Demande aide configuration DNSSEC UBUNTU 24.04

james14000 · Le 14/12/2024, à 15:02

Bonjour, j'ai installé un serveur DNS sur mon PC, en ce sens, on me conseille de parametrer DNSSEC.

Comment faire ?

Bien cordialement

Dernière modification par james14000 (Le 14/12/2024, à 16:18)

kastopidiak · Le 14/12/2024, à 15:07

Bonjour,

Il suffit de configurer DNSSEC sur votre serveur.

james14000 · Le 14/12/2024, à 15:39

Bonjour, OUI, en effet, mais comment fait on sans casser les parametrage deja présents de mon fichier UNBOUND ?
C'est MON PC qui sert de serveur DNS, j'ai installé UNBOUD.conf.

Il y a un cinq ans, j'avais réussi à parametrer DNSSEC, mais là, je ne sais plus faire.

Mon test donne ceci Test result: failure

https://wander.science/projects/dns/dns … lver-test/

PS : Je ne veux pas passer pour un grincheux, mais ta réponse ne me donne pas des explications détaillées sur le parametrage

Dernière modification par james14000 (Le 14/12/2024, à 16:16)

kastopidiak · Le 14/12/2024, à 16:33

Désolé mais mais je ne suis pas devin. Comment aurais-je pu savoir qu'il s'agit Unbound et donc d'un simple résolveur cache (et non d'un serveur DNS faisant autorité pour un ou plusieurs domaines avec des enregistrements qu'il faudrait signer).
Quand on attend une réponse précise il faut donner tous les éléments et expliquer le problème clairement. Sinon il ne faut pas se plaindre d'une boutade ou d'un RTFM en réponse.

D'après la documentation DNSSEC est déjà activé par défaut avec les paquets Ubuntu :

https://unbound.docs.nlnetlabs.nl/en/la … ble-dnssec

voir le contenu du fichier /etc/unbound/unbound.conf.d/root-auto-trust-anchor-file.conf

Si le test en ligne échoue c'est que la configuration par défaut a été modifiée ou que vous n'utilisez pas ce résolveur (unbound configuré sur votre machine) pour aller sur le site en question.
Outils de vérifications depuis le navigateur web :
https://www.top10vpn.com/tools/what-is-my-dns-server/
https://www.dnsleaktest.com/results.html

Dernière modification par kastopidiak (Le 14/12/2024, à 17:39)

james14000 · Le 14/12/2024, à 16:52

Navré pour mon manque de precision, je ne pensais pas que ce style de serveur était aussi complexe et détaillé.

Je viens de retester mon serveur, en ce sens, il indique des erreurs, mais je n'ai pas assez de competences pour interpreter et dépanner le serveur, c'est pour cela que je demande de l'aide sur la procédure à suivre afin d'installer et parametrer en ligne de commande mon DNSSEC

Il y a 5 ans, j'avais réussi à suivre sans soucis divers procédures qui m'avaient été données, toutefois, le changement de UBUNTU 18.04 à 24.04 à aussi entrainé des procédures differentes.

Dernière modification par james14000 (Le 14/12/2024, à 17:01)

james14000 · Le 14/12/2024, à 17:03

james14000@james14000-MS-7982:~$ ldconfig
/sbin/ldconfig.real: Ne peut créer un fichier de cache temporaire /etc/ld.so.cache~: Permission non accordée
james14000@james14000-MS-7982:~$

Que dois je faire, dois je me connecter au terminal en ROOT ?

Dernière modification par james14000 (Le 14/12/2024, à 17:03)

james14000 · Le 14/12/2024, à 17:05

Voici ce que donne la commande suivante :

james14000@james14000-MS-7982:~$ nmcli dev show | grep DNS
IP4.DNS[1]:                             127.0.0.1
IP4.DNS[2]:                             192.1**.*.*
james14000@james14000-MS-7982:~$

james14000@james14000-MS-7982:~$ systemctl status unbound.service
● unbound.service - Unbound DNS server
     Loaded: loaded (/usr/lib/systemd/system/unbound.service; enabled; preset: >
     Active: active (running) since Sat 2024-12-14 14:35:00 CET; 2h 31min ago
       Docs: man:unbound(8)
    Process: 1561 ExecStartPre=/usr/libexec/unbound-helper chroot_setup (code=e>
    Process: 1637 ExecStartPre=/usr/libexec/unbound-helper root_trust_anchor_up>
   Main PID: 1641 (unbound)
      Tasks: 1 (limit: 9311)
     Memory: 17.1M (peak: 20.3M)
        CPU: 4.156s
     CGroup: /system.slice/unbound.service
             └─1641 /usr/sbin/unbound -d -p

déc. 14 14:34:58 james14000-MS-7982 systemd[1]: Starting unbound.service - Unbo>
déc. 14 14:34:59 james14000-MS-7982 (unbound)[1641]: unbound.service: Reference>
déc. 14 14:34:59 james14000-MS-7982 unbound[1641]: [1641:0] notice: init module>
déc. 14 14:34:59 james14000-MS-7982 unbound[1641]: [1641:0] notice: init module>
déc. 14 14:34:59 james14000-MS-7982 unbound[1641]: [1641:0] notice: init module>
déc. 14 14:35:00 james14000-MS-7982 unbound[1641]: [1641:0] info: start of serv>
déc. 14 14:35:00 james14000-MS-7982 systemd[1]: Started unbound.service - Unbou>
déc. 14 14:35:10 james14000-MS-7982 unbound[1641]: [1641:0] info: generate keyt>
lines 1-21/21 (END)

james14000@james14000-MS-7982:~$ dig sci-hub.tw

; <<>> DiG 9.18.28-0ubuntu0.24.04.1-Ubuntu <<>> sci-hub.tw
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 8443
;; flags: qr rd ra; QUERY: 1, ANSWER: 9, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 65494
;; QUESTION SECTION:
;sci-hub.tw.			IN	A

;; ANSWER SECTION:
sci-hub.tw.		3600	IN	A	65.21.240.245
sci-hub.tw.		3600	IN	A	159.69.42.212
sci-hub.tw.		3600	IN	A	95.216.161.60
sci-hub.tw.		3600	IN	A	168.119.245.137
sci-hub.tw.		3600	IN	A	195.201.124.255
sci-hub.tw.		3600	IN	A	23.88.53.29
sci-hub.tw.		3600	IN	A	159.69.186.9
sci-hub.tw.		3600	IN	A	162.55.172.212
sci-hub.tw.		3600	IN	A	159.69.83.207

;; Query time: 47 msec
;; SERVER: 127.0.0.53#53(127.0.0.53) (UDP)
;; WHEN: Sat Dec 14 17:08:12 CET 2024
;; MSG SIZE  rcvd: 183

james14000@james14000-MS-7982:~$

james14000@james14000-MS-7982:~$ dig @127.0.0.1 sci-hub.tw

; <<>> DiG 9.18.28-0ubuntu0.24.04.1-Ubuntu <<>> @127.0.0.1 sci-hub.tw
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 40567
;; flags: qr rd ra; QUERY: 1, ANSWER: 9, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;sci-hub.tw.			IN	A

;; ANSWER SECTION:
sci-hub.tw.		3600	IN	A	65.21.240.245
sci-hub.tw.		3600	IN	A	159.69.83.207
sci-hub.tw.		3600	IN	A	159.69.186.9
sci-hub.tw.		3600	IN	A	159.69.42.212
sci-hub.tw.		3600	IN	A	95.216.161.60
sci-hub.tw.		3600	IN	A	162.55.172.212
sci-hub.tw.		3600	IN	A	23.88.53.29
sci-hub.tw.		3600	IN	A	195.201.124.255
sci-hub.tw.		3600	IN	A	168.119.245.137

;; Query time: 609 msec
;; SERVER: 127.0.0.1#53(127.0.0.1) (UDP)
;; WHEN: Sat Dec 14 17:10:28 CET 2024
;; MSG SIZE  rcvd: 183

james14000@james14000-MS-7982:~$

Dernière modification par james14000 (Le 14/12/2024, à 17:10)

james14000 · Le 14/12/2024, à 17:33

james14000 · Le 14/12/2024, à 17:39

Je suis allé dans le chemin indiqué par tes soins, en voici le résultat au niveau du fichier

/etc/unbound/unbound.conf.d/root-auto-trust-anchor-file.conf

server:
    # The following line will configure unbound to perform cryptographic
    # DNSSEC validation using the root trust anchor.
    auto-trust-anchor-file: "/var/lib/unbound/root.key"

kastopidiak · Le 14/12/2024, à 17:56

Commençons par le début.
La commande systemctl status unbound.service montre que le service Unbound set bien lancé et actif bien que les lignes soient tronquées.

La commande

nmcli dev show | grep DNS

montre que deux résolveurs sont actifs :
127.0.0.1 ⇒ la machine locale, probablement Unbound
192.1**.*.* ⇒ une machine du réseau local dont il est absurde de masque l'IP : de fait on ne sait pas 'il s'agit de la machine locale, de la box ou d'une autre machine du réseau…
aucun résolveur en IPv6 n'est configuré

La commande dig sci-hub.tw montre que c'est le résolveur :

;; SERVER: 127.0.0.53#53(127.0.0.53) (UDP)

qui répond. Il s'agit de systemd-resolved qui généralement ne fait pas bon ménage avec un autre résolveur cache local (Unbound).

La commande dig @127.0.0.1 sci-hub.tw force le résolveur en écoute sur 127.0.0.1:53 à répondre et c'est probablement Unbound cette fois.

Les tests en ligne montrent que se sont les résolveurs de SFR (certainement ton FAI) qui répondent. Parmi les causes possibles :
- la connexion réseau n'a pas été relancé après modifications des adresses des résolveurs : ce sont toujours ceux du FAI qui répondent aux requêtes ;
- systemd-resolved est en conflit avec Unbound, c'est lui qui répond et sert de ache aux résolveurs du FAI ;
- autre…

james14000 · Le 14/12/2024, à 18:16

Merci à toi Kastopidiak

Cela signifie quoi que les lignes soient tronquées ?

On m'avait conseillé de la masquer sur un autre forum, en ce sens, je t'envoie donc la totalité du message de la commande.

james14000@james14000-MS-7982:~$ nmcli dev show | grep DNS
IP4.DNS[1]:                             127.0.0.1
IP4.DNS[2]:                             192.168.1.1
james14000@james14000-MS-7982:~$

Parmi les causes possibles :
- la connexion réseau n'a pas été relancé après modifications des adresses des résolveurs : ce sont toujours ceux du FAI qui répondent aux requêtes ;
- systemd-resolved est en conflit avec Unbound, c'est lui qui répond et sert de ache aux résolveurs du FAI ;
- autre…

aucun résolveur en IPv6 n'est configuré :

J'ai en effet remarqué que pas de IPv6 de configurés, alors que sur la version de UBUNTU 18.04, j'avais réussi à le faire.

Donc, j'aurais du rebooter ma SFR BOX ? car en effet il s'agit de SFR, je n'ai pas rebooté ma box depuis l'installation de mon serveur DNS

Dernière modification par james14000 (Le 14/12/2024, à 18:39)

james14000 · Le 14/12/2024, à 18:56

Je viens de rebooter la box, mais lorsque je teste ma connexion sur ce site, cela indiquer failure.

https://wander.science/projects/dns/dns … lver-test/

De mémoire, on m'avait fait faire des modification sur nano au sein de mon fichier unboun, en ce sens, je n'ai pas refait ces modification, néanmoins, j'ai pris la précaution de faire une sauvegarder du fichier en question avant d'installer UBUNTU 24.04.

james14000@james14000-MS-7982:~$ unbound-checkconf
unbound-checkconf: no errors in /etc/unbound/unbound.conf
james14000@james14000-MS-7982:~$

Dernière modification par james14000 (Le 14/12/2024, à 18:59)

james14000 · Le 14/12/2024, à 19:03

Il y a 5 ans, lors de l'installation de mon DNS sur UBUNTU 18.04, on m'avait conseillé de faire des manipulation au sein de divers fichiers, en utilisant nano, en l'occurence, en voici une.
A cette époque, mon FAI était Bouygues et je n'arrivais plus à aller sur la page de configuration de mon FAI.

# Unbound configuration file for Debian.
#
# See the unbound.conf(5) man page.
#
# See /usr/share/doc/unbound/examples/unbound.conf for a commented
# reference config file.
#
# The following line includes additional configuration files from the
# /etc/unbound/unbound.conf.d directory.
include: "/etc/unbound/unbound.conf.d/*.conf"

access-control: 0.0.0.0/0 refuse
access-control: ::0 refuse
access-control: 127.0.0.0/8 allow
access-control: ::1 allow

local-zone: "bytel.fr" redirect
local-data: "bytel.fr A 192.168.1.254"

Dernière modification par james14000 (Le 14/12/2024, à 19:41)

james14000 · Le 14/12/2024, à 19:49

Je suis conscient de la "modestie" de mes connaissances en ligne de commande mais aussi, en ce qui concerne l'architecture reseau, en ce sens, je ne connais pas et matérialise mal la facon dont interagissent les divers elements du DNS et de DNSSEC

Si tu me donnes les conseils, je saurai en revanche appliquer sans difficultés.

Je suis en train de lire avec le traducteur francais anglais, cette page, celle que tu m'as donnée, car en plus, je ne suis pas bilingue

https://unbound.docs.nlnetlabs.nl/en/la … ble-dnssec

"Pour activer DNSSEC, nous ajoutons l'auto-trust-anchor-fichier sous la clause de serveur dans le fichier de configuration".

Set up Trust Anchor (Enable DNSSEC)

Dernière modification par james14000 (Le 14/12/2024, à 20:02)

james14000 · Le 14/12/2024, à 21:22

james14000@james14000-MS-7982:~$ sudo netstat --inet -n -p -a | grep :53
[sudo] Mot de passe de james14000 : 
tcp        0      0 127.0.0.53:53           0.0.0.0:*               LISTEN      1094/systemd-resolv 
tcp        0      0 127.0.0.1:53            0.0.0.0:*               LISTEN      1714/unbound        
tcp        0      0 127.0.0.54:53           0.0.0.0:*               LISTEN      1094/systemd-resolv 
tcp        0      0 192.168.1.61:53242      142.250.179.67:443      TIME_WAIT   -                   
tcp        0      0 192.168.1.61:53608      216.58.214.164:443      ESTABLISHED 3055/firefox        
udp        0      0 127.0.0.1:53            0.0.0.0:*                           1714/unbound        
udp        0      0 127.0.0.54:53           0.0.0.0:*                           1094/systemd-resolv 
udp        0      0 127.0.0.53:53           0.0.0.0:*                           1094/systemd-resolv 
udp        0      0 0.0.0.0:5353            0.0.0.0:*                           1321/avahi-daemon:  
james14000@james14000-MS-7982:~$

kastopidiak · Le 15/12/2024, à 08:34

Cela signifie quoi que les lignes soient tronquées ?

C'est du français courant. Regarde ton retour en #7. Les commandes systemctl ont une fâcheuse tendance à tronquer les ligne à la largeur du terminal.

Ne modifie pas la configuration par défaut de Ubound sans comprendre exactement ce que tu fais.

Il faut commencer par désinstaller systemd-resloved. Avoir deux résolveurs cache sur la même machine est une source de conflit et rend les problèmes impossibles à analyser.

La question est de savoir dans quel but tu veux installer ceci sur ton ordinateur. Si c'est pour éviter les résolveurs menteurs il est beaucoup plus simple et bien moins risqué de choisir des résolveurs publics comme ceux de FDN.

Dernière modification par kastopidiak (Le 15/12/2024, à 12:49)

james14000 · Le 15/12/2024, à 12:41

Je sais ce que signifie le terme tronquer, en revanche, je pensais que dans le contexte, cela avait une cause technique.

Je vais donc desinstaller systemd-resloved.

En fait, c'est à la lecture d'un forum que j'ai pris note de l'existance de la possibilité d'installer un DNS sur mon PC, en ce sens, la curiosité s'est mise en place, et à son utilisation, j'ai pu naviguer sur des sites de streamings.
C'est donc pour eviter les mesonges de mon FAI que je souhaite réinstaller ce dispositif sur mon PC

Il y a 5 ans, je n'ai pas trouvé si compliqué que cela de parametrer ce dispositif, toutefois, le temps est passé par là, et j'ai du mal à retrouver toutes les procédures, bien qu'elles soient encore sur le forum en question

D'avance merci

kastopidiak · Le 15/12/2024, à 12:52

En fait, c'est à la lecture d'un forum que j'ai pris note de l'existance de la possibilité d'installer un DNS sur mon PC, en ce sens, la curiosité s'est mise en place, et à son utilisation, j'ai pu naviguer sur des sites de streamings.

Les forums et les blogs regorgent d'idioties, donc méfiance…
Si c'est pour accéder à des contenus illégalement, je ne vais pas encourager la démarche plus avant. J'ai de toute façon déjà donné la solution.

james14000 · Le 15/12/2024, à 13:15

C'est pas pour naviguer sur des sites interdit. C'est juste pour comprendre le fonctionnement.

Ceci dit je n'ai plus accès à internet. J'ai sûrement fait une très mauvaise manipulation avec la désinstallation de résilier.

Peux tu m'aider

james14000 · Le 15/12/2024, à 13:16

J'ai indiqué sudo systèmctl stop systèmd-resolved

james14000 · Le 15/12/2024, à 13:17

Je suis connecté sur mon téléphone portable ?

james14000 · Le 15/12/2024, à 13:37

Je n'ai rien d'un dangereux pervers. Je n'irai pas sur un forum avec mon IP si tel était le cas.

james14000 · Le 15/12/2024, à 13:47

Tu m'as fait faire une erreur en désinstalant système resolved

xubu1957 · Le 15/12/2024, à 13:53

Bonjour,

james14000 a écrit :

Ceci dit je n'ai plus accès à internet.

Montre :

ip a

james14000 · Le 15/12/2024, à 13:56

Merci de ton aide. C'est vraiment un imbécile ce type. Je viens de faire ta commande mais je n'ai plus de connexion internet sur mon ordinateur fixe.

Je vais essayer d'envoyer une photo.

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#1 Le 14/12/2024, à 15:02

Demande aide configuration DNSSEC UBUNTU 24.04

#2 Le 14/12/2024, à 15:07

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#3 Le 14/12/2024, à 15:39

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#4 Le 14/12/2024, à 16:33

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#5 Le 14/12/2024, à 16:52

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#6 Le 14/12/2024, à 17:03

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#7 Le 14/12/2024, à 17:05

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#8 Le 14/12/2024, à 17:33

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#9 Le 14/12/2024, à 17:39

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#10 Le 14/12/2024, à 17:56

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#11 Le 14/12/2024, à 18:16

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#12 Le 14/12/2024, à 18:56

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#13 Le 14/12/2024, à 19:03

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#14 Le 14/12/2024, à 19:49

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#15 Le 14/12/2024, à 21:22

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#16 Le 15/12/2024, à 08:34

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#17 Le 15/12/2024, à 12:41

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#18 Le 15/12/2024, à 12:52

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#19 Le 15/12/2024, à 13:15

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#20 Le 15/12/2024, à 13:16

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#21 Le 15/12/2024, à 13:17

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#22 Le 15/12/2024, à 13:37

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#23 Le 15/12/2024, à 13:47

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#24 Le 15/12/2024, à 13:53

Re : Demande aide configuration DNSSEC UBUNTU 24.04

#25 Le 15/12/2024, à 13:56

Re : Demande aide configuration DNSSEC UBUNTU 24.04

Pied de page des forums