DNSSEC Status - funktioniert es mittlerweile?

Auch meine Domain war wieder nicht erreichbar.

Für xxxxxx.de schlägt die DNSSEC-Validierung bei Cloudflare fehl: „EDE(6): DNSSEC Bogus for DNSKEY xxxxxx.de., id = 10445“. Mit CD=true funktioniert die Auflösung auf 37.120.179.xxx. Google DNS meldet „RRSIG with malformed signature found for xxxxx.de/dnskey“, unter anderem für Keytag 10445. Bitte DNSKEY-Signaturen und Konsistenz aller autoritativen Nameserver sowie den DS-Abgleich prüfen und die Signierung korrigieren.

Habe den DNSSEC Status bei Netcup deaktiviert, damit war meine Domain wieder nach ca. 10 Minuten erreichbar. Lasse DNSSEC Status erstmal aus

Mit dem Unterschied das bei dir nur die Signierung nicht passt. Bei mir ist komplett der DNSKey verschwunden. Leider ein anderer Fehler. Und es ist ja bei mir so das der Haken ja urplötzlich aus war. Das hängt wohl damit zusammen das bei Netcup DieKeys fehlen und die DNS Verwaltung denkt es wäre aus.

So, also ich bin dem Support sehr dankbar: Die DS Records wurden nun manuell gelöscht und meine Domains alle auf das neue CloudDNS migriert.

Seitdem sind alle Domains wieder erreichbar. DANKE!

Ich habe mich sogar getraut im neuen CloudDNS mal testweise DNSSEC zu aktivieren Das hat einwandfrei geklappt

Nun hoffe ich nur dass das im neuen System stabiler läuft als im alten. Einige Berichte lassen das ja zum Glück annehmen.

Noch eine Anmerkung/Tipp: Ich wurde vor dem Umzug gebeten den API Key (Legacy) zu entfernen und auf die neue API umzuziehen. Daher könnte ich mir vorstellen dass man als Bestandskunde auch automatisch nur dann migriert wird, wenn man nicht mehr die alte DNS-API nutzt (ist aber auch logisch).

Ich hab vor rund 4 Wochen alle legacy API Keys gelöscht, hatte gehofft ich werde vielleicht früher migriert, warte aber immernoch.. 😔

Man müsste einfach einen TXT Record ready für die Subdomain _clouddns erstellen können, um zu signalisieren, dass man bereit für die zügige Migration ist. Wie wär das, Netcup? Oder seid ihr noch nicht soweit?

Zitat von notfound404

So, also ich bin dem Support sehr dankbar: Die DS Records wurden nun manuell gelöscht und meine Domains alle auf das neue CloudDNS migriert.

Seitdem sind alle Domains wieder erreichbar. DANKE!

Ich habe mich sogar getraut im neuen CloudDNS mal testweise DNSSEC zu aktivieren Das hat einwandfrei geklappt

Nun hoffe ich nur dass das im neuen System stabiler läuft als im alten. Einige Berichte lassen das ja zum Glück annehmen.

Noch eine Anmerkung/Tipp: Ich wurde vor dem Umzug gebeten den API Key (Legacy) zu entfernen und auf die neue API umzuziehen. Daher könnte ich mir vorstellen dass man als Bestandskunde auch automatisch nur dann migriert wird, wenn man nicht mehr die alte DNS-API nutzt (ist aber auch logisch).

Alles anzeigen

Kannst du mir sagen wie du das gemacht hast? Wie gesagt ich warte seit Mittwoch Abend und habe inzwischen 3 Hotline Anrufe hinter mir in denen mir immer wieder gesagt wurde im Ticket hat sich noch nix geändert ich soll mich noch gedulden. Und jetzt im letzen Anruf wurde mir sogar gesagt wenn sich bis heute Abend nix änderrt soll ich morgen bei der Notruf Hotline anrufen. Da ich dort dann auch direkt nen Admin erreiche der mir schneller helfen kann.

Zitat von Dani153

Bei mir ist komplett der DNSKey verschwunden. Leider ein anderer Fehler. Und es ist ja bei mir so das der Haken ja urplötzlich aus war. Das hängt wohl damit zusammen das bei Netcup DieKeys fehlen und die DNS Verwaltung denkt es wäre aus.

Genau so war es bei mir auch. Es wurde als deaktiviert angezeigt, aber die DS Records waren noch vorhanden weswegen natürlich die Validierung fehlschlug.

Zitat von Dani153

Kannst du mir sagen wie du das gemacht hast? Wie gesagt ich warte seit Mittwoch Abend und habe inzwischen 3 Hotline Anrufe hinter mir in denen mir immer wieder gesagt wurde im Ticket hat sich noch nix geändert ich soll mich noch gedulden. Und jetzt im letzen Anruf wurde mir sogar gesagt wenn sich bis heute Abend nix änderrt soll ich morgen bei der Notruf Hotline anrufen. Da ich dort dann auch direkt nen Admin erreiche der mir schneller helfen kann.

Ich kann dir leider auch nicht sagen woran es lag, vielleicht hatte ich einfach Glück. Sobald jemand aus der Fachabteilung dein Ticket bekommt sollte das ja rein technisch eigentlich recht schnell und einfach zu lösen sein. Sofern du nicht noch irgendein anderes Problem hast?

Zitat von notfound404

Genau so war es bei mir auch. Es wurde als deaktiviert angezeigt, aber die DS Records waren noch vorhanden weswegen natürlich die Validierung fehlschlug.

Ich kann dir leider auch nicht sagen woran es lag, vielleicht hatte ich einfach Glück. Sobald jemand aus der Fachabteilung dein Ticket bekommt sollte das ja rein technisch eigentlich recht schnell und einfach zu lösen sein. Sofern du nicht noch irgendein anderes Problem hast?

Nö. Kein anderes Problem. Wie bei dir. Autoritäre Server haben DS Records und Netcup DNS keinen Key mehr und Haken ist aus. Angeblich liegt das Ticket in der Fachabteilung. Und bei meinem ersten Anruf gleich heute Morgen um 9 war das Ticket auch geschlossen und gestern Abend bearbeitet worden. Wurde natürlich wieder aufgemacht. Weis nicht ob du nur eine .de Domain hast und es das vielleicht anders oder schneller geht. Bei mir handelt es sich um ne .email Domain.

Zitat von Dani153

Und bei meinem ersten Anruf gleich heute Morgen um 9 war das Ticket auch geschlossen und gestern Abend bearbeitet worden.

Hm, das ist seltsam.

Zitat von Dani153

Weis nicht ob du nur eine .de Domain hast und es das vielleicht anders oder schneller geht. Bei mir handelt es sich um ne .email Domain.

Bei mir waren es tatsächlich nur ccTLDs und keine gTLD. Ob das eine Rolle spielt weiß ich aber auch nicht. Vermute eher nicht.

An deiner Stelle würde ich (sofern nicht sowieso schon gemacht) nicht um Aktivierung bitten, sondern um DEaktivierung und explizit um Löschung der DS Records. Und frag am besten gleich, ob du auf CloudDNS migriert werden kannst, damit sollte das dann für die Zukunft hoffentlich nicht mehr vorkommen(?)

Ich drücke dir die Daumen dass das auch bei dir nun zeitnah behoben wird!

Danke. Ja ich werd sehen und hoffe das es bald losgeht. Vorerst werde ich wohl tatsächlich eher die Domains woanders hinziehen. Nach diesem Debakel jetzt ist mir das echt zu heiß. Auch wenn ich wie schon gesagt seit eigentlich über 10 Jahren zufriedener Netcup Kunde bin.

Aber hier wurde ich jetzt leider echt enttäuscht.

Zitat von Dani153

Vorerst werde ich wohl tatsächlich eher die Domains woanders hinziehen.

Muss ja nicht die gesamte Domain sein. DNS bzw. Nameserver von Drittanbieter wie Cloudflare geht auch.

Zitat von HansWurst

DNS bzw. Nameserver von Drittanbieter wie Cloudflare geht auch.

Ich meine mich aber zu erinnern dass zumindest bei dem "alten" DNS-System es auch berichte von Leuten gab, die deSEC.io als Nameserver hatten und bei denen DNSSEC ebenfalls kaputtgegangen ist.

PS: bin kein Fan von Cloudflare. Aber das nur als Anmerkung, war ja ein Beispiel von dir

Cloudflare ist auch bei mir z.zt. die Qual der Wahl. Funktioniert so aber relativ gut bisher. Sollte ja eigentlich auch nur eine Übergangslösung sein ... aber naja.

Zitat von NaN

Ich vermisse bei den Problemmeldungen, ob die Domains im alten DNS-System oder im neuen CloudDNS-System verwaltet werden. Eine definitive Auskunft, ob das nur ein Problem des alten Systems ist und mit der Migration verschwinden wird, hat es m.W. noch nicht gegeben, oder?

Ich hatte die Tage von NetCup eine Email bekommen, dass eine meiner .de-Domains auf das neue CloudDNS-System umgezogen wird. Die Domain verwalte ich schon seit eh und je mit meinen eigenen DNS-Servern und habe das Interface von NetCup lediglich verwendet, um diese NS und auch den DNSSEC-Key zu setzen.

Nach der Umstellung auf das neue System schlägt die DNSSEC-Validierung fehl: "No DS records found for ***.de in the de zone"
Der entsprechende Key wurde aber automatisch vom alten zum neuen System übernommen.

Daraus schließe ich, dass entweder die Umstellung nicht 100%ig sauber funktioniert (zumindest in meiner Konstellation mit externen NS) oder aber das neue System auch anfällig für "kaputtes DNSSEC" ist. Ich hoffe auf ersteres.

Update: Ich habe den entsprechenden Key in den DNSSEC-Einstellungen der Domain erneut eingetragen und wenige Augenblicke später war alles wieder in Ordnung.

Zitat von cltrmx

Ich hatte die Tage von NetCup eine Email bekommen, dass eine meiner .de-Domains auf das neue CloudDNS-System umgezogen wird. Die Domain verwalte ich schon seit eh und je mit meinen eigenen DNS-Servern und habe das Interface von NetCup lediglich verwendet, um diese NS und auch den DNSSEC-Key zu setzen.

Nach der Umstellung auf das neue System schlägt die DNSSEC-Validierung fehl: "No DS records found for ***.de in the de zone"
Der entsprechende Key wurde aber automatisch vom alten zum neuen System übernommen.

Daraus schließe ich, dass entweder die Umstellung nicht 100%ig sauber funktioniert (zumindest in meiner Konstellation mit externen NS) oder aber das neue System auch anfällig für "kaputtes DNSSEC" ist. Ich hoffe auf ersteres.

Update: Ich habe den entsprechenden Key in den DNSSEC-Einstellungen der Domain erneut eingetragen und wenige Augenblicke später war alles wieder in Ordnung.

Noch ein Update dazu:

Heute Morgen bekam ich von NetCup eine Email, dass eine weitere Domain (.de) zum neuen CloudDNS-System umgezogen wird.

Direkt nach Erhalt der Email habe ich DNSSEC dieser Domain gecheckt, alles war wunderbar. Jetzt (~1h später) ist DNSSEC *erneut kaputt*. Dieses Mal kann ich also mit Gewissheit sagen, dass DNSSEC erst durch die Umstellung kaputt gegangen ist und es nicht nur die einzige Domain aus meinem vorherigen Posting betrifft.

Seit wann kann man DNSSEC beim Legacy-DNS im CCP nun gar nicht mehr aktivieren, wenn es mal wieder kaputt ist?

(Ticket wurde schon erstellt.)

Zitat von KB19

Seit wann kann man DNSSEC beim Legacy-DNS im CCP nun gar nicht mehr aktivieren, wenn es mal wieder kaputt ist?

Details

Bei einigen (geparkten) Domains ist DNSSEC seit einigen Tagen wieder von alleine kaputt, ich kann es im CCP aber nicht mehr selber aktivieren, weil mindestens 1h Stunden vergehen müssen. Ich habe es aber nie deaktiviert, die Fehlermeldung ist also nicht zutreffend. In der übergeordneten Zone sind weiterhin DS/DNSKEY RRs hinterlegt…

Genau so erlebt:

Zitat von notfound404

es existieren laut https://dnssec-analyzer.verisignlabs.com/ weiterhin DS Records, aber kein bzw. ungültige DNSKEY. Offensichtlich hat die Deaktivierung nicht ordnungsgemäß funktioniert, obwohl im CCP als deaktiviert angezeigt. Ich kann aber DNSSEC eben auch nicht wieder aktivieren wegen "müssen mindestens x Stunden vergehen". Bei einigen Domains sind es nun bereits über 48 Stunden

seit Monaten bei bunny.net - tut was es soll. Pflichtabgabe allerdings 1€ p.M.

Antwort auf mein Support-Ticket:

Zitat

in unserer alten Nameserverinfrastruktur kann DNSSEC derzeit nicht aktiviert werden.

Wie komme ich auf eine funktionierende Nameserverinfrastruktur?

Zitat von m3um25z

Wie komme ich auf eine

Ich würd den Support mit einer Liste der fraglichen Domainnamen um eine baldige Umstellung bitten.