Cher Journal,
Si tu administres des serveurs DNS tu es déjà certainement au courant.
A partir du 1er février il y a des grosses modifications qui risquent d'apparaitre dans la façon dont les serveurs DNS fonctionnent. Si ton/tes serveurs ne parlent pas EDNS (RFC2671, de 1999 et modifiée en 2013 dans le RFC6891) ton/tes serveurs seront considérés injoignables.
De fait plusieurs éditeurs de logiciels (isc bind, powerdns, knot,… ) DNS vont modifier le code de leurs serveurs DNS. Les résolveurs vont devenir + strict vis-à-vis du traitement des requêtes qui ne sont pas conformes EDNS.
Les modifications arriveront progressivement en production, je ne pense pas qu'il y aura un big-bang le 1er février. Mais petit à petit si tes serveurs DNS ne se conforment pas, tu risques d'observer des lenteurs et d'autres problèmes sur ton infra DNS
Tu peux trouver + d'info:
- https://www.afnic.fr/fr/ressources/blog/1er-fevrier-2019-le-dns-va-t-il-trembler.html
- https://dnsflagday.net/
J.
# Si j'ai bien compris, quelques précisions
Posté par Zenitram (site web personnel) . Évalué à 7. Dernière modification le 28 janvier 2019 à 12:05.
Si j'ai bien suivi, c'est surtout si les serveur répond n'importe quoi ou pire ne répond pas quand on file un champs EDNS, il n'y a pas d'obligation de parler EDNS, juste de bien répondre (avec une réponse DNS classique) si on te demande si tu le supportes, donc coder ça est rapide et on a surtout affaire à des serveurs jemenfoutistes.
Encore une fois si j'ai bien suivi, ce n'est pas petit à petit mais d'un coup (le 1er février donc) pour une grosse majorité du net au moins car ce sont surtout les fournisseurs de service DNS qui passent ensemble à la nouvelle configuration (qui considèrent les non répondants comme morts), en plus du changement de config par les nouvelles versions de logiciels.
Encore une fois si j'ai bien suivi, ça sera plutôt que ton domaine disparaît du monde, pas des lenteurs.
Corrections bienvenues si j'ai mal compris, et plus d'info (en Anglais) sur LWN ("After February 1, major DNS service providers will stop working around these buggy implementations").
[^] # Re: Si j'ai bien compris, quelques précisions
Posté par l0optr . Évalué à 2.
Sur le site de l'afnic on peut lire ceci:
Je suis pas un expert DNS je vais approfondir la question.
Les modifications seront effectives dans le code de plusieurs serveurs DNS à partir du 1er. Et en effet certains fournisseurs DNS vont suivre le mouvement.
[^] # Re: Si j'ai bien compris, quelques précisions
Posté par l0optr . Évalué à 2.
Je viens de (re)parcourir un peu + en profondeur la page https://dnsflagday.net. Et en effet EDNS n'est pas obligatoire, si ton serveur DNS traite correctement les requêtes et indique bien qu'il ne supporte pas l'EDNS
https://tools.ietf.org/html/rfc6891#section-7
[^] # Re: Si j'ai bien compris, quelques précisions
Posté par pingoomax . Évalué à 1.
Les RFC DNS disent que si le serveur ne comprend pas un champs, il doit l'ignorer.
Avant les resolveurs essayaient d'etre sympa et se disaient, "tiens le mec (un autre DNS) ne repond rien (par exemple) peut etre qu'il n'est pas compliant", je vais reessayer sans les options que je sais mal supporter.
Maintenant c'est fini. Mais ca n'a rien de revolutionnaire.
Il n'est pas nécessaire que votre DNS supporte toutes les features de la planete, il faut juste qu'il n'improvise pas et réponde (selon la norme) en ignorant les options qu'il ne connait pas.
# Prêt !
Posté par Christie Poutrelle (site web personnel) . Évalué à 2.
Pour info j'ai mon serveur DNS perso, je n'ai pas touché à sa conf depuis bien des années, la dernière opération de maintenance était une migration de serveur à serveur sans changement de conf (mis à part quelques IPs dans des zones) et apparemment il est prêt.
Donc pour ceux qui s'inquiètent, si vous avez un bind/named sur une debian à peu près à jour a priori vous avez rien à faire de particulier.
[^] # Re: Prêt !
Posté par benoar . Évalué à 4.
Et je confirme même pour une Debian vraiment pas à jour /o\ (il faut un bind de moins de 10 ans, en gros, pour avoir le support EDNS ; et même sans, du moment que tu réponds pas de manière buggée, ça marche).
[^] # Re: Prêt !
Posté par faelar . Évalué à 3.
Si tu as un DNS tout propre, mais en amont un équipement réseau avec une feature anti-DDOS boiteuse, ou une mauvaise configuration… Alors oui, tu peux être impacté ;)
# Et linuxfr
Posté par abriotde (site web personnel, Mastodon) . Évalué à 6.
linuxfr.org: Minor problems detected!
This domain is going to work after February 1st 2019.
This domain does not support latest DNS standards:
As a consequence this domain cannot support the latest security features and might be an easier target for network attackers than necessary.
These imperfections might cause problems in the future.
Administrators - it is recommended to fix problems mentioned in the technical report below to avoid compatibility problems in the future. Please see description for DNS admins. Thank you for cooperation!
PS : orange.fr est dans le rouge :D
Sous licence Creative common. Lisez, copiez, modifiez faites en ce que vous voulez.
[^] # Re: Et linuxfr
Posté par benoar . Évalué à 7.
Orange sont les pires trafiqueurs de DNS au monde, quitte à casser tout l'Internet. Je ne sais pas récemment, mais pendant longtemps ils ont bloqué tout les enregistrements SRV ; en fait, tout ce qui n'était pas un A ou MX. Pareil pour les AAAA (pour la résolution d'IPv6), où ils s'abstenaient explicitement de répondre, même pas par la négative, ce qui causait des timeout insupportables qui ont conduit à être (selon moi) la source majoritaire de « IPv6 ça na marche pas, c'est de la merde » en France. Vivement qu'ils se prennent une fessée pour qu'ils comprennent un peu.
# Rien compris
Posté par voxdemonix . Évalué à 2. Dernière modification le 28 janvier 2019 à 14:42.
Le texte en gris sur fond blanc n'aide pas.
Donc pour les auto-hébergés qui n'ont pas compris et qui ont un ptit DNS, il va y avoir quelque chose à faire ?
Aucun changement pour les rogues DNS (ex dnschef) ?
Les clients ne pourront plus joindre le serveur ou le serveur ne pourra plus contacter les autres serveurs ?
[^] # Re: Rien compris
Posté par Zenitram (site web personnel) . Évalué à 0.
barre : qui ont un logiciel DNS pourri, rien à voir avec la taille. La demande n'est pas de gérer EDNS, mais de savoir répondre correctement même quand l'option est demandée (ce que si j'ai bien suivi tout le monde ne fait pas).
Et sérieusement, on ne parle pas d'auto-hébergé, mêmes les auto-hébergé peuvent installer un serveur DNS maintenu, la on a l'impression que tu dis que Linux c'est pas fait pour les petits serveurs juste pour les grands, non Linux est fait pour petits et grands, pareil pour serveurs DNS (j'en ai sur des VM toutes petites… et ça va très bien, tout vert).
[^] # Re: Rien compris
Posté par voxdemonix . Évalué à -1. Dernière modification le 28 janvier 2019 à 18:02.
"Ptit DNS" peut être traduit par "serveur DNS installé par quelqu'un n'ayant pas les connaissances et encore moins la motivation du Grand Maître Jedi du DNS S.Bortzmeyer".
C'est peut-être pour ça que je pose la question ? 😋
Wikipedia répond a la question de façon ambigüe :
"En cas de non-réponse à une requête utilisant EDNS, une nouvelle tentative de résolution est faite sans EDNS par le client"
Cela concerne donc la communication entre les clients (smartphone, pc, chat connecté, missile thermonucléaire) et les serveurs DNS (le routeur, PiHole, DnsChef, Bind9, etc).
Néanmoins la phrase qui fait peur : "Si ton/tes serveurs ne parlent pas EDNS (RFC2671, de 1999 et modifiée en 2013 dans le RFC6891) ton/tes serveurs seront considérés injoignables."
Poses les questions suivantes :
1 PiHole, DnsChef, Bind9 ?
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.