Laut dem Provider H… wird derzeit noch kein DNSSEC von deren DNS-Servern unterstützt.
Ich bin nicht sicher was dafür bei dieser Domain nötig ist bei H., aber Fakt ist, wir nutzen verschiedene Domains, welche auch darüber laufen und da ist DNSSEC zum Teil schon am Laufen.
Bei der .de Domain kann ich, wie gesagt, nur das einfügen:
pasted-from-clipboard.png
Bei .org sieht es anders au, da geht das:
pasted-from-clipboard.png
Ja, das war ich vorhin, wollte sehen, ob was passiert, wenn dort alle 6 sind. Habs wieder rückgängig gemacht.
Achso, hatte das jetzt so verstanden, als seien die Unterschiedlich.
Ohne die Domain zu kennen wird es tatsächlich zunehmend schwerer zu helfen. Magst du die nennen oder per PN schicken?
djehuty.de
Der Support hatte mich inzwischen schon angeschrieben, ich sollte DNSSEC aus- und wieder anschalten, es sollte danach gehen, das ist jetzt einige Stunden her, aber bis jetzt geht nix.
Ne, nicht bei Gelegenheit. Das wird er Grund sein, warum keine Änderungen übernommen werden.
Verstehe ich nicht, wieso soll das jetzt der Grund sein, warum es jetzt nicht übernommen wird, die Server stimmen doch jetzt überein. Die NS Einträge beim Primary und die bei Netcup sind dieselben, für diese Domain.
Und mit allen anderen Domains läuft alles perfekt, auch von allen Standorten aus.
Du musst genau die Nameserver eintragen, die auch bei deinem Primary als NS-Records hinterlegt sind.
Stimmt, das sollte ich beachten, ich werde mal alles umstellen auf die neuen, bei Gelegenheit.
Bei allen anderen Registras haben übrigens immer alle 6 Nameserver von H. funktioniert, egal welche ich verwendet habe, aber bisher hatte ich nie DNSSEC auf einer .de Domain.
Weil sie zwei verschiedene Aufgaben erfüllen. Das eine Set mit helium (fehlt bei dir übrigens), oxygen und hydrogen werden verwendet, wenn du die Verwaltung der Records über das rote H auswählst. Das zweite Set mit ns1, robotns2 und robotns3 wird verwendet, wenn du das rote H nur für die secondary Nameserver benutzt.
Du musst schon sicherstellen, dass du die richtigen nimmst. DNSSEC funktioniert meines Wissens nach auch nur, wenn du die secondary Nameserver verwendest. Hier übernimmt ja der primary Nameserver das Signieren und die secondary Übernehmen die Records nur.
Beim Test hatte ich nur zwei Nameserver eingetragen, bei Netcup hatte ich alle drei drin und bei meiner .org Domain stehen sie auch noch drin, und diese funktionierte sofort mit DNSSEC. Die .de Domain funktioniert bislang nicht.
Ich weiß nicht, was das rote H sein soll.?
Bei den ersten Nameservern hydrogen, oxygen, helium, steht bei Hétzner:
„Wenn Sie Ihrem derzeitigen Registrar die IP-Adressen zur Verfügung stellen müssen, können Sie die folgenden Adressen verwenden:“
Bei den anderen Namserver ns1, robots2, robots3 steht:
„secondary DNS Server (alte Nameserver Robot)“
Keine Ahnung, was das soll, es ist verwirrend.
Mein Server agiert als Primary, ja, ich nehme ja nur die von Hétzner, die als Secondary agieren.
Gib Deine Daten doch mal vollstaendig bei https://nast.denic.de/ ein. Also alle NS ggf. mit Glue UND alle DS. Nach meiner Erfahrung werden Daten von NC nicht zum DENIC uebernommen, wenn da eine Warnung auftaucht. Ggf. die Warnungen beseitigen und die Daten im SCP noch mal abschicken.
HTH
Ich habe beim ersten Mal nicht gesehen, dass ich dort auch Dnskeys eintragen kann. Das erhalte ich dort als Fehler:
| Error | 118 | Inconsistent set of NS RRs Parameter:
|
||||||
| Error | 118 | Inconsistent set of NS RRs Parameter:
|
||||||
| Error | 118 | Inconsistent set of NS RRs Parameter:
|
||||||
| Error | 118 | Inconsistent set of NS RRs Parameter:
|
Wenn ich das andere Set Nameserver, welches bei Hétzner hinterlegt ist, angebe, gibt es keine Fehler. Aber Warnungen:
| Severity | Code | Message | ||
|---|---|---|---|---|
| Warning | 102 | Provided glue records not applicable Parameter:
|
||
| Warning | 102 | Provided glue records not applicable Parameter:
|
||
| Warning | 102 | Provided glue records not applicable Parameter:
|
Habe es gerade so bei Netcup eingetragen, mal sehen, ob es gleich doch geht.
Die .org Domain läuft mit den ersteren Nameseren trotzdem.
Ich weiß nicht, wozu Hétzner zwei verschiedene Sets Nameserver angibt, oder warum hier immer noch Warnings auftauchen. (Das zweite Set scheint eigentlich benutzt zu werden.)
Ich hab den Netcup Support schon angeschrieben. (Das Wort Hétzner ist falsch geschrieben, weil es hier zensiert ist)
Der Screenshot sieht erstmal gut aus.
Du hast auch lang genug gewartet? Das kann schon mal ein paar Stunden dauern, bis das in der .de-Zone übernommen wurde.
Ich checke das immer mit dig DS domain.de @f.nic.de
Ansonsten tatsächlich mal den Support kontaktieren. Kann gut sein, dass da was hängt.
Warte schon seit Tagen. Wenn ich mit dig teste, kommt auch nix. Kein DS vorhanden. Bei meiner .org Domain, die auch so konfiguriert ist, mit externen Server, war DNSSEC schon nach kürzester Zeit verfügbar.
Wie genau trägst du die Keys denn im CCP ein? Hast du davon auch mal einen Screenshot?
Wie lange hast du gewartet? Und wie hast du getestet?
Zum Testen nehme ich verschiedenes, z.B. https://dnssec-analyzer.verisignlabs.com
| No DS records found for domain.de in the de zone |
über Plesk wirst du auch keine DS Einträge im DNS sehen, die setzt er selbst in die bind datei rein, aber im webinterface werden die nicht angezeigt.
Ob DNSSEC läuft musste über externe webseiten prüfen oder via dig schauen ob die einträge da sind.
In Plesk einfach die Zone Signieren und die DNSKEYs beim Registrar hinterlegen, 2-3 Stündchen warten und dann mal schauen ob dnssec aktiv ist
Ich weiß nicht was gemeint ist, weil: Ich erwarte wie gesagt bei der .de Zone die DS Einträge, die sollten doch dort generiert und hinterlegt werden aufgrund des KSK den ich bei Netcup eingeben kann.?
Handelt es sich dabei um eine Domain hier bei netcup und ein Webhosting extern? Oder wird ein eigener Server mit Plesk verwendet?
Es wird ein eigener Plesk Server verwendet, also externes Hosting und als Registrar Netcup.
Mal vorher mit https://nast.denic.de getestet?
Das Teil sagt alles Ok.
DNS an desec.io delegieren, dann klappts auch mit Dnssec. Mache ich jetzt mit allen Domains so
Ich weiß ehrlich gesagt nicht was das bringen soll oder was das überhaupt machen soll? Wir haben bereits einen eigenen DNS-Server und alles läuft, wozu braucht man dann sowas?
Ich bekomme meine .de Domain nicht mit DNSSEC zum Laufen.
Ich habe die KSK Keys eingefügt, sie kommen von Plesk, und sehen etwa so aus wie im Beispiel:
IN DNSKEY 257 3 13 1APYLtwKb4ZVqXI7hldieNDFWOeyO8zPl5gdr+mzsjh1OtsaCrUm8sfI ZBst5IrStAuqg8ReJY8rvsV+WAQx6g==
IN DNSKEY 257 3 13 YGLoCUjOvOYVSNvgjpZ9VmwQjtIcAjVoiQBOUvzy1jkBtlzEgZnbvzYR xUGJV/V1KQlaPS9OvdfBdjPoMwjG9Q==
Trotzdem sehe ich keine DS in der de Zone, DNSSEC funktioniert nicht.
