SSHFP DNS record

Seit einiger Zeit schon versuche ich einen SSHFP record in den DNS Einstellungen einzurichten. Leider bisher ohne Erfolg.

Es gibt auf der Netcup Website diesen Artikel, der auch den SSHFP eintrag als Screenshot anzeigt:

Neue Record-Typen für unsere DNS-Server « netcup news

Ab sofort bietet unsere DNS-Verwaltung auch die Unterstützung folgender DNS-Record-Typen an: OPENPGPKEY, SMIMEA und SSHFP. Damit erfüllen wir einen weiteren…

www.netcup-news.de

Also habe ich entsprechende Einträge in dem Verwaltungstool eingetragen, leider ohne das diese im DNS veröffentlich wurden.

Beispiel:

Host

Dieser Eintrag sollte eigentlich den SSH fingerprint für den typ RSA im DNS eintragen, leider findet sich dieser Eintrag im DNS nicht.

So sollte eigentlich mit dem Befehl ssh-keyscan -D <domainname> der Eintrag ausgegeben werden.

ssh-keyscan -D mydomain.de

Für domains wie github.com funktioniert dies auch.

Die Frage ist warum dies für meine Domain nicht erfolgreich ist.

Hat irgendjemand für eine Domain bei Netcup schon mal erfolgreich diesen DNS Eintrag verwendet?

Zitat von Virinum

Bei "Host" muss ein "@" rein. So hast du gerade einen Record für mydomain.de.mydomain.de erstellt.

Ok, danke für den Tipp. So richtig verstehe ich aber nicht warum das so eingetragen werden muss, insbesondere wenn sowohl bei wikipedia als auch in dem netcup screenshot der volle Domainname eingetragen ist. https://de.wikipedia.org/wiki/SSHFP_Resource_Record

Ich schau mal ob das Problem behoben ist, dauert ja etwas mit dem DNS

Zitat von Virinum

Noch ein Nachtrag zu ssh-keyscan: Ich glaube du verwechselst die Funktionalität von ssh-keyscan etwas:

Der Befehl zeigt dir also nur die Records an, die du erstellen müsstest. Aber so wie ich das sehe, hat GitHub gar keine SSHFP-Records.

Das ist nicht ganz korrekt in bezug auf die -D option.

Aus der ssh-keyscan manpage:

Zitat

-D Print keys found as SSHFP DNS records. The default is to print keys in a format usable as a

ssh(1) known_hosts file.

Und ssh-keyscan -D github.com gibt auch entsprechende sshfp einträge zurück

Zitat von Virinum

Ich weiß nicht welchen Screenshot du bei netcup meinst, aber hier ist es nochmal genau erklärt: https://helpcenter.netcup.com/de/wiki/domain…s-eintr%C3%A4ge

Selbst auf dem von dir verlinkten News-Artikel sind Einträge mit @ zu sehen.

-D ändert nur die Darstellung. Trotzdem hat github.com keine SSHFP-Einträge. Wie gesagt, das Tool zeigt dir nur an, welche Einträge du erstellen müsstest, aber nicht welche aktuell vorhanden sind. Außerdem wird für SSHFP-Einträge auch DNSSEC benötigt. Github nutzt kein DNSSEC.

Hab's auch gerade nochmal mit einem Host von mir ausprobiert, für den ganz sicher keine SSHFP-Einträge gesetzt sind. Und trotzdem generiert mir ssh-keyscan eine Ausgabe wie bei Github.

Ok du hast doch recht, ich habe die funktion von ssh-keyscan falsch interpretiert.

SSHFP einträge sind übrigends auch valide wenn diense nicht per DNSSEC signiert sind. Allerdings reagieren dann die clients wie ssh anders und fordern den user auf den Fingerprint manuell zu bestätigen, statt diesen automatisch zu akzeptieren. Github hat aber tatsächlich keine SSHFP records eingetragen.

Bezüglich des Eintrags, hier ist der Screenshot von netcup:

https://www.netcup-news.de/wp-content/uploads/2018/09/dns_records_openpgpkey.png

Original Post:

link: https://www.netcup-news.de/2018/09/19/neu…ere-dns-server/

Jetzt wo ich den Eintrag korrekt verifiziere, muss ich auch feststellen das es irrelevant zu sein scheint ob ich den hostnamen oder @ eintrage, die SSHFP records werden in beiden Fällen ausgegeben.

Warum auch immer, wenn ich dig ohne @root-dns.netcup.net verwende, bekomme ich den Fingerprint in beiden Fällen zurück. Kann aber auch einfach an dem DNS cache liegen.

Wieso der Host eintrag ein @ haben muss ist mir aber immernoch nicht ganz klar, aber ok dann ist das Rätsel auf jeden Fall gelöst, danke.