Die Denic mag nur PublicKeys und generiert sich daraus die DS Records selbst.
Ich benutze immer die Public KSK Keys mit Algorithm 8.
Hallo,
OK, das hatte ich auch in einer der vielen Dokus gelesen.
Es hat jetzt auch geklappt, der Key aus der Key-Datei wurde übernommen.
Warum das vorher (den jetzigen Zustand hatte ich schon einmal) nicht geklappt hatte, ist mir nicht ganz klar.
Aber egal, jetzt ist der Key übernommen, vielen Dank allen, die auf meine Frage geantwortet hatten.
Grüße
Bernd Lühr
Hallo Bernd, da man manchmal den Wald vor lauter Bäumen nicht sieht: Hast du auch schon deine öffentlichen DNSSEC-Schlüssel zur Domain bei Netcup unter den Bereich "Domain Name System Security Extensions (DNSSEC)" eingetragen? Denn erst danach wird es auch in der Whois-DB (whois meine-domain.de) bei der DENIC sichtbar.
Guten Morgen Andreas,
ich bin mir zur Zeit nicht sicher, welcher Public-Key eingetragen werden muss:
-einer oder beide aus der dsset-Datei?
-oder der KSK aus der entsprechenden Datei?
Wenn ich den letztgenannten ansehe, dann entspricht dieser vom Format her dem Key von "bsi.de", der als gültig beim Denic für die Domain bsi.de eingetragen ist.
Zweite Möglichkeit: der Übertragungsmechanismus von Netcup funktioniert nicht.
Grüße
Bernd
Alles anzeigenJa, ich betreibe eigene Nameserver und nutze DNSSEC - allerdings nicht mit einer DE-Domain, sondern mit ein paar .AT, .BIZ, .NET, .ORG Domains.
Woran konkret scheiterst Du denn?
Ganz grundsätzlich kann ich immer noch (obwohl mittlerweile ein paar Jahre alt) mein ausführliches HowTo aus dem Jahr 2015 empfehlen:
Sicherer E-Mail-Dienste-Anbieter (DNSSec & DANE)
Beispiele wie die WebOberfläche von NetCup beim Hinterlegen des KSK aussieht findest Du in meinem HowTo zwar nicht, aber im Kapitel 2.7 zeige ich das anhand von Screenshots mit zwei anderen Registraren. Die Vorgangsweise ist immer identisch - entweder man hinterlegt den PubKey oder den Hash davon (je nachdem wie der Provider bzw. die Registry das implementiert haben).
Wie das bei NetCup mit DE-Domains aussieht ist im NetCup-Wiki dokumentiert:
Hallo Gunnar,
genau nach deiner Anleitung habe ich das eingerichtet. Auch die Wiki-Seite von netcup ist bekannt.
An der Stelle "öffentlicher Schlüssel" ist einer der Einträge aus der dsset-Datei eingetragen, Algorithmus 8, Flag 257.
Nach meinem Verständnis müsste der Schlüssel vom Denic übernommen werden und die Kette damit "secure" werden.
Das ist bislang nicht der Fall (s. Anlage.)
Grüße
Bernd Lührhurke-de.jpg
Guten Tag,
ich versuche seit einigen Tagen, eine gültige DNSSEC-Konfiguration mit einem eigenen DNS-Server zu "bauen".
Es scheint, dass einzig die Validierung/Bestätigung durch das Denic fehlt. Getestet habe ich das mit dem Tool "https://dnsviz.net/".
Es gibt offenbar nur wenige Domains, bei denen die ganze Kette gültig ist. Beispiele sind "bund.de", "denic.de" oder "bsi.de".
Nach diesem Tool zu urteilen, sind nicht einmal "ebay.de" oder "google.de" mit DNSSEC implementiert, bzw. sind unsicher.
Gibt es jemanden hier, der eine "sichere" Konfiguration hat, (wie die von bsi.de) und die mit einem eigenen DNS via Netcup eingerichtet ist?
Ich hätte gerne einmal ein Konfigurationsbeispiel. Oder mache ich einen generellen Denkfehler?
Grüße
Bernd Lühr
