Dotaz: DNSSEC trable s "br.ds.mfcr.cz"

[Franta Hanzlík]

Řeším problém nedoručení mailu na adresu "X@br.ds.mfcr.cz". MTA zřejmě nemůže zjistit MX záznamy. "dig @localhost -t MX br.ds.mfcr.cz" skončí chybou SERVFAIL:

; <<>> DiG 9.7.4-P1-RedHat-9.7.4-2.P1.fc14 <<>> @localhost -t MX br.ds.mfcr.cz
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 43325
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;br.ds.mfcr.cz.			IN	MX

;; Query time: 4219 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Wed Jul 25 15:51:56 2012
;; MSG SIZE  rcvd: 31

a v logu BIND (v9.7.4 i686) jsou po tomhle dotazu tři řádky:

error (no valid NSEC) resolving 'br.ds.mfcr.cz/MX/IN': 80.95.254.4#53
error (no valid NSEC) resolving 'br.ds.mfcr.cz/MX/IN': 193.86.123.22#53
error (no valid NSEC) resolving 'br.ds.mfcr.cz/MX/IN': 193.86.123.21#53

Zkoušel jsem o téhle hlášce něco najít, ale vyhledávače na mne zřejmě maj pifku. Problém je asi někde okolo DNSSEC. Zajímavé je, že BIND v9.9.1 v podstatě ve stejné konfiguraci (asi podstatná část "options" odstavce named.conf je u obou tato:

        allow-query { localhost; };
        recursion yes;
        dnssec-enable yes;
        dnssec-validation yes;
        dnssec-lookaside auto;
        bindkeys-file "/etc/named.iscdlv.key";
        managed-keys-directory "/var/named/dynamic";

ty MX záznamy bez problémů vypíše. Je to chyba starší verze BIND, nebo je problém na straně DNS serveru (ns1.mfcr.cz)? Dá se to řešit nějakou změnou konfigurace BIND (ale DNSSEC bych nerad vypínal). Je nějaký tool na validaci DNSSEC domény?

Předem díky.

---

---

Odpovědi

[Franta Hanzlík]

Tak to byla chyba BIND v9.7.4 serveru. Na Netu jsem nakonec pár věcí k tomu našel, a na ISC bind userlistu mně to vysvětlili:

https://lists.isc.org/pipermail/bind-users/2012-July/088363.html

i s odkazem:

http://dnssec-deployment.org/pipermail/dnssec-deployment/2011-October/005486.html

Nakonec jsem pro tu svou Fedoru 14 přeložil BIND v9.8.2 z Centos-u 6.3 (těch 50 patchů, co u toho Redhat má, je impozantních;), a je to OK.