Das wäre mir auch neu, da ich Cloudflare als NS-Server auf meiner Domain hinterlegt habe und noch nie ein einziges Problem mit DNSSEC hatte.
Ja, das ist wohl wirklich neu. Bis vor einer Woche hätte ich das selbst so schreiben können, nur "Cloudflare" durch "deSEC" ersetzt. Mittlerweile hat die Domain meiner Server, die bei netcup registriert ist und seit vielen Jahren völlig problemfrei die Nameserver von deSEC nutzt, bei dnsviz & Co mehrere Fehler und Warnungen. Diese Fehler sind offenbar schwerwiegend genug, dass Resolver, auch meine eigenen, bei "dig" kein ad-Flag mehr anzeigen. Sprich, DNSSEC nicht vorhanden oder kaputt. Immerhin funktioniert noch alles soweit, dass sich Resolver wenigstens nicht weigern, die DNS-Records auszuliefern.
Ich bin derzeit am überlegen, zumindest diese Domain, zu der auch mei Mailserver gehört zu einem anderen Anbieter umzuziehen, was aber sicher auch kein schmerz- und unterbrechungsfreier Prozess werden wird.
Dass netcup in den derzeitigen DNS-Geschichte noch großartigen Aufwand reinstecken wird, davon gehe ich bis auf Weiteres nicht aus. Selbst der Support empfiehlt ja mttlerweile schon, DNSSEC nicht zu benutzen, wie ich in den letzten Tagen irgendwo hier im Forum gelesen habe.
Ich werde mich übers Wochenende mal erkundigen, was denn noch an Daten fehlt um die Betaphase der neuen DNS-Verwaltung erfolgreich abzuschliessen und dann ggf versuchen, die noch fehlenden notwendigen Testdaten zu liefern. Das, was ich normalerweise so nutze, habe ich schon seit längerem durch und finde da nichts mehr. Natürlich ist bei meiner Testdomain DNSSEC aktiviert und dnsviz.net hat daran erfreulicherweise auch (immer noch) nichts auszusetzen. Keine Fehler, keine Warnungen, alles im grünen Bereich, was ich bei der derzeitigen DNS-Verwaltung ehrlich gesagt seit Jahren nicht gesehen habe. Ohne Warnungen unter "Notices" ging es da nie ab und gelegentlich war denn auch DNSSEC komplett kaputt. Also noch schlimmer kaputt als derzeit meine Serverdomain.
So ganz ohne Warnungen bei dnsviz.net kommen übrigens auch meine Domains bei IN*X nicht weg. Da habe ich denn auch gestern Abend mal sämtliche Schlüssel löschen und neu generieren lassen, geholfen hat es nichts. Die einzigen Domains unter meiner Kontrolle, die derzeit ohne Warnungen und Fehler die Tessts bei dnsviz.net absolvieren, sind meine Testdomain aus der Beta bei netcup und die Domains eines Bekannten bei Gr33nmark (D*main-Off*nsive), die auch deren Nameserver benutzen.
Eine benutzt dort auch die deSEC Nameserver und bekommt von dnsviz auch eine Warnung unter "Notices" mit auf den Weg.
Zitat
xxxxxxxx.de/CDS: The contents of the DS RRset are inconsistent with those of the CDS RRset. See RFC 7344, Sec. 3, RFC 7344, Sec. 5.
Das ist aber völlig harmlos und übrigens die selbe Warnung, die auch meine noch funktionierenden Domains bei netcup mit deSEC Nameservern bekommen. netcup (DS) hat grundsätzlich immer nur einen Eintrag (Digest Type 2), was absolut zulässig ist. deSEC (CDS) dagegen grundsätzlich zwei (Digest Type 2 und 4). Der eine (Digest Type 2) stimmt überein, der andere fehlt eben bei netcup und anderen, der wird aber auch nicht zwingend verlangt.
)
.