DNSSEC Status - funktioniert es mittlerweile?

Meine geschilderten Probleme aus eigener Erfahrung sind allerdings alle bei Domains aufgetreten, die noch das "alte" DNS haben und nicht CloudDNS. So auch die vier Domains mit externen Nameservern (deSEC) von gestern. Der erste Testfall ist jetzt schon wieder sicher. Nachdem das mit "DNSSEC löschen" und nach angemessener Wartezeit DNSSEC wieder eintragen schon ca 15 Minuten nach dem wieder eintragen wieder funktioniert hat, habe ich jetzt bei den drei restlichen Domains auch DNSSEC gelöscht und werde das dann morgen Nachmittag wieder eintragen. Ich erwarte, dass DNSSEC danach auch bei diesen Domains wieder funktionieren wird. Auflösbar waren die Domains alle die ganze Zeit über, ich habe das alledings nicht sehr engmaschig überwacht.

Wenn eine Domain allerdings gar nicht mehr auflösbar ist, dann ist das Problem weitaus schwerwiegender. Dass es dann, technisch bedingt, auch noch relativ lang braucht um es zu beheben, ist dann eben gelegentlich auch mal ein SuperGAU.

Zitat von NaN

Der Hauptanwendungsfall für "DNSSEC aus und wieder an*" dürfte sein, den sporadisch auftretenden Fehler zu beheben, dass bei Netcup registrierte Domains irgendwie ihre diesbezügliche Konfiguration vergessen und plötzlich nicht mehr auflösen, wenn der Client DNSSEC verifiziert. DIESEN Fehler könnte man mal beheben, anstatt darüber zu reden, ob das Togglen von DNSSEC schnell oder langsam geht und wodran das liegt. Ich behaupte mal, ohne den Fehler dürfte das so selten vorkommen, dass die Geschwindigkeit des Umschaltens den meisten völlig schnuppe sein wird. Dass man den Fehler nicht mal dann zuverlässig umgehen kann, wenn man externe Nameserver verwendet, disqualifiziert Netcup nicht nur als DNS-Hoster sondern eigentlich auch als Registrar. Ist bei Netcup noch nicht angekommen, wie schwerwiegend dieses Problem ist?

*) have you tried turning it off and on again

Wir arbeiten daran und eine Umstellung auf die neue DNS‑Infrastruktur (CloudDNS) ist bereits im Gange.
Das Problem mit DNSSEC wird somit angegangen und wir bitten noch um etwas mehr Geduld.

Zitat von [netcup] Julian D.

Hallo, die Rede war hier von Problemen bezüglich Caching, auf welche wir nun einmal leider keinen Einfluss haben. Dies hätte ich genauer spezifiziern können.

Das ist wohl richtig und auch verstanden worden ... die Thematik gäbe es aber nicht, wenn es nicht schon seit mindestens zwei Jahren (ich glaube eher mehr) diese Probleme geben würde. Man könnte auch sagen "Problem einfach angehen, beheben und die Diskussion ist vorbei" so einfach könnte es sein. Ratschläge zum Caching etc. sind da zumindest fragwürdig wenn ich mir diese Aussage erlauben darf.

Und jetzt hab ich auch mal wieder ne Domain, die urplötzlich nicht mehr valide ist ...

Ich habe hier gerade das Problem, dass ich DNSSEC für eine Domain nicht deaktivieren kann, um andere Nameserver zu einzutragen. Nach 48 Stunden springt der Status im CCP von "In Bearbeitung" einfach wieder auf "aktiv", habe es zwei mal probiert... Im Hintergrund ist auf jeden Fall etwas passiert, die DNSKEY und RRSIG Records wurden entfernt und sollten auch längst aus allen Caches raus sein (dnschecker.org findet nirgendwo mehr etwas). CCP sagt trotzdem "DNSSEC aktiv" und lässt mich dementsprechend die Nameserver nicht ändern.

Hatte das schon mal jemand?

Ticket hab ich schon geschrieben, aber so wie sich das anhört, könnte eine Antwort momentan ja wirklich ein wenig auf sich warten lassen...

Gerade noch den Thread hier gesehen, also Probleme mit dem Deaktivieren scheint es nicht nur bei mir zu geben Cloud DNS: Aendern eigener Nameserver funktioniert nicht

Zitat von durr

Ich habe hier gerade das Problem, dass ich DNSSEC für eine Domain nicht deaktivieren kann, um andere Nameserver zu einzutragen. Nach 48 Stunden springt der Status im CCP von "In Bearbeitung" einfach wieder auf "aktiv", habe es zwei mal probiert... Im Hintergrund ist auf jeden Fall etwas passiert, die DNSKEY und RRSIG Records wurden entfernt und sollten auch längst aus allen Caches raus sein (dnschecker.org findet nirgendwo mehr etwas). CCP sagt trotzdem "DNSSEC aktiv" und lässt mich dementsprechend die Nameserver nicht ändern.

Hatte das schon mal jemand?

Ticket hab ich schon geschrieben, aber so wie sich das anhört, könnte eine Antwort momentan ja wirklich ein wenig auf sich warten lassen...

Gerade noch den Thread hier gesehen, also Probleme mit dem Deaktivieren scheint es nicht nur bei mir zu geben Cloud DNS: Aendern eigener Nameserver funktioniert nicht

Bei mir exakt dasselbe Verhalten. Laut Support nun behoben, CCP meldet aber wieder / immer noch aktiv. Hätte ich gewusst, dass DNSSEC hier solche Probleme bereitet, hätte ich es vermutlich gar nicht erst aktiviert. Schon ärgerlich.

Mir antwortet der Support erst gar nicht. Seit über einer Woche kann ich meine Domain jetzt nicht benutzen. Das war das erste und letzte Mal, dass ich netcup als Registrar benutze. Dass solche Basics bei der Domainverwaltung kaputt sind, ist schon schlimm genug, aber dass der Support praktisch nicht erreichbar ist, geht gar nicht. Ich muss die 2 Monate Wartefrist zum Domainumzug noch verstreichen lassen (ist .com), sonst würde ich die Domain direkt wieder umziehen. Aber auch damit das reibungslos klappt, müsste man ja zunächst mal DNSSEC deaktivieren können...

Zitat von SpaceCase

Bei mir exakt dasselbe Verhalten. Laut Support nun behoben, CCP meldet aber wieder / immer noch aktiv. Hätte ich gewusst, dass DNSSEC hier solche Probleme bereitet, hätte ich es vermutlich gar nicht erst aktiviert. Schon ärgerlich.

Ticket: NCSUP-1004741

Würde mich freuen, noch vor dem WE eine Rückmeldung zu erhalten…

Ich habe mittlerweile immerhin die Nachricht bekommen, dass mein Ticket an die zuständige Abteilung weitergeleitet wurde. Das ist jetzt aber auch schon wieder über 24 Stunden her und es hat sich nichts getan.

Zitat von durr

Ich habe mittlerweile immerhin die Nachricht bekommen, dass mein Ticket an die zuständige Abteilung weitergeleitet wurde. Das ist jetzt aber auch schon wieder über 24 Stunden her und es hat sich nichts getan.

Auf dem Stand war ich am Mittwoch schon. Der (vermutlich) First-Level antwortet bislang eigentlich noch recht zügig.

Aus eigener Erfahrung und Berichten aus dem Forum ist für mich klar: Thema DNSSEC hat keine Prio bei Netcup.

Es einen offiziellen Eintrag oder Bezug zu den Problemen rund um DNSSEC. Auch in der Backendumstellung bleibt es unerwähnt: Informationen zu Cloud DNS & API-Schnittstelle

Die Supporttickets werden mit "wir haben DNSSEC deaktiviert, aktivieren Sie es später wieder" beantwortet, was keine Problemlösung ist.

Entgegen meinen Prinzipien bin ich jetzt zum quasi Monopolisten Cloudflare und rate jedem sich einen anderen Nameserverbetreiber zu suchen wenn er DNSSEC benutzen will.

Übrigens laufen Domains bei der französischen Konkurrenz seit 2018 mit aktiviertem DNSSEC ohne Probleme... motiviert vielleicht der Mitbewerber Netcup?

Zitat von HansWurst

Thema DNSSEC hat keine Prio bei Netcup.

Wir alle sind der Hoffnung, dass die gerade laufende Umstellung auf das neue Nameserversystem auch die dnssec Probleme löst.

Zitat von ASS

Wir alle sind der Hoffnung, [..]

Um hier einen ehemaligen Lehrer zu zitieren: "Glauben und hoffen tun wir in der Kirche und beim Lottospielen, aber nicht bei technischen Dingen, da wissen oder messen wir."

Ich warte gespannt auf das q.e.d.

Zitat von HansWurst

da wissen oder messen wir

Na dann lass und an deiner Weisheit teilhaben.

Was weißt du, was wir hoffen müssen?

Zitat von SpaceCase

Auf dem Stand war ich am Mittwoch schon. Der (vermutlich) First-Level antwortet bislang eigentlich noch recht zügig.

Wurde dir mittlerweile geholfen? Bei mir kam immer noch keine Antwort. Ich verliere langsam wirklich die Geduld.

Hab aktuell auch drei Domains mit eigenen Nameservern letzte Woche zu Netcup umgezogen. Der Transfer lief soweit wie erwartet und meine eigenen Nameserver sind korrekt hinterlegt. Allerdings hängt es an der DNSSEC Aktivierung. Bei einer alten de Domain konnte ich einen neuen Key hinzufügen, was wohl noch über die alte Struktur lief. Bei den drei neuen (eine de und zwei org) warte ich immernoch auf den DS Eintrag in der TLD. Eines der drei Tickets liegt inzwischen bei der berühmten "Zuständigen Stelle"

Zitat von durr

Wurde dir mittlerweile geholfen? Bei mir kam immer noch keine Antwort. Ich verliere langsam wirklich die Geduld.

Nope. Hatte mir auch mal die API angesehen, in der Hoffnung, darüber was regeln/herausfinden zu können, aber da meine Domains noch recht neu sind, laufen sie schon über CloudDNS und da ist API-technisch noch gar nichts möglich.

Sobald ich kann, werde ich definitiv externe NS setzen (vmtl. deSEC, mit Cloudflare fremdel ich noch, weil US). Ich habe allerdings auch schon in Erwägung gezogen, die Domains komplett zur Konkurrenz zu geben. Kostet am Ende dann vielleicht ein paar Euro mehr, aber die Ersparnis ist mir der Frust eigentlich nicht wert.

Ja ein leidiges Thema. Bei mir ist seit nun 24 h auch mal wieder eine Domain komplett tot.
Bisher keine Reaktion vom Support.

Zitat von durr

Wurde dir mittlerweile geholfen? Bei mir kam immer noch keine Antwort. Ich verliere langsam wirklich die Geduld.

Gibt's bei dir was Neues?

Zitat von SpaceCase

Gibt's bei dir was Neues?

Ja, mir hat der Support mittlerweile bestätigt, dass die Anzeige im CCP einfach nicht stimmt und DNSSEC schon deaktiviert war. Das wird nur nicht anzeigt und damit bleibt die selbständige die Änderung der Nameserver blockiert, aber mir wurden auf Wunsch dann manuell andere eingetragen. Damit kann ich erst mal leben. Die Entwicklungsabteilung arbeitet wohl an einer Lösung, aber wann die kommt, wurde mir nicht gesagt.