TLSA records not found

Wie lange ist die Erstellung des Records her? DNS-Änderungen benötigen bis zu 48h bis sie weltweit bekannt sind.

LG

Alex

Zwischenfrage: wenn mein MX Record auf mx01.ipv6help.de zeigt,

aber ein Wildcard-Zert. verwendet, kann ich doch die TLSA-Records

so

_25._tcp.mx01.ipv6help.de   TLSA ....

definieren, sprich, es braucht kein Zert. explizit f. mx01.ipv6help.de existieren?

Der Hinweis betreffend "48 Stunden warten" betrifft nur externe Resolver. Die authoritativen Nameserver der Domain müssen die Änderung sofort bereitstellen - sie tun es jetzt um 11:30 geprüft jedoch nicht, somit liegt kein "du musst warten" Problem vor sondern die Einträge sind schlicht nicht vorhanden.

Deine TLSA Records für ipv6help.de - sind nicht vorhanden, zum Vergleich auch die korrekte Ausgabe meiner hitco.at Domain:

root@nc:~# dig +short _25._tcp.mx01.ipv6help.de TLSA @third-dns.netcup.net
root@nc:~# dig +short _25._tcp.mx01.ipv6help.de TLSA @second-dns.netcup.net
root@nc:~# dig +short _25._tcp.mx01.ipv6help.de TLSA @root-dns.netcup.net

root@nc:~# dig +short _25._tcp.nc.hitco.at TLSA @localhost
2 1 1 60B87575447DCBA2A36B7D11AC09FB24A9DB406FEE12D2CC90180517 616E8A18
3 1 1 CD54CE5770B29860600F1E7CE3368352975C01E39BC55C46AF4A32B7 73D209B5
root@nc:~# dig +short _25._tcp.nc.hitco.at TLSA @ncs.hitco.at
3 1 1 CD54CE5770B29860600F1E7CE3368352975C01E39BC55C46AF4A32B7 73D209B5
2 1 1 60B87575447DCBA2A36B7D11AC09FB24A9DB406FEE12D2CC90180517 616E8A18

Zur Frage "Wildcard-Zertifikat": Mit TLSA pinnst Du je nach verwendetem Selector einen Zertifikats-Fingerprint oder einen PublicKey-Fingerprint. Ich würde dir empfehlen den PublicKey-Fingerprint zu verwenden, dann kannst Du nämlich unter Verwendung eines gleichbleibenden CSR bei LetsEncrypt neue Zertifikate anfordern ohne jedes mal den TLSA-Eintrag ändern zu müssen. Wie der Antragsteller oder SubjectAlternativeName Eintrag im Zertifikat selbst lautet ist für TLSA/DANE egal, der kann auch völlig unpassend sein.

Ausführliches HowTo: https://hitco.at/blog/sicherer…ste-anbieter-dnssec-dane/
Sowie Hinweis betreffend CSR/LetsEncrypt: https://hitco.at/blog/lets-encrypt-csr/

Nochmals bezugnehmend auf die Wildcard-Frage: Ja, das *.ipv6help.de Zertifikat das Du aktuell unter https://mx01.ipv6help.de/ verwendest kannst Du auch für Deinen Mailserver verwenden. In Bezug auf DANE/TLSA sowieso, aber auch in Bezug auf einfache STARTTLS-SMTP MTA zu MTA Kommunikation ohne DANE.

gunnarh klar, habe diese auch gerade definiert; bin nicht der OP;

habe mich nur inspirieren lassen, ebenfalls TLSA f. meinen incoming-mail zu definieren;

interessanterweise

liefert zu Hause

host -t _25._tcp.mx01.ipv6help.de

bereits etwas, am vServer (vervendet die netcup resolver) aber noch nicht;

_25._tcp.mx01.ipv6help.de has TLSA record 3 1 1 F2493070F89D3F865D1B4857252C5489046832469D124549C7DE8178 F62CEB48
_25._tcp.mx01.ipv6help.de has TLSA record 2 1 1 60B87575447DCBA2A36B7D11AC09FB24A9DB406FEE12D2CC90180517 616E8A18          

mainziman danke für den Hinweis, habe nicht bemerkt das Du nicht der OP bist.

für ipv6help.de sind die TLSA Records inzwischen bei allen 3 authoritativen Servern korrekt abrufbar und auch https://dane.sys4.de/smtp/ipv6help.de meldet alles OK.

Was die Beobachtung "Resolver von Netcup liefern die TLSA-Records noch nicht" angeht folgende Mutmaßung:

• Du hast am vServer mit den NetCup-Resolvern testweise schon vor Erstellung der TLSA-Records diese abzurufen versucht, dort ist daher ein NXDOMAIN gecacht worden und dieses Caching bleibt auch noch gemäß Deiner Zone-Konfiguration auch noch 8 Stunden erhalten.
• Am Gerät zuhause mit den Resolvern deines ISP hast Du vermutlich erst geprüft als die TLSA-Records bereits eingetragen waren, der Erstversuch konnte daher nichts gecachtes liefern sondern hat bei den authoritativen Servern nachgefragt und eine Antwort erhalten, die nun für 8 Stunden gecacht ist.

gunnarh

ok, gut zu wissen, es richtig gemacht zu haben; aber irgendwie hackt es dann beim OP, weil so flott wie das bei mir ging,

sollte es doch grundsätzlich gehen;

das mit den Resolvern wäre plausibel; wobei ein Unterschied, zu Hause betreibe ich meinen eigenen Resolver weil ich da etwas spezielles "reinhacke"