DNSSEC Status - funktioniert es mittlerweile?

    Hallo zusammen!

    Gibt es mittlerweile Neuigkeiten zum DNSSEC Status bei netcup?

    Ich würde es gerne auf meiner Domain aktivieren, aber nur wenn es ordentlich funktioniert.

    Meine Schnäppchen:

    • Webhosting 4000 SE Summer Deal 2020
    • VPS Ostern L OST21
    Zitat von KB19

    Nein, ist nach wie vor alle paar Wochen von alleine kaputt und bekommt auch sonst gerne mal Schluckauf

    Kann ich (Stand heute) bestätigen.

    Seit 11 Monaten ist DNSSEC aktiv. Ohne Probleme. Heute wollte ich NUR 2 Einträge (A und AAAA) hinzufügen. Hat die ganze Zone zerknetscht. Nach x Minuten wunder ich mich, warum Plesk von DNS Probleme schwafelt und ich auch privat keine e-Mails mehr erhalte. Ah.. unresolvable host.. Super.

    Im CCP sah ich dann, dass der Haken bei "DNSSEC" raus war. Also wieder aktiviert. Das wurde mit dem Fehler "Vor Reaktivierung von DNSSEC muss es mindestens 0 Stunden deaktiviert bleiben" quittiert (Wortlaut ggf leicht anders, aber die 0 Stunden standen definitiv so da).

    Nun habe ich DNSSEC aus gemacht, nochmal gespeichert und hoffe, das sich das jetzt ohne DNSSEC wieder fängt...

    Das hatte ich vor über einem Jahr mal, da konnte der Support aber nichts feststellen. habe es heute nochmal gemeldet. Doof.

    Hallo,

    die gleiche Problematik hier. Suche mir seit gestern nen Wolf. Bin nun schon einige Jahre Kunde hier, aber sowas hatte ich noch nicht.
    Ist auch doof, wenn man sich dann nicht mal hier im Forum registrieren kann, wenn die Mailserver nicht aufgelöst und so die Regitrierungsmails nicht zugestellt werden können. Evtl. hat der Support auch schon geantwort aber ich sehe es nicht, weil mich die Mails nicht erreichen.

    Was genau habt Ihr da jetzt gemacht? Einfach DNSSEC deaktiviert im CCP?
    Das konnte bis vorhin gar nicht, gabs immer eine Fehlermeldung. Habs vorhin noch mal versucht und nun lässt sich zumindest Änderungen an den DNSSEC Einstellungen vornehmen und speichern.

    super ärgerlich!

    Zitat von christian.pohle

    Was genau habt Ihr da jetzt gemacht? Einfach DNSSEC deaktiviert im CCP?

    Ja. Habe jetzt sicherheitshalber die Zone selber geändert (TTL -1) und einfach nen dummy-Eintrag unten gemacht, falls der Updater intern ggf nur bedingt alle Änderungen durchführt.

    Im verlinkten Artikel oben ist der aktuelle Stand: Neues DNS-System scheint derzeit aktiv getestet zu werden, also rechne ich sehr bald mit dem neuen System für alle. Bin gespannt.

    Habe jetzt pauschal für alle Domains DNSSEC deaktiviert.

    Tipp: Um zu sehen, wie der DNSSEC-Statuf für eine Domain ist (oder um zu prüfen ob das deaktivieren schon überall bekannt ist): https://dnsviz.net/ Wenn unten für die eigene DOmain "UNSECURE" gemeldet wird, wurde DNSSEC erfolgreich deaktiviert. Steht dagehen überall noch "BOGUS" gibts noch Schluckauf.

    auf DNSVIZ bin ich shcon den ganzen Morgen unterwegs. Nach meiner letzten Änderung (deaktivieren von DNSSEC) sieht die Ausgabe dort schon anders aus, allerdings immer noch ziemlich viel "Bogus".

    Bin mir eigentlich ziemlich sicher dass DNSSEC vorher nicht aktiv war. Wie gesagt hat die letzten Jahre einfach funktioniert. Probleme treten seit gestern auf.

    Zitat von christian.pohle

    Bin mir eigentlich ziemlich sicher dass DNSSEC vorher nicht aktiv war

    Interessant. Bei mir genau andersrum. Das es sich von allein aktiviert, hatte ich noch nicht.

    Villeicht fummeln sie auch schon ander Migration zum neuen System, wer weiß. So langsam scheitn sich meine Zone wieder zu erholen (ohne DNSSEC). Würde gern mal wieder Mails erhalten...

    Zitat von Commifreak

    Seit 11 Monaten ist DNSSEC aktiv. Ohne Probleme. Heute wollte ich NUR 2 Einträge (A und AAAA) hinzufügen. Hat die ganze Zone zerknetscht. Nach x Minuten wunder ich mich, warum Plesk von DNS Probleme schwafelt und ich auch privat keine e-Mails mehr erhalte. Ah.. unresolvable host.. Super.

    Hatte vor 2 Tagen den gleichen Effekt nachdem ich DNS Einträge angepasst habe. Den kleinen DNSSEC Status Haken übersieht man schnell, wenn man sich auf die DNS Einträge konzentriert.

    Bei mir hatte es dann 3 Domains zerlegt. Habe ich durch mein Webservice Monitoring bemerkt, da der verwendete DNS Resolver DNSSEC aktiviert hat und dann nichts mehr aufgelöst hat. E-Mail Problem kam dann auch noch dazu.

    Erst heute konnte ich den DNSSEC Haken wieder ohne Fehlermeldung setzen und die Checks https://dnssec-debugger.verisignlabs.com/ sehen auch wieder gut aus.

    Ich hatte gestern auch Probleme, nach dem Hinzufügen von einigen DNS Einträgen, unter anderem der * Wildcard für AAAA ipv6.

    Nach 18 Stunden warten und delv Status "no valid DS" habe ich es aufgegeben, DNSSEC Haken rausgenommen, 1 Stunde gewartet, Haken wieder aktiviert, und jetzt bereits nach 30 Minuten sieht es OK aus ("fully validated").

    Ich hatte heute Probleme (oder gestern)... Auf jeden Fall waren eine Hauptdomain und 4 Subdomains alle nicht mehr erreichbar. Nslookup gab nicht einmal die Webserveradressen zurück.

    Nach Deaktivierung von DNSSEC geht es nun wieder. Etwas fader Beigeschmack. Ich habe es nun bei allen Domains erstmal deaktiviert.

    Ja, das passiert leider immer noch gelegentlich. Wenn DNSSEC kaputt ist, dann könnten die Records trotzdem noch die korrekten Daten enthalten. Wenn allerdings der von dir verwendete Resolver DNSSEC überprüft - manche tun es genauer, andere weniger genau - dann gibt er dir die Daten nicht, obwohl er sie vom authoritativen Nameserver bekommen hat. Weil er nicht sicher sein kann, dass die Daten korrekt sind. Eine vollständige Prüfung ist schon ein erheblicher Mehraufwand, deswegen machen das nicht alle Resolver konsequent.

    Man könnte also Resolver eintragen, die DNSSEC gar nicht oder nicht so genau überprüfen, die würden die Daten dann möglicherweise trotzdem rausgeben. Aber damit hätte man DNSSEC praktisch ad absurdum geführt. Wozu DNSSEC aktivieren, wenn man die Daten im Zweifelsfall trotzdem verwendet? Genau das zu vermeiden ist ja der Sinn und Zweck von DNSSEC. Dann besser DNSSEC gleich deaktivieren.

    Gerade folgende Antwort vom Support erhalten:

    Guten Tag Herr xxxx,

    vielen Dank für Ihre Anfrage.

    In solchen Fällen deaktivieren Sie bitte DNSSEC und reaktivieren Sie es wieder (nach 24h).

    Bedauerlicherweise ist unser DNSSEC System zugegeben nicht das Beste. Wir arbeiten zurzeit an einem neuen Cloud-DNS.

    Ich empfehle Ihnen daher DNSSEC nur dann zu verwenden, wenn Sie es unbedingt müssen.

    Wir entschuldigen uns für die entstandenen Unannehmlichkeiten und bitten um Ihr Verständnis.

    Mit freundlichen Grüßen,

    netcup Team

    Zitat von johnassel

    Ich bin gerade kurz davor, genau wegen dieser Thematik, meine Domains wo anders hin zu ziehen

    Alternativ könntest auch die Domains hier lassen und einen anderen DNS Server verwenden. Ich habe seit dem Umzug meiner Zonen zu desec keinerlei Probleme mehr. Musst nur hier bei Netcup auf deren Nameserver verweisen und einmalig den DNSSEC Schlüssel hinterlegen.

    Zitat von SiebenG

    Alternativ könntest auch die Domains hier lassen und einen anderen DNS Server verwenden. Ich habe seit dem Umzug meiner Zonen zu desec keinerlei Probleme mehr. Musst nur hier bei Netcup auf deren Nameserver verweisen und einmalig den DNSSEC Schlüssel hinterlegen.

    Daran hatte ich auch schon gedacht. Aber irgendwo ist diese Konstellation hier auch schon mal abgeraucht, meine ich. Ich muss mal gucken, ob ich den Beitrag wieder finde.

    Edit: Dies hier wars: https://forum.netcup.de/netcup-anwendu…ain/#post256379

    Ja, in beiden Fällen war das Problem direkt beim Erstellen des DS records hier bei Netcup. Da kann man ja direkt schauen ob es funktioniert. Wenn's ganz dumm läuft hat man dann einmalig 24 Stunden Probleme, dann aber nicht mehr. Ich habe das jetzt fast ein Jahr so mit allen Domains und es läuft stabil. Hier bei Netcup habe ich aber auch gar nichts mehr nb den DNS Einstellungen geändert, nur bei desec.

    Und ein weiteres Plus: Die API von desec ist richtig gut..

    Ja, meine Domain funktioniert bis hierhin erst mal wieder problemlos, aber das muss nicht zwingend so bleiben. Allerdings habe ich das Problem wohl durch den Umzug in einen anderen Account per Auth-Code selbst ausgelöst. Bis dahin hat sie mit Nameservern von deSEC problemlos funktioniert. Ich hoffe, sie hält jetzt weiter durch, bis das neue Cloud-DNS kommt.

    Leider scheint es nach einem Jahr Beta noch keinen Termin dafür zu geben, jedenfalls keinen, der nach außen kommuniziert wird. Meine Beta-Domain läuft seit vielen Monaten stabil. Aber auch das heißt erst einmal nicht viel. Viele meiner Domains hatte ich hier anfangs auch mit DNSSEC laufen, manche (die allermeisten, mit zwei oder drei Ausnahmen) waren absolut stabil, bis ich dann selbst vorsichtshalber bei allen DNSSEC deaktiviert habe.

    Bei meiner Domain fehlt auch seit mindestens paar Tagen der DS-Record:

    pasted-from-clipboard.png

    Hatte gestern Netcup per Kontaktformular kontaktiert - aber noch keine Antwort erhalten. Interessanterweise ist die Domain selbst erreichbar. Ich frage mich jetzt, ob ich DNSSEC selbst deaktivieren sollte und nach 24h wieder aktivieren, habe aber Angst, dass dann sie aber wirklich zumindest eine Zeit lang nicht erreichbar sein wird.