staging.inyokaproject.org

Hallo zusammen!

Ich möchte unter Ubuntu einen Bind9 DNS Server einrichten, um für eine Domain die ich besitze diese Sub-Domain als Split-DNS einzurichten. Außerdem möchte ich im zweiten Schritt einen Kerberos-Realm dort einrichten und dazu vorbereitend schonmal einen delegierten Bereich zur Verfügung stellen.

Es geht um die Domain "zen-net.de". Diese habe ich bei Cloudflare eingerichtet (nutze deren DNS) und betreibe diese bereits mit einigen Einträgen. Nun möchte ich die Sub-Domain "id.zen-net.de" weg von den Cloudflare-DNS Servern, hin zu meiner eigenen Infrastruktur delegieren. Hierzu habe ich bei Cloudflare die folgenden Einträge eingerichtet; wenn man die Cloudflare - DNS Server (derek.ns.cloudflare.com und mira.ns.cloudflare.com) direkt fragt, bekommt man diese Einträge auch angezeigt:

~ $ dig @mira.ns.cloudflare.com id.zen-net.de

; <<>> DiG 9.10.6 <<>> @mira.ns.cloudflare.com id.zen-net.de
; (6 servers found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 17360
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 2, ADDITIONAL: 3
;; WARNING: recursion requested but not available

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;id.zen-net.de.			IN	A

;; AUTHORITY SECTION:
id.zen-net.de.		300	IN	NS	ns1.id.zen-net.de.
id.zen-net.de.		300	IN	NS	ns2.id.zen-net.de.

;; ADDITIONAL SECTION:
ns1.id.zen-net.de.	300	IN	A	132.145.247.63
ns2.id.zen-net.de.	300	IN	A	130.61.65.63

;; Query time: 19 msec
;; SERVER: 2a06:98c1:50::ac40:20cc#53(2a06:98c1:50::ac40:20cc)
;; WHEN: Sun Jul 18 09:39:15 CEST 2021
;; MSG SIZE  rcvd: 110

Die beiden Nameserver ns1.id.zen-net.de und ns2.id.zen-net.de sind meine eigenen Server.

Sobald ich jedoch irgendeinem anderen DNS Server (inklusive des ebenfalls von Cloudflare betriebenen 1.1.1.1) dieselbe Frage stelle, bekomme ich diese Einträge nicht:

~ $ dig @1.1.1.1 id.zen-net.de

; <<>> DiG 9.10.6 <<>> @1.1.1.1 id.zen-net.de
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 29642
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; OPT=15: 00 16 ("..")
;; QUESTION SECTION:
;id.zen-net.de.			IN	A

;; Query time: 1980 msec
;; SERVER: 1.1.1.1#53(1.1.1.1)
;; WHEN: Sun Jul 18 09:41:04 CEST 2021
;; MSG SIZE  rcvd: 48

"SERVFAIL".

Wie ich eben schon sagte, bereite ich hier eine Sub-Domain mit eigener DNS-Infrastruktur vor. Hierzu wollte ich den in FreeIPA enthaltenen Bind nutzen. FreeIPA kann ich aber hiermit nicht sauber installieren, da folgender Test fehlschlägt:

2021-07-17T08:51:18Z ERROR DNS zone id.zen-net.de. already exists in DNS and is handled by server(s): []

... was ja irgendwo auch stimmt 😛

Habe ich irgendetwas vergessen bei der Einrichtung dieser Sub-Domain Delegation? Was mache ich falsch? Liegt es daran, das die benannten DNS Server (noch) nicht laufen und habe ich daher ein Henne-Ei - Problem? Es ist mir ein Rätsel warum andere DNS Dienste diese Einträge nicht übernehmen.

id.zen-net.de.		300	IN	NS	ns1.id.zen-net.de.
id.zen-net.de.		300	IN	NS	ns2.id.zen-net.de.

Sind denn diese beiden, per dig erreichbar? Also geht dig @IP id.-zen-net.de?

Nein, sind sie nicht: Diese NS-IPs sind die IPs der Server, die ich gerade zu installieren versuche. Wenn man FreeIPA installiert, macht man das über ein im Paket mitgeliefertem Script namens ipa-server-install. Dieses prüft zu begin alle möglichen Umgebungsparameter; einschließlich der DNS Konfigurationen. Hiermit spiele ich gerade herum (daher ist auch der Status der DNS Einträge jetzt gerade schon wieder ein anderer als noch in dieser Frage gezeigt). Damit dieses Script "zufrieden" ist und da DNS in einem funktionierendem Kerberos-System ja eine wichtige Rolle spielt, versuche ich zunächst ein "valides" DNS System bereitzustellen, damit das FreeIPA Script sich nicht beschwert und eine Installation verweigert. Hier stehe ich nur scheinbar vor einem Henne-Ei-Problem:

• Wenn ich bereits vor der Installation diese DNS-Delegation auf die mit FreeIPA installierten DNS-Server einrichte, bekomme ich Fehlermeldungen, das diese DNS Server nicht erreichbar sind.

• Wenn ich die Sub-Domain nicht zuvor einrichte, bekomme ich Fehlermeldungen, das der SOA-Record nicht bestimmt werden kann.

• Wenn ich temporär andere DNS Server bereitstelle, die die Delegation bis nach der Installation übernehmen können, bekomme ich die Fehlermeldung das bereits DNS Server hierfür zuständig sind.

Sehr merkwürdige Checks die das Script da macht, da nach meinem Verständnis nur ungültige Situationen zustande kommen können; jedoch kann man die erste und letzte Variante (Einträge ohne Server dahinter vorhanden) jedoch mit entsprechenden Installationsparametern umgehen. Ich laufe aber immer wieder später in irgendwelche Probleme mit der automatischen Erkennung von Umgebungsparametern; daher wollte ich im ersten Schritt jetzt mal das DNS System komplett sauber vorbereiten, ehe ich den nächsten Schritt unternehme.

Lange Antwort zu kurzer Frage; sorry. Also: Nein, die Server sind noch nicht erreichbar; sie sollen gerade erst installiert werden. Aber das dürfte doch nicht dazu führen das andere DNS Server sich diese Einträge nicht schonmal von den Cloudflare - DNS Servern ziehen, oder?

Also, ich meine: Das ich "irgendwas.id.zen-net.de" nicht auflösen kann ist mir klar; immerhin sind die hierfür zur Delegation beschriebenen Server noch nicht verfügbar. Aber warum die Delegation selbst nicht auf den anderen DNS Servern in der Welt ankommt ist mir nicht klar. Diese stehen ja auf den Cloudflare Servern zur Abholung bereit ...