February 2022 - Ns.se - lists.iis.se

Re: [Ns.se] Infoblox och CDS/CDNSKEY

by Patrik Lundin

On Wed, Feb 16, 2022 at 09:24:48PM +0100, Patrik Lundin wrote: > On Mon, Feb 14, 2022 at 12:01:31PM +0000, Mats Dufberg wrote: > > Gäller det när Inblox-burken håller moderzonen för att plocka upp CDS-post > > (och byta DS) eller när Infoblox-burken håller dotterzonen och ska skapa > > CDS-post? > > > > > Jag känner inte till om RFE:n syftar till båda situationer du nämner eller inte > men har öppnat ett nytt supportärende och försökt efterfråga förtydligande. > Fått svar gällande RFE:n. Det verkar inte vara satt i sten i nuläget exakt vilken funktionalitet som ska implementeras inom ramen för den ticketen. Jag antar att de samlar in krav i samband med att tillräckligt många kunder frågat efter funktionaliteten. I mitt ärende tog jag upp din fundering om de två olika situationerna (när man själv ska publicera CDS och monitorera att parent DS har rört på sig, samt när man ska agera på en delegerad zons publicerade CDS). Det ska vara inlagt i ticketen nu. Med andra ord känns det fortsatt rimligt att om man har intresse gällande CDS/CDNSKEY så är det RFE-8314 man ska fråga efter. -- Regards, Patrik Lundin

Feb. 28, 2022

Re: [Ns.se] Infoblox och CDS/CDNSKEY

by Patrik Lundin

On Mon, Feb 14, 2022 at 12:01:31PM +0000, Mats Dufberg wrote: > Gäller det när Inblox-burken håller moderzonen för att plocka upp CDS-post > (och byta DS) eller när Infoblox-burken håller dotterzonen och ska skapa > CDS-post? > Jag blev informerad om RFE:n när jag hade ett support-ärende öppet och försökte reda ut vilken DS-automation (om någon) som fanns i samband med automatiska KSK-rullningar. Detta när Infoblox-lådan hanterar dotterzonen och alltså skulle behöva skapa CDS-record. Jag känner inte till om RFE:n syftar till båda situationer du nämner eller inte men har öppnat ett nytt supportärende och försökt efterfråga förtydligande. > > (Ärendet RFE-8314 går inte att hitta, i all fall inte när man inte har loggat > in hos Infoblox eller motsvarande.) > Vad jag vet finns inte RFE:er publicerade någonstans ens för kunder. -- Regards, Patrik Lundin

Feb. 16, 2022

Re: [Ns.se] Infoblox och CDS/CDNSKEY

by Torbjörn Eklöv

Det är nog RR typen CDS/CDNSKEY som inte stöds i Infoblox. Jag har samma problem i en urgammal Opendnssec-lösning men man kan alltid köra t.ex @ IN TYPE59 \# 5 0000000000 Vilket gör att jag återkommer här med mina domäner som det råder delade meningar om jag gjort rätt eller inte när jag vill plocka bort DS för dem. :) Torbjörn Eklöv | Interlan Gefle AB Marielundsvägen 2, 803 22 GÄVLE Växel: 026-18 50 00 | Direkt: 070-683 51 75 http://www.dnssecandipv6.se "A home without IPv6 is just a house" > On 14 Feb 2022, at 13:01, Mats Dufberg via Ns.se <ns.se(a)lists.iis.se> wrote: > > Gäller det när Inblox-burken håller moderzonen för att plocka upp CDS-post (och byta DS) eller när Infoblox-burken håller dotterzonen och ska skapa CDS-post? > > > (Ärendet RFE-8314 går inte att hitta, i all fall inte när man inte har loggat in hos Infoblox eller motsvarande.) > > > Mats > > -- > > --- > Mats Dufberg > mats.dufberg(a)internetstiftelsen.se > Technical Expert > Internetstiftelsen (The Swedish Internet Foundation) > Mobile: +46 73 065 3899 > https://internetstiftelsen.se/ > > > -----Original Message----- > From: "Ns.se" <ns.se-bounces(a)lists.iis.se> on behalf of "Patrik Lundin via Ns.se" <ns.se(a)lists.iis.se> > Reply to: Patrik Lundin <patrik(a)sigterm.se> > Date: Monday, 14 February 2022 at 10:30 > To: "ns.se(a)lists.iis.se" <ns.se(a)lists.iis.se> > Subject: [Ns.se] Infoblox och CDS/CDNSKEY > > Hej, > > I arbetet med att DNSSEC-signera zoner som hanteras i en Infoblox-miljö > har jag lärt mig att Infoblox inte stödjer CDS/CDNSKEY, och det är ju > tråkigt att man inte kan nyttja det stödet som finns i .se och .nu: > https://internetstiftelsen.se/domaner/domannamnsbranschen/teknik/policy-and… > > Det finns en RFE ("Request for enhancement") hos Infoblox för detta, jag > har lagt till mig som interested party på den, men det kan ju vara så > att det finns fler här som kör (eller har kunder som kör) Infoblox, som > kanske också skulle vara intresserade av att lägga till sig. Det är i så > fall följande: > RFE-8314 (RFC-8078: Managing DS Records from the Parent via CDS/CDNSKEY) > > -- > Med vänlig hälsning, > Patrik Lundin > -- > Ns.se mailing list > Ns.se(a)lists.iis.se > https://lists.iis.se/mailman/listinfo/ns.se > > -- > Ns.se mailing list > Ns.se(a)lists.iis.se > https://lists.iis.se/mailman/listinfo/ns.se

Feb. 14, 2022

Re: [Ns.se] Infoblox och CDS/CDNSKEY

by Mats Dufberg

Gäller det när Inblox-burken håller moderzonen för att plocka upp CDS-post (och byta DS) eller när Infoblox-burken håller dotterzonen och ska skapa CDS-post? (Ärendet RFE-8314 går inte att hitta, i all fall inte när man inte har loggat in hos Infoblox eller motsvarande.) Mats -- --- Mats Dufberg mats.dufberg(a)internetstiftelsen.se Technical Expert Internetstiftelsen (The Swedish Internet Foundation) Mobile: +46 73 065 3899 https://internetstiftelsen.se/ -----Original Message----- From: "Ns.se" <ns.se-bounces(a)lists.iis.se> on behalf of "Patrik Lundin via Ns.se" <ns.se(a)lists.iis.se> Reply to: Patrik Lundin <patrik(a)sigterm.se> Date: Monday, 14 February 2022 at 10:30 To: "ns.se(a)lists.iis.se" <ns.se(a)lists.iis.se> Subject: [Ns.se] Infoblox och CDS/CDNSKEY Hej, I arbetet med att DNSSEC-signera zoner som hanteras i en Infoblox-miljö har jag lärt mig att Infoblox inte stödjer CDS/CDNSKEY, och det är ju tråkigt att man inte kan nyttja det stödet som finns i .se och .nu: https://internetstiftelsen.se/domaner/domannamnsbranschen/teknik/policy-and… Det finns en RFE ("Request for enhancement") hos Infoblox för detta, jag har lagt till mig som interested party på den, men det kan ju vara så att det finns fler här som kör (eller har kunder som kör) Infoblox, som kanske också skulle vara intresserade av att lägga till sig. Det är i så fall följande: RFE-8314 (RFC-8078: Managing DS Records from the Parent via CDS/CDNSKEY) -- Med vänlig hälsning, Patrik Lundin -- Ns.se mailing list Ns.se(a)lists.iis.se https://lists.iis.se/mailman/listinfo/ns.se

Feb. 14, 2022

Infoblox och CDS/CDNSKEY

by Patrik Lundin

Hej, I arbetet med att DNSSEC-signera zoner som hanteras i en Infoblox-miljö har jag lärt mig att Infoblox inte stödjer CDS/CDNSKEY, och det är ju tråkigt att man inte kan nyttja det stödet som finns i .se och .nu: https://internetstiftelsen.se/domaner/domannamnsbranschen/teknik/policy-and… Det finns en RFE ("Request for enhancement") hos Infoblox för detta, jag har lagt till mig som interested party på den, men det kan ju vara så att det finns fler här som kör (eller har kunder som kör) Infoblox, som kanske också skulle vara intresserade av att lägga till sig. Det är i så fall följande: RFE-8314 (RFC-8078: Managing DS Records from the Parent via CDS/CDNSKEY) -- Med vänlig hälsning, Patrik Lundin

Feb. 14, 2022

The .SE incident on February 4, 2022

by Ulrich Wisser

The .SE incident on February 4, 2022 Of course, we take this incident very seriously. To ensure the continued robust operation of the .se zone, we are carefully analysing the incident, and how it could have occurred. As soon as we have all the facts, we will get back with a full account of what happened, together with the measures we will take to avoid a recurrence of the problem. What we know at the moment is that: * ● An error occurred in our signing solution and created incorrect DNSSEC signatures for .se domains/zones. * ● The .nu zone was completely unaffected by this error. * ● The error began on Friday morning with the .se zone file which was published at approximately 10:20 UTC+1. (.se distributes/publishes a new zone file every hour, the same applies for .nu). The first affected .se zone file had serial number 2022020410. The domains that have incorrect DNSSEC signatures in this zone file have the same error in the subsequent zone file. * ● The last incorrectly distributed .se zone file was published at approx. 15:20 UTC+1 and had the serial number 2022020415. A total of 6 incorrect zone files were distributed on Friday, February 4 (see below). * ● Distribution of both the .se and .nu zones was shut down at approx. 15:45 UTC+1 (on February 4). * ● The correct .se zone file was published with the serial number 2022020418 and distributed around 22:30 UTC+1 (on February 4). Our current assessment of the total number of domains with errors, and the number of affected (see IMPACTED in table below, queries from validating resolvers fail) domains per zone file are the following: Serial Total records DS Failures NSEC Failures Total Failures Total Domains with signature failures 2022020410 8715922 426 795 1221 1220 2022020411 8716280 1051 1797 2848 2845 2022020412 8716543 1658 2797 4455 4447 2022020413 8716677 2352 4011 6363 6345 2022020414 8717078 2908 4957 7865 7841 2022020415 8717397 3429 5944 9373 9345 We have categorized the failures in six categories and made an assessment of the impact on resolution A No DS record Correct signed NSEC record Domain works as expected B No DS record Incorrect signed NSEC record Domain impacted C Correct signed DS record Correct signed NSEC record Domain works as expected D Correct signed DS record Incorrect signed NSEC record Domain works as expected E Incorrect signed DS record Correct signed NSEC record Domain impacted F Incorrect signed DS record Incorrect signed NSEC record Domain impacted Serial A B C D E F IMPACTED 2022020410 599459 354 802944 440 425 1 780 2022020411 599050 786 801787 1008 1048 3 1837 2022020412 598677 1211 800615 1578 1650 8 2869 2022020413 598157 1747 799263 2246 2334 18 4099 2022020414 597806 2148 798190 2785 2884 24 5056 2022020415 597444 2564 797108 3352 3401 28 5993 Today we seek guidance from the community on the correctness of this assessment. Kind regards Ulrich -- Ulrich Wisser Senior DNS Expert The Swedish Internet Foundation Mobile: +46 704 467 893 https://internetstiftelsen.se/dns-labs/

Feb. 10, 2022

Publikt arkiv

by Jakob Schlyter

Kanske allmänt känt (men nytt för mig) att ns.se@ är publikt arkiverad. Kan vara bra att veta i pågående diskussioner. jakob

Feb. 7, 2022

Re: [Ns.se] Post-Mortem : Problem med .se zonen

by Patrik Fältström

On 5 Feb 2022, at 21:24, Ulrich Wisser via Ns.se wrote: > Vi tar naturligtvis denna händelse på största allvar och analyserar händelsen noggrant, och hur den kunde uppstå, för att säkerställa en fortsatt robust drift av .se zonen. Vi återkommer när vi har fullständig redogörelse för det inträffade tillsammans med de åtgärder som vi vidtar för att undvika att problemet uppstår igen. Detta gör vi så fort vi har fakta. Ni agerar exemplariskt. Fokusera på att delge de åtgärder som ni tar som också vi andra som kör DNS kan dra nytta av. Samt naturligtvis vilka åtgärder ni anser alla vi som kör DNS för och i Sverige ska göra tillsammans för att minimera konsekvens eller sannolikhet detta händer igen. Vad som hände är jag egentligen inte så intresserad av att veta :-) Även om man är nyfiken... Åtgärderna däremot! De vill jag på riktigt ta del av, de som jag kan få ta del av. Men glöm inte sova och vila också. Det behöver man efter en sådan händelse. Patrik

Feb. 5, 2022

Post-Mortem : Problem med .se zonen

by Ulrich Wisser

Hej! Vi tar naturligtvis denna händelse på största allvar och analyserar händelsen noggrant, och hur den kunde uppstå, för att säkerställa en fortsatt robust drift av .se zonen. Vi återkommer när vi har fullständig redogörelse för det inträffade tillsammans med de åtgärder som vi vidtar för att undvika att problemet uppstår igen. Detta gör vi så fort vi har fakta. Med vänliga hälsningar /Ulrich

Feb. 5, 2022

Problem med .se zonen

by Ulrich Wisser

Hej! Felavhjälpning genomförd. Vi har kl.22.25 genererat och distribuerat en ny .se zonfil, vi gör nu ett uppehåll i zonfilsdistributionen av .se och .nu fram till imorgon förmiddag. Vi återkommer med information. /Ulrich

Feb. 4, 2022