.org zu lesen ist, ist die Terminverschiebung notwendig geworden, um ICANN und VeriSign (den Betreibern der signierten Root-Zone und der genannten Seite) mehr Zeit zu geben, die Sicherheit und Stablilität der DNSSEC-Implementierung zu geben.

Bereits seit 1. Dezember 2009 ist die Root-Zone signiert, liefert aber keine validierbaren Daten. Am 5. Mai 2010 wurde dann der letzte Root-Server mit DNSSEC ausgestattet.

 

IPv6-Glue Records im DeNIC-Whois

17. Mai 2010 10:08 | Autor: Marc | Keine Kommentare | Kategorie(n): Allgemeines

Wer bisher per whois-Client die Kontaktdaten von de-Domains abgefragt hat, hat auf diesem Wege auch evtl. vorhandene IPv6-Glue Records angezeigt bekommen, während das Webinterface bei DeNIC diese Einträge schlicht verschwiegen hat.

Inzwischen hat DeNIC dieses Verhalten offenbar geändert.

whois tech-nerds.de

 

de-Zone teilweise ausgefallen

12. Mai 2010 15:24 | Autor: Marc | Keine Kommentare | Kategorie(n): Allgemeines

Von etwa 13:30 bis 15:00 waren viele DE-Domains nicht erreichbar. tech-nerds.de war u.a. auch betroffen.

Da die Domains auf dem SOA-Server korrekt aufgelöst wurden, die DeNIC-Server aber NXDOMAIN zurück lieferten, war relativ schnell klar, dass das Problem bei DeNIC selbst liegen musste. Auf Anfrage hat DeNIC das Problem bestätigt.

Ein wenig verwundert war ich, dass Heise nichts dazu wusste. Golem.de wusste zumindest um 14:21 etwas.