Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

DNS attaqués, configurer DNSSEC

F50

Salut,

@ maxire : Merci pour les précisions qui m'ont évité d'aller chercher plus loin. Par contre, quelques détails :

1. Est-ce volontaire les "bionic@k72f-J48-ubgnome:~$2 à la fin des fichiers .conf pour le retour de "systemd-resolve fixe" ?
Ici, si je fais "systemd-resolve fixe" il retourne : fixe: resolve call failed: All attempts to contact name servers or networks failed.

Mais si je change <fixe> par mon <hostname> ça fonctionne.

2. Un truc me dérange, si tu ne mets pas explicitement les FallbackDNS= " " /etc/resolv.conf retoune :

domain home
search home
nameserver 8.8.8.8
nameserver 8.8.4.4

Pas top vu que le but est justement de les éviter !

maxire

Salut F50,

Réponses :
1 - C'est juste l'invite de commandes suivante et ce que j'affiche ce ne sont pas que des fichiers de configurations mais des résultats de commandes, je ne comprends pas ce que tu as tenté.
2 - Je ne comprends pas ce que tu veux dire, ce que tu as fait, d'autant que je ne me suis jamais préoccupé de /etc/resolv.conf qui devrait être :

bionic@k72f-J48-ubgnome:~$ cat /etc/resolv.conf
# Generated by NetworkManager
search home k72f-J48-ubgnome.home
nameserver 127.0.0.53
bionic@k72f-J48-ubgnome:~$

si tu as bien activé systemd-resolved.

F50

Salut maxire,

1. "C'est juste l'invite de commandes suivante", ça prête à confusion...
2. Ben, tu devrais car c'est LE FICHIER utiliser par tous les programmes pour la résolurtion DNS. Le miens est différent car je n'utilise pas NM, qui chez toi a écrit (comme chaque network manager le fait par défaut) :
# Generated by NetworkManager

D'où le "nameserver 127.0.0.53" chez toi contrairement à ici :

domain home
search home
nameserver 8.8.8.8
nameserver 8.8.4.4

Ces nameserver 8.8.8.8 & 8.8.4.4 doivent êtres un "default" de systemd-resolved si l'option FallbackDNS= " " est vide ou commentée dans /etc/systemd/resolved.conf et que le network manager installé ne résout pas les DNS de son propre chef.

Edit : Voici le pourquoi de la différence entre ton 127.0.0.53 et mes 8.8.8.8 & 8.8.4.4 dans resolv.conf :

DNS

https://wiki.archlinux.org/index.php/Systemd-resolved#Configuration

maxire

La dernière invite de commandes indique simplement au lecteur que l'affichage des résultats est complet, c'est la norme de ce forum.

En disant, je ne me suis jamais préoccupé de /etc/resolv.conf je faisais référence à mon message, de plus tu peux parfaitement te passer de /etc/resolv.conf, tout dépend de la configuration de nsswitch et dnssd ou mdns/SD ne l'utilisent pas pour la résolution locale.

Au moins as-tu lancé le service systemd-resolved ?

Je ne connais pas ta configuration réseau exacte, les serveurs DNS de Google ne sortent pas de nulle part.
Je crois que tu es parti un peu en hors sujet, ce fil est consacré à DNSSEC et l'exemple que je donne est l'utilisation de systemd-resolved en cache DNS de NetworkMAnager avec une configuration DNS shuntant celle obtenue via le client DHCP (dhclient, dhcpcd ou le client interne) utilisé par NetworkManager.

Ton /etc/resolv.conf est plus que bizarre avec les paramétrages domain home et search home sans même un serveur DNS local indiqué, tu as raté un truc !

Pour les serveurs Google tu as dû également rater un truc et sans ta configuration complète je ne peux rien te conseiller et ce n'est d'ailleurs pas l'objet de ce fil.

grandtoubab

Une doc de l'ANSSI
https://www.ssi.gouv.fr/uploads/2014/05/guide_dns_fr_anssi_1.3.pdf

https://www.ssi.gouv.fr/uploads/2014/05/guide_dns_fr_anssi_1.3.pdf a écritLa recommandation R4
Choisir un bureau d'enregistrement prenant en charge DNSSEC

F50

@ maxire : lancé "service systemd-resolved" ?

systemd-resolve --status --no-pager
Global
       LLMNR setting: yes
MulticastDNS setting: yes
  DNSOverTLS setting: no
      DNSSEC setting: allow-downgrade
    DNSSEC supported: yes
  Current DNS Server: 80.67.169.12
         DNS Servers: 80.67.169.12
                      80.67.169.40
                      2001:910:800::12
                      2001:910:800::40
Fallback DNS Servers: 1.1.1.1
                      9.9.9.10
                      2606:4700:4700::1111
                      2620:fe::10
          DNSSEC NTA: 10.in-addr.arpa
                      16.172.in-addr.arpa
                      168.192.in-addr.arpa
                      17.172.in-addr.arpa
                      18.172.in-addr.arpa
                      19.172.in-addr.arpa
                      20.172.in-addr.arpa
                      21.172.in-addr.arpa
                      22.172.in-addr.arpa
                      23.172.in-addr.arpa
                      24.172.in-addr.arpa
                      25.172.in-addr.arpa
                      26.172.in-addr.arpa
                      27.172.in-addr.arpa
                      28.172.in-addr.arpa
                      29.172.in-addr.arpa
                      30.172.in-addr.arpa
                      31.172.in-addr.arpa
                      corp
                      d.f.ip6.arpa
                      home
                      internal
                      intranet
                      lan
                      local
                      private
                      test

Link 2 (wlp6s0)
      Current Scopes: LLMNR/IPv4 LLMNR/IPv6
DefaultRoute setting: no
       LLMNR setting: yes
MulticastDNS setting: no
  DNSOverTLS setting: no
      DNSSEC setting: allow-downgrade
    DNSSEC supported: yes

Concernant : "Pour les serveurs Google tu as dû également rater un truc et sans ta configuration complète je ne peux rien te conseiller et ce n'est d'ailleurs pas l'objet de ce fil."

As-tu lu le lien que j'ai mis ?

https://wiki.archlinux.org/index.php/Systemd-resolved#Configuration

Fallback

If systemd-resolved does not receive DNS server addresses from the network manager and no DNS servers are configured manually then systemd-resolved falls back to the fallback DNS addresses to ensure that DNS resolution always works.
[b]Note: The fallback DNS are in this order: Cloudflare, Quad9 (without filtering and without DNSSEC) and Google[/b]; see the systemd PKGBUILD where the servers are defined.

The addresses can be changed by setting FallbackDNS= in resolved.conf(5). E.g.:

Pour ce qui est de mon /etc/revolv.conf plus que bizarre, c'est probablement connman qui y met du sien. Je vais regarder ça de prêt...

maxire

Euh, non ton problème n'a rien à voir avec les serveurs de secours (fallback servers) car si je lis cet extrait de ta configuration systemd-resolved :

Fallback DNS Servers: 1.1.1.1
                      9.9.9.10
                      2606:4700:4700::1111
                      2620:fe::10

Je ne vois aucun serveur Google !

Je ne sais pas comment a été généré ton /etc/resolv.conf mais je crois qu'il faut chercher par là,.
Je ne connais pas conman, tiens-t-il compte de systemd-resolved ?

F50

C'est rentré dans l'ordre après un reboot alors que j'avais relancé tous les services.

Il n'y avait plus de serveur googoole car je l'avais déjà enlevé mais resolv.conf continuait à l'indiquer. Si l'on ne désire pas ces fallback DNS, il suffit de laisser FallbackDNS= vide ou garder ceux au choix.

Connman est particulier car il utilise ses propres DNS proxy mais il y a moyen de stopper cette fonction (voir wiki arch). Maintenant il génére resolv.conf mais avec les DNS indiqué par systemd-resolved.

maxire

FD50, manifestement tu utilises Archlinux, la version de systemd qu'utilise Archlinux n'est pas du tout la même que celle de Ubuntu.
systemd Ubuntu n'utilise aucun fallback DNS servers, de ce que je vois.
Les informations données dans le wiki de Archlinux ne sont pas forcément valables pour Ubuntu.
De plus je persiste dans mon idée que l'appartition des serveurs Google dans ton /etc/resolv.conf vient de la configuration de connman et non de sytemd-resolved.
Et oui c'est vrai les options par défaut de systemd-resolved peuvent être modifiées via /etc/systemd/resolved.conf.

F50

Oui j'utilise Arch et je suppose que les versions systemd divergent mais globalement c'est le même fonctionnement et options, Buntu comme je l'imagine, rajouter une couche pour "faciliter" la prise en mains.

Les infos du wiki Arch sont souvent plus à jours et détaillées que celle de Buntu à part pour les emplacements qui varient selon les distros.

Il y a du avoir un brouillon à la relance des services d'où les serveurs Googoole mais c'est effectivement Connman qui génére resovl.conf car je ne l'ai pas symlinké avec systemd.resolved pour pas que ce fichier soit accaparé par un logiciel exlusive (c'est détaillé dans la doc Arch).

Connman passe par le fichier /etc/systemd/resolved.conf pour générer resolv.conf sans imposer ces DNS proxy, c'est le but et ça fonctionne :

systemd-resolve --status --no-pager
Global
       LLMNR setting: yes
MulticastDNS setting: yes
  DNSOverTLS setting: no
      DNSSEC setting: allow-downgrade
    DNSSEC supported: yes
  Current DNS Server: 80.67.169.12
         DNS Servers: 80.67.169.12
                      80.67.169.40
                      2001:910:800::12
                      2001:910:800::40
          DNSSEC NTA: 10.in-addr.arpa
                      16.172.in-addr.arpa
                      168.192.in-addr.arpa
                      17.172.in-addr.arpa
                      18.172.in-addr.arpa
                      19.172.in-addr.arpa
                      20.172.in-addr.arpa
                      21.172.in-addr.arpa
                      22.172.in-addr.arpa
                      23.172.in-addr.arpa
                      24.172.in-addr.arpa
                      25.172.in-addr.arpa
                      26.172.in-addr.arpa
                      27.172.in-addr.arpa
                      28.172.in-addr.arpa
                      29.172.in-addr.arpa
                      30.172.in-addr.arpa
                      31.172.in-addr.arpa
                      corp
                      d.f.ip6.arpa
                      home
                      internal
                      intranet
                      lan
                      local
                      private
                      test

Link 2 (wlp6s0)
      Current Scopes: LLMNR/IPv4 LLMNR/IPv6
DefaultRoute setting: no
       LLMNR setting: yes
MulticastDNS setting: no
  DNSOverTLS setting: no
      DNSSEC setting: allow-downgrade
    DNSSEC supported: yes

maxire

@F50

Version de SystemD Archlinux :

[pirate@asus-arch ~]$ systemctl  --version
systemd 241 (241.67-1-arch)
+PAM +AUDIT -SELINUX -IMA -APPARMOR +SMACK -SYSVINIT +UTMP +LIBCRYPTSETUP +GCRYPT +GNUTLS +ACL +XZ +LZ4 +SECCOMP +BLKID +ELFUTILS +KMOD +IDN2 -IDN +PCRE2 default-hierarchy=hybrid
[pirate@asus-arch ~]$

Ubuntu 18.04 :

bionic@k72f-J48-ubgnome:~$ lsb_release -a
No LSB modules are available.
Distributor ID:	Ubuntu
Description:	Ubuntu 18.04.2 LTS
Release:	18.04
Codename:	bionic
bionic@k72f-J48-ubgnome:~$ systemctl --version
systemd 237
+PAM +AUDIT +SELINUX +IMA +APPARMOR +SMACK +SYSVINIT +UTMP +LIBCRYPTSETUP +GCRYPT +GNUTLS +ACL +XZ +LZ4 +SECCOMP +BLKID +ELFUTILS +KMOD -IDN2 +IDN -PCRE2 default-hierarchy=hybrid
bionic@k72f-J48-ubgnome:~$

4 versions de différence entre Archlinux et Ubuntu 18.04, donc mieux vaut ne pas trop s'inspirer des documentations du Wiki Archlinux en ce qui concerne SystemD, de plus Ubuntu reste toujours dans un entre-deux dans son passage de UpStart à SystemD.
Donc prudence lorsque tu interviens dans le forum Ubuntu en t'inspirant de la situation de ton Archlinux, je suis moi-même tombé plus d'une fois dans le panneau en conseillant des solutions de problèmes valables sous Archlinux mais pas sous Ubuntu, ceci est d'ailleurs valable d'une version Ubuntu à une autre.

Vous noterez que les options de compilation de SystemD sont sensiblement différentes entre Archlinux et Ubuntu 18.04.

F50

@ maxire : C'est utile de le préciser.

J'ai juste pris ta configuration, c'était pas dans le but d'une intervention concernant Buntu.

maxire

[HS]
@F50 était-ce ton problème ?

archwiki connman a écritAvoiding conflicts with local DNS server

If you are running a local DNS server, it will likely have problems binding to port 53 (TCP and/or UDP) after installing Connman. This is because Connman includes its own DNS proxy which also tries to bind to those ports. If you see log messages from BIND or dnsmasq like

"named[529]: could not listen on UDP socket: address in use"

this could be the problem. To verify which application is listening on the ports, you can execute ss -tulpn as root.

To fix this connmand can be started with the options -r or --nodnsproxy by overriding the systemd service file. Create the folder /etc/systemd/system/connman.service.d/ and add the file disable_dns_proxy.conf:

/etc/systemd/system/connman.service.d/disable_dns_proxy.conf

[Service]
ExecStart=
ExecStart=/usr/bin/connmand -n --nodnsproxy

Make sure to reload the systemd daemon and restart the connman.service, and your DNS proxy, after adding this file.

[/HS]

F50

Pas vraiment, dans le sens où je n'ai pas de serveur DNS locale mais c'est ce que j'ai appliqué pour éviter que connman m'impose ces DNS proxy. Remarque qu'il est possible d'obtenir le même résultat (utiliser des DNS de son choix) en modifiant les fichiers utilisés par connman pour chaque connexion mais c'est plus laborieux.

grandtoubab

Une conférence

Stéphane Bortzmeyer – DNS (2018)
https://peertube.parleur.net/videos/watch/f2730b35-bcbc-4d60-b5d9-227edf3b0f71

Aruval

Bonjour

Moi j'ai Unbound d'installé et sans avoir rien fait la page de test ici me met que c'est bon pour le DNSSec

« Page précédente