[Gelöst] dnsmasq und DNSSEC

[andiling]

Hallo,

ich habe gestern mal freetz mit dnsmasq und DNSSEC kompiliert und geflasht.

Verwendet werden Nameserver mit dem Tag "validating" von hier: http://wiki.ipfire.org/en/dns/public-servers
Weiterhin habe ich neben der DNSSEC Option auf der Einstellungsseite noch die Option dnssec-check-unsigned unter extras eingetragen.

Das hat auch auf Anhieb prima geklappt bis zu einem Neustart. Danach klappen die Abfragen nicht mehr mit dem Hinweis: Server failed. Wenn ich die Nameserver (eingetragen über server=...) deaktiviere/aktiviere oder ändere geht es wieder, d.h. es läuft z.B. mit identischer Konfiguration.

Auf meinem Linux kann ich das Problem nicht nachstellen, da funktioniert alles auf Anhieb nach einem Neustart. Insoweit kann ich ausschließen, dass die Nameserver evtl. nicht validieren was genau die Ursache für die Fehlermeldung wäre. Im Syslog erscheint keine Fehlermeldung, ausgegeben wird, dass die eingetragenen Nameserver (und nur diese) verwendet werden.

Ohne dnssec-check-unsigned tut die Box ihren Dienst auch ohne Eingriff nach einem Neustart.

Hat jemand Ideen?

Danke!

 

[Matthy]

Ich hatte das gleiche Problem und kenne Ursache und Lösung:
Die Validierung mit der Option "dnssec-check-unsigned" erfordert eine korrekte Uhrzeit, damit die Gültigkeit der Signaturen geprüft werden kann. Nach einem Neustart ist Datum/Uhrzeit der FritzBox aber noch nicht korrekt gesetzt, sondern steht auf 01.01.1970. Die Uhrzeit würde sich die Box per NTP-Server holen. Dazu braucht der NTP-Client aber einen funktionierenden DNS. Und hier beißt sich die Katze in den Schwanz.
Die Lösung ist mittels entsprechenden dnsmasq-Parameter die Signatur-Validierung solange zu deaktivieren bis die Box eine korrekte Uhrzeit per NTP geholt hat.
Ich habe es über folgenden Parameter unter Dnsmasq -> extra gelöst:
dnssec-timestamp=/var/media/ftp/timestamp

In der konfiguration verzichtet dnsmasq solange auf die Validierung bis die Uhrzeit der Box weiter ist als der Zeitstempel der Datei /var/media/ftp/timestamp.
Details siehe manpage von dnsmasq.

 

[andiling]

Logisch, klar... Danke, Matthy, da habe ich wohl zu früh aufgehört zu lesen... )-:

Die manpage ist wohl nicht ganz aktuell und seitdem wurde die Option ein bisschen verfeinert. Es findet kein Schreibvorgang von dnsmasq selbst statt und es ist daher ein Verzeichnis bzw. eine Datei anzugeben, die existiert. Das klappt z.B. mit /bin.