self-hosted authorative DNS server?

[witchdoc]

Meer een vraag voor ervaringen om ideeën op te doen.

Korte samenvatting, ik heb een vast IP adres, eigen domein(en), eigen mail server, kortom, ik host alles zelf.

Bijna alle guides die je op internet tegenkomen gebruiken cloudflare voor de DNS resolving. F that!

Tot voor kort zat ik enkel met een synology die mail, DNS etc deed.

Synology heeft het echter een beetje verbrot voor mij dus ik ben stilaan alles aant migreren.

Dus van Synology DNS server (beperkte BIND) kwam ik bij Technitium uit, die op't eerste zicht alles ondersteunt wat ik wil: split horizon, ACME DNS01 support via RFC2136, een leuke GUI, DNSSEC, docker support, ... maar nu ik hem in gebruik heb..

Technitiums split horizon concept gebruikt geen apparte views zoals BIND/Synology dat doet, maar speciale APP records. Die kan je dan weer niet met DNSSEC beveiligen (zonder omwegen) omdat die records beveiligd worden bij aanmaak, niet on-the-fly bij de request.

Bottom line, ik ben dus van alles tevreden van Technitium behalve de nadelige manier die ze hebben gekozen om split horizon te implementeren.

Dus wat zijn mijn opties nu? Technitium met CNAMEs in een secure DNSSEC zone om dan de andere records in een unsecure zone te stoppen? Yuck, lijkt me niks.

Mijn interne hosts in een ander (sub-?) domein stoppen? Uch, hoe moet dat dan werken? Ben je intern werkt er niks meer omdat je buiten de publieke hosts aan't resolven bent en andersom.

Dus... split horizon, met fatsoenlijk views.. terug naar BIND? Die heeft weer geen anti ads. Een tweede Technitium voor eenzelfde zone maar met interne IP adressen? Mogelijk maar 2 servers om up to date te houden. PowerDNS? Experimental voor split horizon dacht ik. En nog meer bewegende dingen.

Dus de 'korte' vraag, hoe lossen jullie dit allemaal op? intresseert splityhorizon of DNSSEC jullie helemaal niet? Zijn jullie toch Cloudfare fanaten? Laat maar weten. Kunnen we eens brainstromen.

Ik ben serieus aant twijfelen om een 2e interne technitium op te zetten. Geen idee hoe dat gaat aflopen met DNSEC over 2 server... of naar een ganse POWER DNS setup te gaan. Nog geen idee of ik dan de experimental shizzle in 5.x gebruik of het oude vertrouwde van (niet voor mij) van 4.9)

En nee, windows server daar gaan we het niet over hebben!

[DVX73]

Ik gebruik unbound, met een custom blacklist.

De blacklist wordt dagelijks door middel van een script aangeroepen door een systemd timer + service geactualiseerd.

Hiernaast een lijst voor de lokale a-records.

Unbound draait als een Podman-sysyemd-unit.

[Jester-NL]

Ik heb mijn DNS (inclusief) DNSSEC gewoon via mijn registrar/hoster lopen.

Mijn sites zijn niet dusdanig boeiend dat ik de mitigatie van Cloudflare nodig heb, en ik heb alle vrijheid om alles met mijn DNS te doen wat ik wil.
Ik ben bekend genoeg met de ins en outs van domeinnaamregistratie en DNS om de boel liever op shared hosting of een VPS bij mijn hoster te knallen dan om alles thuis te willen doen.

[jurroen]

Volgens mij worden er verschillende zaken door elkaar gehaald. Wil je een authorative nameserver, recursor of beiden?

Een authorative namerverver zou ik niet zomaar of alleen selfhosten. Als je één NS hebt, onder je eigen dak en er gaat wat mis ligt je hele domein plat. Een authorative NS gebruik je bijvoorbeeld ook voor de ACME challenge.

Dan is er nog de recursor (resolver). Zeker bij een mailserver is dit een belangrijke, bijvoorbeeld RBL lookups kunnen enorm veel queries veroorzaken.

Die laatste kun je prima zelf doen, met Unbound of PowerDNS. De authorative NS: kun je ook selfhosten maar zorg voor minimaal twee nameservers in verschillende subnets. Officieel mag dat ook niet anders; praktisch kan het maar moet je niet willen.

Sommige nameserver partijen kun je combineren met een eigen nameserver, via AXFR / replication. Maar dan dien je zelf even na te zoeken boe je dat in jouw scenario het beste aanpakt.

[witchdoc]

Ach, met IPv6 heb je in theorie 2 nameservers he :P
Kortom, voor homelab gebruik, inclusief authorative, draai ik het al vele jaren op 1 NNAS/servertje.
Heeft mijn DNS er ooit al wel eens (kort) uitgelegen? Absoluut. Gaat dat in de toekomst misschien nog eens voorvallen, misschien zelfs voor uren? Vast wel, maar ik zie het issue nog steeds niet.
Email komen 98% toch gewoon nog wat later binnen, en verder is het een homelab, dus niets kritisch.

Maar goed, ik begrijp dat blijkbaar zelfs weinig tweakers dat allemaal zelf hosten. Zal dus zelf nog eens moeten nadenken hoe ik mijn split horizon issue ga oplossen.
Waarschijnlijk gewoon een 2e technitium zodat ik extern authorative en intern recursive kan oplossen, of gelijk naar powerDNS (of toch weer BIND) die dit met views veel beter aanpakken dan technitium APP records (imho).

[MasterL]

Ik denk dat je de post van @jurroen wel wat serieuzer mag nemen.
Er zijn genoeg Tweakers mijzelf incluis die ervaring hebben met het professioneel hosten en beheren
van DNS servers maar er moet wel een use case zijn.
2 IP adressen zijn geen 2 (geografisch) gescheiden DNS servers, op 2 verschillende netwerken (subnets) met verschillende transit/peering connecties. Dit gaat je thuis op de zolder gewoon niet lukken.
Bij RIPE zou je geen reverse DNS/PTR kunnen fixen met deze config voor goede redenen.
Recursive DNS is niet zo spannend, je kunt dit prima zelf hosten om je "split horizon" op te lossen. Let wel dit kan je ook prima doen met (NAT)Loopback. Authorative is gewoon echt onzin als je niet beschikt over de juiste infrastructuur/kennis.

[witchdoc]

MasterL schreef op dinsdag 5 mei 2026 @ 14:20:
Ik denk dat je de post van @jurroen wel wat serieuzer mag nemen.
Er zijn genoeg Tweakers mijzelf incluis die ervaring hebben met het professioneel hosten en beheren
van DNS servers maar er moet wel een use case zijn.
2 IP adressen zijn geen 2 (geografisch) gescheiden DNS servers, op 2 verschillende netwerken (subnets) met verschillende transit/peering connecties. Dit gaat je thuis op de zolder gewoon niet lukken.
Bij RIPE zou je geen reverse DNS/PTR kunnen fixen met deze config voor goede redenen.
Recursive DNS is niet zo spannend, je kunt dit prima zelf hosten om je "split horizon" op te lossen. Let wel dit kan je ook prima doen met (NAT)Loopback. Authorative is gewoon echt onzin als je niet beschikt over de juiste infrastructuur/kennis.

PTR voor mail heb ik wel, loopt gewoon via de provider trouwens, maar slechts 1 IPv4 adres dus dat betekend inderdaad dat ik geen PTR voor de DNS server heb.
Vind online ook niet op 123 terug dat dit 'verplicht' zou zijn.

En jullie hebben wel een punt hoor. Ik kan het niet volledig correct doen, maar again, waar hebben we het over? Zou ik het beter/professioneler/.... doen als dit ook echt professioneel was? Tuurlijk. Maar nu kan ik er toch al lekker mee spelen met mijn brakke setup.

[MasterL]

witchdoc schreef op dinsdag 5 mei 2026 @ 14:50:
[...]

PTR voor mail heb ik wel, loopt gewoon via de provider trouwens, maar slechts 1 IPv4 adres dus dat betekend inderdaad dat ik geen PTR voor de DNS server heb.
Vind online ook niet op 123 terug dat dit 'verplicht' zou zijn.

En jullie hebben wel een punt hoor. Ik kan het niet volledig correct doen, maar again, waar hebben we het over? Zou ik het beter/professioneler/.... doen als dit ook echt professioneel was? Tuurlijk. Maar nu kan ik er toch al lekker mee spelen met mijn brakke setup.

Zeker vooral doen, als er geen levens spreekwoordelijk vanaf hangen waarom niet?
Alleen wat ben je precies aan het doen?
1: PTR/reverse DNS duidelijk niet want je hebt geen subnet. Hier komt de verplichting vandaan (RIPE).
2: NS authoritative voor jouw domein(en)? Dus bij jouw register heb je een NS record
die verwijst naar je eigen DNS server? Zo ja waarom? Is er iets wat je mist?
3: Recursive? Ja lekker interessant..

Als je uitlegt wat je wil en waar je tegen aanloopt kunnen wij je veel beter adviseren maar de "wens" is niet
heel duidelijk.

[duvekot]

Cloudflare is leuk .. maar Amerikaans .. als je alleen maar DNS wil .. kijk eens naar https://desec.io/ .. simpel en eenvoudig alleen DNS records .. als je meer dan 1 zone wil .. dan kan je daar een verzoek voor indienen .. API om de records te beheren ..dus dan heb je de externe kant afgedekt.
En de interne DNS kan je doen met een recursive dns server die je eigen lokale name etc ook lokaal afhandeld.

Zelf op een thuis aansluiting zou ik eigenlijk niet een eigen authoritive DNS server gaan draaien .. het kan wel .. maar er komt altijd meer bij kijken dan je wil ..

[CyBeR]

MasterL schreef op dinsdag 5 mei 2026 @ 14:20:
Ik denk dat je de post van @jurroen wel wat serieuzer mag nemen.
Er zijn genoeg Tweakers mijzelf incluis die ervaring hebben met het professioneel hosten en beheren
van DNS servers maar er moet wel een use case zijn.

Inderdaad, waaronder ik ook.

2 IP adressen zijn geen 2 (geografisch) gescheiden DNS servers, op 2 verschillende netwerken (subnets) met verschillende transit/peering connecties. Dit gaat je thuis op de zolder gewoon niet lukken.

Klopt, maar: we vergeten soms dat 't ook gewoon niet per se nodig is om alles triple-redundant uit te voeren. Het gaat om prive-dingen en voor de hobby. Als 't even een uurtje niet werkt dan… tsja wat precies? Dan werkt 't een uurtje niet. Geen omzetverlies, niemand met z'n handen in het haar.

Dat gezegd hebbende, kun je natuurlijk ook een secondary dns dienst in de arm nemen (zijn er meerdere van) of iemand anders vinden die ook z'n eigen DNS doet of wil doen en een dealtje sluiten dat je elkaars secondary bent.

---

Maar ik heb net als jurroen het idee dat hier dingen door elkaar gehaald worden. Authoritative DNS houdt in dat je een server host die de autoritatieve gegevens heeft (vandaar de naam) van een domeinnaam. Recursive DNS is het opvragen (resolven) van een domeinnaam. M.a.w. het een beantwoordt de vraag van de ander. Split-Horizon doe je meestal bij de resolver.

Voor authoritative DNS ben ik zelf vrij gecharmeerd van knot. Ik gebruikte vroeger PowerDNS direct als authoritative server (met PostgreSQL er achter) maar het kwam steeds vaker voor dat zowel die als m'n secondary tegelijk offline geknikkerd werden door PRSD attacks. Nu gebruik ik nog steeds PowerDNS omwille van de database met interface, maar die is als hidden primary ingesteld en queries vanaf het internet worden door knot beantwoord (met dnsdist om e.e.a. in goede banen te leiden). Sindsdien nooit meer offline geweest.

---

Ik moet ook wel zeggen: ik doe het zelf omdat ik voor klanten toch een paar honderd domeinen host maar als ik alleen m'n eigen privédomeinen zou hebben, zou ik 't lekker bij iets als desec.io doen of bij de registrar als die geen al te baggere interface hebben.

[ Voor 7% gewijzigd door CyBeR op 05-05-2026 15:32 ]

[jurroen]

witchdoc schreef op dinsdag 5 mei 2026 @ 13:57:
Ach, met IPv6 heb je in theorie 2 nameservers he :P
Kortom, voor homelab gebruik, inclusief authorative, draai ik het al vele jaren op 1 NNAS/servertje.
Heeft mijn DNS er ooit al wel eens (kort) uitgelegen? Absoluut. Gaat dat in de toekomst misschien nog eens voorvallen, misschien zelfs voor uren? Vast wel, maar ik zie het issue nog steeds niet.
Email komen 98% toch gewoon nog wat later binnen, en verder is het een homelab, dus niets kritisch.

Maar goed, ik begrijp dat blijkbaar zelfs weinig tweakers dat allemaal zelf hosten. Zal dus zelf nog eens moeten nadenken hoe ik mijn split horizon issue ga oplossen.
Waarschijnlijk gewoon een 2e technitium zodat ik extern authorative en intern recursive kan oplossen, of gelijk naar powerDNS (of toch weer BIND) die dit met views veel beter aanpakken dan technitium APP records (imho).

Ik denk dat het met name afhankelijk is van je definitie van "zelf hosten". Is dat alleen onder eigen dak? Telt eigen hardware in een datacenter mee? Telt een VPS die je elders afneemt mee?

Ik host zowel authorative nameservers (nsd) als recursors (unbound) zelf. De authorative nameservers, de primaire (de enige met de private keys) staat onder mijn dak. Die is niet via internet bereikbaar, maar repliceert de signed zones naar een handvol aan externe machines (zowel eigen apparatuur in een datacenter als VPSjes bij verschillende partijen).

Ik heb daarmee zelf een "split horizon DNS" bereikt. Binnen mijn netwerk resolved Unbound de queries naar lokale IP adressen, buiten mijn netwerk worden die beantwoord met de publieke IP adressen door nsd. Technitium ken ik niet - maar het is zeker niet iets unieks / wat je niet op een andere manier kunt bereiken.

En ja, Docker, hippe webinterface - als dino heeft dat niet mijn voorkeur om het nog even subtiel uit te drukken. Maar als dat wel je ding is kun je ook een Raspberry Pi in de meterkast, onder je bed of in het keukenkastje neerkwakken met bijvoorbeeld Adguard Home of Pi-Hole. Stel wat rewrites in en je bent er ook.

[ervaring]Hou er wel rekening mee dat je - met dit pad - op een gegeven moment aan het cosplayen bent als NOC engineer. Een partner en eventuele kinderen zijn er wat minder blij mee als "de wifi eruit ligt" omdat je geen redundantie hebt of de boel offline trekt tijdens het updaten / herinrichten. [/ervaring]

[ Voor 11% gewijzigd door jurroen op 05-05-2026 18:52 ]

[jurroen]

witchdoc schreef op dinsdag 5 mei 2026 @ 14:50:
[...]

PTR voor mail heb ik wel, loopt gewoon via de provider trouwens, maar slechts 1 IPv4 adres dus dat betekend inderdaad dat ik geen PTR voor de DNS server heb.
Vind online ook niet op 123 terug dat dit 'verplicht' zou zijn.

Met alle respect - je bent nu echt zaken door elkaar aan het halen. Nee, naturlijk is een PTR geen must voor een authorative nameserver / resursive DNS server - maar dat zegt niemand ook.

(en los van dit alles: met 1 IPv4 heb je wel kans dat jouw "surf gedrag" invloed heeft op de reputatue van jouw mailserver - dat je een PTR kunt instellen doet mij vermoeden dat je Freedom als ISP hebt, zij bieden volgens mij ook een /29 subnet aan)

[jurroen]

https://umbrella.cisco.co...recursive-dns-nameservers
https://www.cloudflare.com/learning/dns/dns-server-types/
https://quad9.net/news/bl...d-authoritative-dns-2022/