[gaboul49]

Tu me rassures ! Je préfère demander, des failles hallucinantes on en voit passer parfois.

[fritz2cat]

J'ai dit:

Je le vois bien découvrir les options allow-query et allow-recursion le lendemain de l'installation, pour tester depuis chez lui que ça fonctionne.

Ce n'est pas dans l'install par défaut, bien sûr.

[gaboul49]

J'ai pas bien suivi ça. On devient vulnérable avec un simple apt-get install bind ?

[fritz2cat]

oué oué c'est ça...
et demain on a un MacGyver de plus qui participe à une attaque DNS Amplification (https://www.us-cert.gov/ncas/alerts/TA13-088A)

Je le vois bien découvrir les options allow-query et allow-recursion le lendemain de l'installation, pour tester depuis chez lui que ça fonctionne.

[gaboul49]

Tu peux aussi installer ton propre serveur DNS sur ton VPS (bind) et mettre 127.0.0.1 dans ton résolv. Ainsi tu pourras purger ton cache DNS lorsque tu le souhaites.

[pierki]

Parce que ce sont des serveurs autoritatifs pour une série de domaines hébergés chez OVH et rien d'autre.

Par contre le serveur DNS de ton FAI (ou 213.186.33.99 pour les serveurs dédiés) est configuré pour descendre l'arborescence DNS et te ramener la réponse finale.
exemple: quelle est l'adresse de forum.ovh.com ?
1) demande au root serveur quel est le DNS qui va résoudre .COM -> généralement c'est en cache et la réponse est x.root-servers.net (avec x allant de a à m)
2) k.root-servers.net à l'adresse IPv6 [2001:7fd::1] m'a répondu "x.gtld-servers.net (de nouveau avec x allant de a à m) sont autoritatifs pour .COM"
3) on questionne un de ces serveurs-là pour savoir quel DNS va résoudre OVH.COM -> une machine j.gtld-servers.net [192.48.79.30]: a répondu ns.ovh.net, ns10.ovh.net, dns.ovh.net, dns10.ovh.net, ns200.anycast.me, dns200.anycast.me
4) on questionne un de ces serveurs-là pour savoir quelle est l'adresse de FORUM.OVH.COM -> dns200.anycast.me [46.105.198.200] m'a donné la réponse finale [213.186.33.90].

Quand tu demandes celà au serveur DNS de ton FAI, il va faire toutes ces résolutions récursivement et juste renvoyer la réponse finale.

Ok merci pour les explications !
L'idée est donc de mettre le serveur le plus haut dans la liste (213.186.33.99) ?

[fritz2cat]

Juste pour info, pourquoi il n'y aurait que mes domaines qui fonctionneraient avec ce type de conf ?

Parce que ce sont des serveurs autoritatifs pour une série de domaines hébergés chez OVH et rien d'autre.

Par contre le serveur DNS de ton FAI (ou 213.186.33.99 pour les serveurs dédiés) est configuré pour descendre l'arborescence DNS et te ramener la réponse finale.
exemple: quelle est l'adresse de forum.ovh.com ?
1) demande au root serveur quel est le DNS qui va résoudre .COM -> généralement c'est en cache et la réponse est x.root-servers.net (avec x allant de a à m)
2) k.root-servers.net à l'adresse IPv6 [2001:7fd::1] m'a répondu "x.gtld-servers.net (de nouveau avec x allant de a à m) sont autoritatifs pour .COM"
3) on questionne un de ces serveurs-là pour savoir quel DNS va résoudre OVH.COM -> une machine j.gtld-servers.net [192.48.79.30]: a répondu ns.ovh.net, ns10.ovh.net, dns.ovh.net, dns10.ovh.net, ns200.anycast.me, dns200.anycast.me
4) on questionne un de ces serveurs-là pour savoir quelle est l'adresse de FORUM.OVH.COM -> dns200.anycast.me [46.105.198.200] m'a donné la réponse finale [213.186.33.90].

Quand tu demandes celà au serveur DNS de ton FAI, il va faire toutes ces résolutions récursivement et juste renvoyer la réponse finale.

[pierki]

C'est du n'importe quoi, et rien ne va fonctionner, sauf tes propres domaines.

Fais la commande suivante:
dig google.com @xx.yy.zz.tt (du serveur DNS que tu as ajouté dans ton resolv.conf)

par exemple
dig google.com @dns108.ovh.net
et tu vas recevoir un beau "Refused"

Ces serveurs ne sont pas fait pour cela. Tu les surcharges inutilement.

OK ok !!!

en fait je l'ai simplement ajouté aux nameserver existant en attendant un refresh sur le dns OVH principal.
Alors je ne sais pas si c'est le hasard, ou le refresh qui vient de passer, mais le dig sur le dns "normal" (j'ai supprimé le DNS qui héberge la zone) me donne la bonne zone dns !! En regardant, ça fait quasi 24 que j'ai fait le changement de DNS pour mon domaine.

Juste pour info, pourquoi il n'y aurait que mes domaines qui fonctionneraient avec ce type de conf ?

[fritz2cat]

C'est du n'importe quoi, et rien ne va fonctionner, sauf tes propres domaines.

Fais la commande suivante:
dig google.com @xx.yy.zz.tt (du serveur DNS que tu as ajouté dans ton resolv.conf)

par exemple
dig google.com @dns108.ovh.net
et tu vas recevoir un beau "Refused"

Ces serveurs ne sont pas fait pour cela. Tu les surcharges inutilement.

[pierki]

Merci pour l"idée !
En fait j'ai rajouté en premier les IP des dns OVH sur lesquels sont installés les zones DNS dans mon resolv.conf, et ça passe !
Si ça peut aider qqun ...

A+

[gaboul49]

Tu peux mettre les IP en dur dans ton fichier /etc/hosts en attendant.

[pierki]

Ok merci beaucoup pour cette réponse détaillée !
Je suppose que vu que le DNS ne nous "appartient" pas, il n'y a pas moyen de flusher ?
Le plus galère c'est quand même de jongler avec les deux zones pour la réception des mails ... pas de solution miracle ?

[fritz2cat]

non ce n'est pas bizarre.

Si je fais une demande DNS, disons sur un serveur DNS de Belgacom qui n'a pas du répondre à des query concernant ton domaine durant les dernières heures, l'information doit être recherchée sur les serveurs DNS en amont, qui font autorité pour ton domaine.

Par contre si un autre client de Belgacom (ou moi-même) ai fait une telle demande il y a 10 minutes, cette information reste en mémoire cache pour une durée de quelques minutes à quelques heures.

Si pendant ce laps de temps on change les serveurs DNS, l'information qui se trouve dans les caches ne reflète pas la configuration modifiée.

Bienvenue dans le monde de DNS.
Chez OVH le cache va jusque 86400 secondes, sors ta calculette pour convertir en jours.

[pierki]

Hello tous le monde

Je suis en train de paramétrer un nom de domaine sur un VPS classic 2. Le NDD est fraichement rapatrié quelques heures, serveur DNS changés pour ceux d'OVH dans la foulée, et zone DNS activée paramétrée.

La résolution DNS s'est propagée en quelques minutes seulement, donc très bien. Test depuis une ligne ADSL orange, DNS orange tout roule.
Le pb, c'est que je me sert du VPS pour envoyer les emails du site (mail php) seulement out ,pas MX. Et les emails n'arrivent pas dans la boite concernée (MX plan OVH).

J'ai fait un petit dig sur mon nom de domaine depuis le VPS lui-même et ça me donne l'ancienne zone DNS !

ça me parait bizarre que la propagation soit plus lente chez OVH non ?