Volkers Blog

Bind 9.8.1-P1: DNSSEC signierte Zone einrichten wird ganz einfach

voja — Sun, 11 Mar 2012 13:11:52 +0000

Ich muss sagen ich bin beeindruckt: mit Bind 9.8.1-P1 ist es jetzt noch einfacher geworden eine mit DNSSEC signierte Zone einzurichten.

Schlüssel erzeugen

Hierzu befinde ich mich für das Beispiel in /etc/bind/master/keys.

dnssec-keygen -f KSK example.com
dnssec-keygen example.com

Falls dieser Vorgang sehr lange dauert, weil man auf einer virtuellen Maschine unterwegs ist, kann man das ganze unter Ausnutzung von /dev/urandom (unter den üblichen kryptographischen Vorbehalten) beschleunigen:

dnssec-keygen -r /dev/urandom -f KSK example.com
dnssec-keygen -r /dev/urandom example.com

Die Zone in Bind für DNSSEC konfigurieren

Jetzt fehlt nur noch die Konfiguration für die Zone:

zone "example.com" {
  auto-dnssec maintain;
  type master;
  update-policy local;
  file "/etc/bind/master/example.com";
  key-directory "/etc/bind/master/keys";
};

Bind reload und fertig.

Mit den Zonen-Updates bin ich hier aber noch nicht ganz warm geworden. Dazu und hoffentlich auch zu den Key-Rollovern bald mehr. Bin dahin empfehle ich zur weiteren Lektüre: ISC: DNSSEC and Bind.

Artikel Updates

In der ersten Version den Artikels habe ich die KSK-Generierung nicht mit hin geschrieben.
Das ganze kann man auch nochmal hier nachlesen: Tony Finch – DNSSEC with BIND 9.8.0

10 Jahre Euro Bargeld

voja — Sun, 01 Jan 2012 19:23:54 +0000

Vor 10 Jahren hat der Euro die Deutsche Mark als Bargeld abgelöst. Aus diesen Anlass werden auch 2€ Gedenkmünzen herausgegeben. Mal sehen wann die in meinem Geldbeutel auftauchen.

Fernverkehr mit Bussen (3)

voja — Sun, 21 Aug 2011 15:37:39 +0000

Beim law blog ist zu lesen, das nun ein Gesetz auf den Weg gebracht werden soll, das Buslinien auch auf Fernstrecken erlaubt. Ich bin gespannt was daraus wird.

Xen: IPv6 in domU nutzen

voja — Sun, 07 Aug 2011 15:28:00 +0000

Ich habe einen Server bei Hetzner und damit eigentlich schon länger natives IPv6. Bisher habe ich es aber nicht geschafft das IPv6 auf die Xen domU zu kriegen. Das Netz kommt nativ auf dem Ethernet an, Teile weiterrouten bzw. tunneln fällt damit flach. Nebenbei sei noch erwähnt, dass statt ARP bei IPv6 NDP (Neighbor Discovery Protocol) zum Einsatz kommt. Ich habe mir zwei Anleitungen angeschaut, mit denen ich mein Setup dann hinbekommen habe:

Die Anleitungen sind aber für IPv6-only geschrieben.

Ich habe hier nochmal einen /etc/network/interfaces Eintrag hinterlegt, der einen Dual-Stack Betrieb (IPv4/IPv6) erlaubt:

auto eth0
iface eth0 inet static
 address 188.40.xxx.xxx
 gateway 188.40.xxx.xxx
 netmask 255.255.255.255
 pointopoint 188.40.xxx.xxx
 # Hier die IPv6-Adressen hinzufügen lassen
 up /sbin/ip -6 addr add 2a01:4f8:xxx:77::1/64 dev eth0
 # Route für das Gateway via eth0 hinzufügen
 up /sbin/ip -6 route add 2a01:4f8:xxx::2 dev eth0
 # Default Gateway setzen
 up /sbin/ip -6 route add default via 2a01:4f8:xxx
 post-up  ethtool -K eth0 tx off

Zu beachten ist noch, dass man bei der Verwendung von mehreren IPv6 Adressen in der domU die Haupt-IPv6-Adresse als letztes hinzufügt werden muss. Die zuletzt hinzugefügte Adresse wird per Default für ausgehende Verbindungen verwendet.

Nagios: DNSSEC-Signaturen überwachen

voja — Tue, 02 Aug 2011 19:40:51 +0000

Wer seine DNSSEC-Signaturen mit Nagios überwachen will, findet auf den folgenden Seiten Hilfe:

Twinkies!

voja — Fri, 22 Jul 2011 19:33:14 +0000

Wir haben von meinem Schwager ein paar Twinkies aus den USA importiert bekommen. Zwei haben wir gleich gegessen, um zu sehen ob wir den Zucker-Schock überstehen.

Nagios zur Überwachung von Remote Debian Servern

voja — Thu, 14 Jul 2011 13:38:37 +0000

Ich habe heute meinen länger gefassten Plan in die Tat umgesetzt, mich mit Nagios zu beschäftigen. Nach ein paar Howtos fand ich das erst mal ganz kompliziert, nach ein paar Versuchen hat aber alles geklappt, wie es sollte. Die Überwachung von Basisdiensten ist ganz einfach, an die komplizierteren Sachen, muss ich mich aber noch heran tasten.
Der folgende Teil funktionierte bei mir mit Debian 5.0 und Debian 6.0 gleichermaßen.
Zunächst muss man auf dem zu überwachenden Server die Nagios Plugins und NRPE (Nagios Remote Plugin Executor) installieren:
apt-get install nagios-plugins nagios-nrpe-plugin nagios-nrpe-server
In der /etc/nagios/nrpe.cfg sollte man auf jeden Fall den Zugriff vom Nagios Überwachunghost erlauben:
allowed_hosts=127.0.0.1,83.169.XXX.XXX
Da Debian den Nagios Server startet, sollte man diesen stoppen, da ich mir die Überwachung zentral anschaue:
/etc/init.d/nagios3 stop
Dann sorgt man dafür, dass Nagios nach einem Reboot auch nicht mehr automatisch loslegt:
update-rc.d -f nagios3 remove

Nun geht es auf dem Nagios Überwachungsserver weiter.
cd /etc/nagios3/conf.d
Als Vorlage nehme ich immer die localhost Konfiguration als Grundlage her, die ich dann entsprechend anpasse:
cp localhost_nagios2.cfg newserver_nagios2.cfg
Am Ende lasse ich Nagios die Konfiguration neu laden:
/etc/init.d/nagios3 reload

Für die Basis-Installation habe ich übrigens einfach die Debian Pakete installiert, das hat problemlos funktioniert und gleich das Nagios Apache-Verzeichnis mit abgesichert.

Hilfreiche Artikel:

Nagios: Monitoring Publicly Available Services. Viele Tipps wie man ganz einfach weitere Dienste überwachen kann.
Installation von Nagios (2.6) + NRPE auf Debian Etch. Von hier habe ich das NRPE Setup.

Unwetter

voja — Thu, 23 Jun 2011 13:33:03 +0000

Gestern gab es ein Unwetter. Wir haben das von einer Bushaltestelle aus kommen sehen:

Kurze Zeit nach diesem Bild waren wir komplett durchnässt. Waagerechter Regen ist nicht lustig. Ein Schirm ist auch Opfer des Sturms geworden. Ich habe mich auch zum ersten Mal mit dem iPhone an einer Panorama-Aufnahme versucht:

IPv6 ready überarbeitet

voja — Sat, 11 Jun 2011 15:01:32 +0000

Meine Seite IPv6 ready? hat heute ein Update verpasst bekommen. Das Layout habe ich auf YAML umgestellt. Desweiteren wurden einige Informationen aktualisiert. Die Webseite selbst sollte demnächst auch aus IPv6-only Umgebungen erreichbar sein und mit DNSSEC signiert sein.

IPv6 Tag

voja — Tue, 07 Jun 2011 19:35:45 +0000

Wie schon mehrfach erwähnt ist morgen IPv6 Tag. Ich werde ihn vorraussichtlich über meinen Twitter Account kommentieren. Anbei einige interessante Links zum Thema.

.de ist Spitze bei DNSSEC

voja — Tue, 07 Jun 2011 19:20:48 +0000

Die Root-Nameserver haben heute damit begonnen DS-Records für die .de Zone auszuliefern. Damit kann die Chain of Trust ohne Umwege hergestellt werden. Signierte .de Domains können nun validiert werden. Ein sehr schönes Feature von Denic sind sogenannte NSEntries. Damit kann man bis zu 5 A, AAAA oder MX DNS-Records statt Nameservern direkt in der .de Zone hinterlegen. Diese sind automatisch signiert. Da hiervon ca. 200.000 Domains gebrauch machen, dürfte .de nun Weltspitze sein, was die signierten Domains angeht. Weitere Details hierzu gibt es auch in der Denic Pressemittelung zu diesem Thema nachzulesen.

IPv6 only

voja — Tue, 07 Jun 2011 19:10:44 +0000

Morgen ist IPv6 Tag. Ich habe mal gesucht, seit dem 16.02.2007 müsste mein Blog via IPv6 erreichbar sein. Ich nehme also streng genommen nicht am IPv6-Tag teil. Heute habe ich einen weiteren Schritt für die IPv6-Unterstützung gemacht: mein Blog ist nun auch erreichbar, wenn das DNS ausschließlich IPv6 kann. Zwei meiner Nameserver haben nun AAAA-Records, die auch in der .de Zone als GLUE eingetragen sind. Evtl. werden noch weitere folgen.

Lego Pirates Tipps

voja — Thu, 02 Jun 2011 16:19:48 +0000

Es gibt für das Lego Piraten Spiel auf der Wii zwei wichtige Tipps. Der erste ist, dass man in den Optionen die Helligkeit einstellen kann, um aus schwarz eine sichtbare Umgebung zu machen. Der zweite Tipp ist eine Komplettlösung, da es manchmal nicht ersichtlich ist, was man tun muss (zugegeben waren einiges Nachlesen der zu niedrigen Helligkeit geschuldet).

.de Zone ab heute signiert

voja — Tue, 31 May 2011 06:16:02 +0000

Heute wird die .de Zone mit einer validierbaren Signatur versehen. DNSSEC kann damit produktiv auch für .de eingesetzt werden. Mehr Informationen: Internet – aber sicher! DNSSEC kommt für .de

Flughafen im Miniaturwunderland

voja — Sun, 29 May 2011 17:47:32 +0000

Notiz an mich selbst, der Flughafen von Knuffingen will von mir besucht werden.

Nauru Update

voja — Thu, 26 May 2011 19:59:08 +0000

Wer sich fragt was aus Nauru geworden ist, das schon in meinem früheren Podcast zweimal Erwähnung fand, der sollte das hier lesen.

Perl: memoize

voja — Thu, 26 May 2011 18:12:46 +0000

Es ist noch nicht so lang her, da habe ich über einen Kollegen mal wieder eine coole Funktion von Perl kennen gelernt: memoize. Das ganze dient dazu Ergebnisse von Funktionen zu cachen, die beim Aufruf mit Parameter X immer das gleiche Resultat Y liefern. Das kann viele Dinge extrem beschleunigen, aber auch beim Debuggen verwirren.

Towel Day 2011

voja — Wed, 25 May 2011 00:00:47 +0000

Heute ist Towel Day.

IPv6 Tag

voja — Wed, 11 May 2011 18:43:18 +0000

Am 8. Juni 2011 findet der nächste IPv6 Tag statt. Man kann jetzt schon einen IPv6-Test durchführen, wenn man nicht sicher ist, ob man IPv6 fähig ist.

Quo vadis IPv4

voja — Thu, 03 Feb 2011 22:21:16 +0000

IANA hat nun die letzten IPv4-Blöcke an die RIRs verteilt: Heise und Spiegel berichten Details. Es gibt aktuell schon noch freie IPv4-Adressen, aber die werden nun langsam aber sicher ausgehen.

IPv4-Adressen werden absehbar ausgehen

voja — Thu, 02 Dec 2010 20:03:12 +0000

Heise Online berichtet von einem schnellen Schwund von IPv4-Adressen. Ab 2011 sollte sich jeder mal mit dem Thema IPv6 beschäftigen, falls man es nicht schon getan hat. Es dürfte jetzt immer schwieriger werden IPv4-Adressen zu bekommen.

iOS 4.0.1

voja — Sun, 18 Jul 2010 12:09:01 +0000

Nach der Installation von iOS 4.0 hatte ich das Problem, dass mein iPhone 3G sehr träge reagiert hat und teilweise kaum noch zu benutzen war. Als ich dann vom iOS 4.0.1 Update gelesen habe, wollte ich erstmal abwarten. Dann wurde aber spekuliert, dass das Update evtl. das iPhone 3G wieder beschleunigt. Auf den Versuch wollte ich es ankommen lassen und siehe da: es fühlt sich von der Geschwindigkeit her für mich wieder wie die alte 3er Version an. Damit kann ich jetzt auch die iPhone 4 Kaufentscheidung noch einige Monate verschieben…

DNSSEC für die root

voja — Fri, 16 Jul 2010 18:54:12 +0000

Seit gestern liefern die DNS root Nameserver nicht mehr den DURZ aus, sondern sind mit einer echten Signatur versehen. Der Übergang verlief in meinen Augen weitgehend unbemerkt. Probleme sind mir keine bekannt. Damit ist ein wichtiger Schritt getan um DNSSEC weiter zu etablieren. Jetzt heißt es auch erstmal die DNS Resolver neu zu konfigurieren, damit die Validierung von der root aus korrekt klappt. Hier noch ein paar interessante Seiten zu diesem Thema:

heise online – DNSSEC in der DNS-Rootzone gestartet
DNSSEC visualisiert (am Beispiel der Domain nic.cz) bei DNSViz oder bei den VeriSign Labs.

Land der Gratis-Fernseher

voja — Tue, 29 Jun 2010 18:29:13 +0000

Wer sich schon mal gefragt hat, wie Elektromärkte gratis Fernseher im Falle eines Deutschen WM Sieges spendieren können, der wird in diesem Spiegel Online Artikel erleuchet.

Fernverkehr mit Bussen (2)

voja — Sat, 26 Jun 2010 15:30:05 +0000

Zu meinem Artikel Fernverkehr mit Bussen? gibt es ein paar Updates.