DNSSEC bogus

[Samueldw]

Ik gebruik sinds kort deSEC.io als DNS server voor mijn domeinen, i.p.v. de DNS server van Vimexx.

Nu gaat dat voor één van mijn domeinen helemaal goed, inclusief DNSSEC and DANE (testrapport wcore.org).

Bij mijn andere domein zegt Internet.nl dat mijn DNSSEC signature niet geldig is (testrapport samueldewit.nl). Maar als ik kijk naar het rapport van Versign Labs en het rapport van DNSViz lijkt het allemaal goed te zijn.

Nou ben ik zelf niet zo'n specialist op het gebied van DNS. Dus ik vroeg mij af of iemand een idee heeft waar het verschil in kan zitten. En of het nu wel goed is ingesteld, of niet.

[deHakkelaar]

Ik vermoed dat die internet.nl site struikelt over dat je geen AAAA DNS record(s) hebt voor IPv6:

$ dig +short www.wcore.org aaaa
2a06:2ec0:1::82

Vs:

$ dig +short samueldewit.nl aaaa
$

Voor IPv4 ziet de DNSSEC validatie er namelijk goed uit:

$ delv +rtrace samueldewit.nl
;; fetch: samueldewit.nl/A
;; fetch: samueldewit.nl/DNSKEY
;; fetch: samueldewit.nl/DS
;; fetch: nl/DNSKEY
;; fetch: nl/DS
;; fetch: ./DNSKEY
; fully validated
samueldewit.nl.         3600    IN      A       151.101.0.119
samueldewit.nl.         3600    IN      A       151.101.64.119
samueldewit.nl.         3600    IN      RRSIG   A 13 2 3600 20240404000000 20240314000000 42200 samueldewit.nl. ybva1LgE1qPKBtDNFSVn92JATqrlvEPI4XfvOQHjgLwDD1bLoQWePfBl mzE5YEsdNX6LMJlq4wMXulaZHXrX9A==

En wbt "Secure connection (HTTPS)", dit ziet er ook goed uit voor IPv4:

$ curl -Iv https://samueldewit.nl
*   Trying 151.101.64.119:443...
* Connected to samueldewit.nl (151.101.64.119) port 443 (#0)
[..]
* Server certificate:
*  subject: CN=samueldewit.nl
*  start date: Feb 26 13:25:45 2024 GMT
*  expire date: May 26 13:25:44 2024 GMT
*  subjectAltName: host "samueldewit.nl" matched cert's "samueldewit.nl"
*  issuer: C=US; O=Let's Encrypt; CN=R3
*  SSL certificate verify ok.

Er is alleen geen redirect van poortje 80 (HTTP) naar 443 (HTTPS) wat wenselijk is:

$ curl -IL http://www.wcore.org
HTTP/1.1 301 Moved Permanently
[..]
location: https://www.wcore.org/

Vs:

$ curl -IL http://samueldewit.nl
HTTP/1.1 404 Not Found
Connection: close
Content-Length: 0
Server: Varnish
Retry-After: 0
Accept-Ranges: bytes
Date: Tue, 26 Mar 2024 16:47:42 GMT
Via: 1.1 varnish
X-Served-By: cache-ams21039-AMS
X-Cache: MISS
X-Cache-Hits: 0
X-Timer: S1711471662.372541,VS0,VE0

Van DANE heb ik geen verstand ... nog

[jurroen]

Samueldw schreef op dinsdag 26 maart 2024 @ 10:05:
Ik gebruik sinds kort deSEC.io als DNS server voor mijn domeinen

Nee, je gebruikt ze als nameservers

Samueldw schreef op dinsdag 26 maart 2024 @ 10:05:
Bij mijn andere domein zegt Internet.nl dat mijn DNSSEC signature niet geldig is

Heb je test opnieuw gedaan, lijkt nu goed te zijn. Internet.nl vind m niet meer bogus. DNSSEC changes zijn niet instant, daar zit ook weer een TTL op en je bent afhankelijk van de zone updates.

[Samueldw]

Bedankt allebei!

Die redirect en IPV6 kan ik helaas niet aanpassen. Het is een site van Adobe Portfolio. Ik kan er nauwelijks iets wijzigen. Ik hoop dat ze nog een IPV6 gaan ondersteunen .

jurroen schreef op dinsdag 26 maart 2024 @ 21:03:
[...]
Nee, je gebruikt ze als nameservers

Maar dat is toch ook een DNS server? Of bedoel je dat er geen DNS servers bestaan? Dat het eigenlijk allemaal nameservers zijn? Ik ben nog niets zo uit het verschil.

jurroen schreef op dinsdag 26 maart 2024 @ 21:03:
[...]
Heb je test opnieuw gedaan, lijkt nu goed te zijn. Internet.nl vind m niet meer bogus. DNSSEC changes zijn niet instant, daar zit ook weer een TTL op en je bent afhankelijk van de zone updates.

Dat heeft dan echt wel even geduurd. Het is volgens mij ruim meer dan 24uur geleden dat ik het heb ingesteld. Maar fijn dat het nu wel werkt! Ik zie dan mijn DANE record nu ook geldig is.

[jurroen]

Samueldw schreef op dinsdag 26 maart 2024 @ 21:49:

Maar dat is toch ook een DNS server? Of bedoel je dat er geen DNS servers bestaan? Dat het eigenlijk allemaal nameservers zijn? Ik ben nog niets zo uit het verschil.

In de regel - dus in het dagelijkse gebruik:

• Een nameserver is authorative. Ik kan bij desec.io vragen wat het A, AAAA, TXT of wat dan ook record is voor samueldewit.nl. Echter, als ik vraag wat het A record is voor Tweakers weigert 'ie dienst. Die 'zone' heeft 'ie namelijk niet.
• Een recursive nameserver is wat veel mensen bedoelen met bijvoorbeeld Quad9, Google/Cloudflare DNS. Deze checkt eerst de wat de authorative nameserver is voor de TLD zone (bijv .nl), maakt daarmee verbinding, vraagt de nameservers op voot samueldewit.nl, maakt daarmee verbinding en vraagt het A record op.

Samueldw schreef op dinsdag 26 maart 2024 @ 21:49:
[...]

Dat heeft dan echt wel even geduurd. Het is volgens mij ruim meer dan 24uur geleden dat ik het heb ingesteld.

Kan prima als de zone standaard bij desec eenTTL heeft van 1 dag. Laptop niet voor t pakken dus kan t nu niet checken voor je.

Ps waarom deze partij ipv Vimexx?

[Samueldw]

Bedankt voor de uitleg!

De overstap had een paar redenen.

• Ik wil nog eens weg bij Vimexx als hoster. Ze hebben laatst zonder bericht bepaalde browser agents geblokkeerd. Dat vind ik tot daar aan toe. Maar toen ik hierover contact opnam met de support om het te checken, was het antwoord zoiets van:
  'Ik kan niet zien of dit gebeurd is, maar je hebt het zelf al aangetoond. Maar als we dit doen, dan doen we het met een goede reden.'
  Dat is niet de argumentatie die ik verwacht van een product dat ik nauwelijks gebruik en best wel wat voor betaal.
  Nu andere name servers gebruiken maakt het later makkelijker om weg te migreren.
• Vimexx ondersteund geen DNSSEC op niet-nl domeinen.
• Desec.io heeft een api die je ook kunt gebruiken in pfSense voor Let's Encrypt en dynamic DNS, en ook in de Fritzbox voor dynamic DNS. Dan ben ik niet meer afhankelijk van een andere dyndns provider.
• En het concept van non-profit en open source spreekt me wel aan.

Dat waren zo'n beetje mijn afwegingen.

[StaticZ]

Heb zelf ook een paar domeinen (.nl en .info) via desec.io lopen en bevalt me idd prima!
DNSsec lijkt prima te werken!