DNSSEC

前幾天我的網域名稱 othree.net 突然無法從 Google 的 Public DNS 8.8.8.8 查到,經過一些交叉比對後,發現 Google Public DNS 和 Linode 內部用的 DNS 查不到,其他大部分的 DNS 都查的到,一時也不知道到底是什麼問題,就和 namecheap 聯絡,結果對方客服還蠻鬼打牆的,聯繫兩次都說設定沒問題,他們連的到,有問題也是 Google 的,還好 DK 有跟我說可能和 DNSSEC 有關係,讓我比較好找問題,其實我也有跟 namecheap 的人說到 DNSSEC,但是他們好像沒聽到一樣,讓我有些訝異的是, namecheap 的人對於 Google Public DNS 查不到他們客戶的 domain 覺得好像沒什麼,沒有很積極找問題。

還好 Google Public DNS 有 mailing-list,可以上去問這種問題,結果對方說我的 DNSSEC 驗證不過,附上DNSViz結果給我。

Bogus

其實一開始光看這張圖還不知道問題在哪,接著又去看 DNSSEC 運作的原理才了解,DNSSEC 其中對於 domain name record 要不要信任基本上是靠 chain of trust,也就是一層一層確定沒問題才保證最後的目標沒問題,所以他會先驗證 net 的 resolve 結果是可信任的,然後才往下問 othree.net 的 DNSKEY,然後用 net 那邊的 DS record 來驗證目標的 DNSKEY,而我的狀況是,去問上層的 DNS 有沒有 othree.net 的 DS record ,結果是有的:

[/root] -root- >>> dig @192.55.83.30 othree.net. DS

; <<>> DiG 9.7.0-P1 <<>> @192.55.83.30 othree.net. DS
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 14284
;; flags: qr aa rd; QUERY: 1, ANSWER: 1, AUTHORITY: 13, ADDITIONAL: 12
;; WARNING: recursion requested but not available

;; QUESTION SECTION:
;othree.net. IN DS

;; ANSWER SECTION:
othree.net. 86400 IN DS 1 1 1 1234567890123456789012345678901234657890

其實看到這邊有點傻眼,因為用來驗證我的 DNSKEY 的 hash 竟然是 '1234567890123456789012345678901234657890' ,怎麼想都是有人亂打的,不過我也不想追究了,總之上層有 DS record,但是去問下層 DNSKEY 時確沒有:

[/root] -root- >>> dig @208.64.122.242 +multiline othree.net. DNSKEY

; <<>> DiG 9.7.0-P1 <<>> @208.64.122.242 +multiline othree.net. DNSKEY
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 16844
;; flags: qr aa rd; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0
;; WARNING: recursion requested but not available

;; QUESTION SECTION:
;othree.net. IN DNSKEY

這樣當然無法通過 DNSSEC validation,本來以為把這件事跟 namecheap 講他們就知道該怎麼處理了,結果還是不行,於是我又更直接的請他們跟上層說把那筆 DS record 刪掉,到今天早上終於正常了。

Insecure

comments powered by Disqus