Migration de serveur de Bind

MatPa · 25-10-2023 11:17:13

Bonjour,

J'ai un souci que je traîne et que je n'arrive pas à comprendre.

J'ai un serveur debian obsolète qui me gérait mes DNS avec Bind : jusque là, tout va bien.
Il faut changer ce serveur car il devient obsolète (pourquoi pas).

Donc, nouveau serveur, avec Debian 11 et Bind : je transfère les DNS et ça fonctionne ... à première vue.
Car il faut aller dans le détail.

L'ancien serveur (ns de son petit nom) a été renommé en ns-old et le nouveau a été nommé en ns (commande

hostnamectl set-hostname ns-old

) : comme ça, pas besoin d'aller chez le registrar pour changer le pointage de serveur DNS.
Ca semble fonctionner : l'adresse IP du nouveau serveur est bien correcte quand je teste avec un dnschecker ou mxtoolbox ou un trace.
Le hic, c'est qu'il faut que je garde l'ancien serveur sinon tout se coupe : j'ai donc bien 1 lien qui est resté vers l'ancien quelque part mais je n'arrive pas à mettre la main dessus.
D'ailleurs, j'ai mis un champs TXT sur l'ancien ("test01=KKOO") et le nouveau ("test01=OK") et c'est l'ancien qui ressort avec mxtoolbox.

Bonne journée

vincen · 25-10-2023 11:31:37

Oui c'est de la magouille ça qui ne marche pas vraiment. Tu as bien modifié les glue-records au registre ? les ns sont bien sur le même domaine que le domaine qu'ils résolvent ?

MatPa · 25-10-2023 12:07:05

Re,

vincen a écrit :

Oui c'est de la magouille ça qui ne marche pas vraiment.

Du coup, quel aurait été la bonne procédure ? Changer le nom du serveur + chez le registrar ?

vincen a écrit :

Tu as bien modifié les glue-records au registre ?

Sur ce point précis, je n'en avais pas mis avant ; je viens donc de l'ajouter.

vincen a écrit :

les ns sont bien sur le même domaine que le domaine qu'ils résolvent ?

Ca oui, c'est le point que j'ai vérifié et re-vérifié dès le début (enfin, au moment de la migration).

Bonne journée

vincen · 25-10-2023 12:46:04

MatPa a écrit :

Du coup, quel aurait été la bonne procédure ? Changer le nom du serveur + chez le registrar ?

oui sachant que les dns c'est toujours assez pointilleux perso je crée une nouvelle entrée pour le nouveau serveur DNS qu'ensuite je déclare au registre pour le domaine.
Tu as fait un test type Zonemaster ? une fois en automatique et une fois en indiquant explicitement les DNS que tu es censé utiliser ?

vincen a écrit :

Tu as bien modifié les glue-records au registre ?
Sur ce point précis, je n'en avais pas mis avant ; je viens donc de l'ajouter.

oui indispensable surtout si le dns utilise des noms de serveur sur le domaine qu'il résoud serveur dns ns.toto.fr qui fait autorité pour le domaine toto.fr

Tu as du coup aussi passer le serveur dns originel en slave ?

MatPa · 25-10-2023 13:30:11

Re,

vincen a écrit :

oui sachant que les dns c'est toujours assez pointilleux perso je crée une nouvelle entrée pour le nouveau serveur DNS qu'ensuite je déclare au registre pour le domaine.

C'était ma première idée, mais je me suis que ce n'était pas forcément nécessaire.

vincen a écrit :

Tu as fait un test type Zonemaster ? une fois en automatique et une fois en indiquant explicitement les DNS que tu es censé utiliser ?

Je ne connaissais pas cet outil. Et il semble bien pointé mon souci:
Problème de glues pour un serveur de noms "in-bailiwick"
Où, juste après, il y a bien la mention des différentes adresses IP (l'IP de l'ancien serveur VS IP du nouveau).

vincen a écrit :

Tu as du coup aussi passer le serveur dns originel en slave ?

Je n'ai pas fait ce point car il ne va plus servir. Et je voulais m'en servir de tests (typiquement la situation actuelle) : s'il y avait un souci, l'ancien serveur n'était plus mentionné nul part.

>> Du coup, comment je fais pour mettre les bonnes adresses IP dans "in-bailiwick" ?

Bonne journée

vincen · 25-10-2023 13:36:29

MatPa a écrit :

Je ne connaissais pas cet outil. Et il semble bien pointé mon souci:
Problème de glues pour un serveur de noms "in-bailiwick"
Où, juste après, il y a bien la mention des différentes adresses IP (l'IP de l'ancien serveur VS IP du nouveau).

oui il est très pratique car tu peux l'utiliser même sur une config pas encore en prod. Tu configures tes nouveaux dns puis tu testes avec Zonecheck si c'est bon et tu peux alors modifier les DNS au registre
Pour modifier le glue-record cela se fait chez ton registrar et attention selon les extensions cela peut prendre facile 6/12h avant que ça soit actualisé correctement !

raleur · 25-10-2023 19:58:47

MatPa a écrit :

L'ancien serveur (ns de son petit nom) a été renommé en ns-old et le nouveau a été nommé en ns (commande
hostnamectl set-hostname ns-old

C'est tout ? Cette commande ne change que le nom interne sous lequel la machine elle-même se connaît (et dont le reste du monde se moque éperdument), et non le nom sous lequel le reste du monde la connaît et qui est renvoyé par les serveurs DNS faisant autorité pour la zone à laquelle il appartient.

MatPa a écrit :

Tu as bien modifié les glue-records au registre ?

Sur ce point précis, je n'en avais pas mis avant ; je viens donc de l'ajouter.

Ça ne marche pas comme ça. De deux choses l'une :
- soit le nom du NS appartient à la zone (ou à une zone fille) et devait déjà avoir un "glue record" chez le registrar,
- soit le nom du NS n'appartient pas à la zone (ni à une zone fille) et il n'y a pas lieu d'ajouter un "glue record".

MatPa · 26-10-2023 07:14:37

Bonjour,

raleur a écrit :

C'est tout ? Cette commande ne change que le nom interne sous lequel la machine elle-même se connaît (et dont le reste du monde se moque éperdument), et non le nom sous lequel le reste du monde la connaît et qui est renvoyé par les serveurs DNS faisant autorité pour la zone à laquelle il appartient.

Du coup, que faut-il ajouter / faire en plus ?

raleur a écrit :

Ça ne marche pas comme ça. De deux choses l'une :
- soit le nom du NS appartient à la zone (ou à une zone fille) et devait déjà avoir un "glue record" chez le registrar,
- soit le nom du NS n'appartient pas à la zone (ni à une zone fille) et il n'y a pas lieu d'ajouter un "glue record".

Si mon domaine est example.com, mon serveur DNS est ns.example.com.
J'ai bien, dans mon db.example.com :

$TTL 86400

example.com.  IN      SOA     ns.example.com. contact.example.com. (

                        2023050101

                        21600

                        3600

                        1209600

                        44400 )

@               IN      NS      ns.example.com.

ns    IN      A       1.2.3.4

Et depuis hier après-midi, j'ai ajouté le glue avec 1.2.3.4 (1.2.3.4 étant la nouvelle adresse IP du serveur DNS, l'ancienne étant 4.3.2.1 par exemple) : ça n'a pas l'air d'avoir changé grand chose (le fait d'ajouter le glue).

Bonne journée

vincen · 26-10-2023 07:26:25

Que donne le zonecheck maintenant ? il est concluant ou pas ?

MatPa · 26-10-2023 09:03:18

Re,

Aucune amélioration.
J'ai ajouté, comme mis en filigrane (à moins que je me trompe) par Rageur, aux déclarations DNS

ns-old IN      A       4.3.2.1

Bonne journée

vincen · 26-10-2023 09:21:53

MatPa a écrit :

Aucune amélioration.
J'ai ajouté, comme mis en filigrane (à moins que je me trompe) par Rageur, aux déclarations DNS

Peux-tu partager le résultat du zonecheck ? parce que là sinon ça va être difficile de t'aider plus sans plus d'infos
quand tu as fait le changement de serveur tu as mis à jour ta zone DNS pour le domaine sur le nouveau serveur ?Tu as pas juste fait un copier/coller ?

MatPa · 26-10-2023 10:37:36

Re,

Je ne sais pas si c'est le glue qui entre en action ou si c'est mon ajout de ns-old, mais un zonemaster sur example.com est bon.
Par contre, mon test TXT est toujours faux et le zonemaster sur example.com en spécifiant ns.example.com renvoie des erreurs :

      <!doctype html>

      <html lang="fr">

        <head>

          <meta charset="UTF-8">

          <meta name="viewport" content="width=device-width, initial-scale=1.0, shrink-to-fit=no">

          <title>example.com • Zonemaster Test Result</title>

          <style>

            th,td {

              text-align: left;

              font-weight: normal;

              padding: 0.75rem;

            }

            thead {

              background-color: #212529;

              color: #fff;

            }

            body td {

              border-top: 1px solid #dee2e6;

            }

            body {

              color: #212529;

              font-family: sans;

              margin-left: 20px;

            }

            table {

              border: none;

            }

            tbody tr:nth-child(odd) {

              background-color: rgba(0,0,0,.05);

            }

            h2 {

              font-weight: normal;

              font-size: 2rem;

              margin: .5rem 0;

            }

          </style>

        </head>

        <body>

          <header>

            <h2>example.com</h2><i>2023-10-26 11:31 GMT+02:00</i>

          </header>

          <table cellspacing="0" cellpadding="0">

            <thead>

              <tr>

                <th scope="col">Module</th>

                <th scope="col">Sévérité</th>

                <th scope="col">Message</th>

              </tr>

            </thead>

            <tbody>

        <tr>

          <td>SYSTEM</td>

          <td>error</td>

          <td>Ajout de configuration DNS alternative (fake delegation) pour le domaine 'example.com' au serveur de noms 'in-bailiwick' ns.example.com sans adresse IP.

</td>

        </tr>

        <tr>

          <td>SYSTEM</td>

          <td>info</td>

          <td>Utilisation de la version v4.7.3 du moteur Zonemaster.

</td>

        </tr>

        <tr>

          <td>BASIC</td>

          <td>info</td>

          <td>La zone parente est "com",  d’après les serveurs de noms "a.gtld-servers.net/192.5.6.30; a.gtld-servers.net/2001:503:a83e::2:30; b.gtld-servers.net/192.33.14.30; b.gtld-servers.net/2001:503:231d::2:30; c.gtld-servers.net/192.26.92.30; c.gtld-servers.net/2001:503:83eb::30; d.gtld-servers.net/192.31.80.30; d.gtld-servers.net/2001:500:856e::30; e.gtld-servers.net/192.12.94.30; e.gtld-servers.net/2001:502:1ca1::30; f.gtld-servers.net/192.35.51.30; f.gtld-servers.net/2001:503:d414::30; g.gtld-servers.net/192.42.93.30; g.gtld-servers.net/2001:503:eea3::30; h.gtld-servers.net/192.54.112.30; h.gtld-servers.net/2001:502:8cc::30; i.gtld-servers.net/192.43.172.30; i.gtld-servers.net/2001:503:39c1::30; j.gtld-servers.net/192.48.79.30; j.gtld-servers.net/2001:502:7094::30; k.gtld-servers.net/192.52.178.30; k.gtld-servers.net/2001:503:d2d::30; l.gtld-servers.net/192.41.162.30; l.gtld-servers.net/2001:500:d937::30; m.gtld-servers.net/192.55.83.30; m.gtld-servers.net/2001:501:b1f9::30".

</td>

        </tr>

        <tr>

          <td>BASIC</td>

          <td>info</td>

          <td>La zone "example.com" a été trouvée.

</td>

        </tr>

        <tr>

          <td>BASIC</td>

          <td>critical</td>

          <td>Il n'y a pas de serveur de noms fonctionnel pour "example.com",  donc il est injoignable.

</td>

        </tr>

        <tr>

          <td>BASIC</td>

          <td>error</td>

          <td>Le serveur de noms "ns.example.com" ne peut pas être résolu en une adresse IP.

</td>

        </tr>

        <tr>

          <td>CONSISTENCY</td>

          <td>error</td>

          <td>Utilisation d'une configuration DNS alternative (fake delegation).

</td>

        </tr>

        <tr>

          <td>DNSSEC</td>

          <td>info</td>

          <td>Aucun des serveurs de noms ne retourne d'enregistrements de type "CDNSKEY"  ou de type "CDS".

</td>

        </tr>

        <tr>

          <td>DELEGATION</td>

          <td>error</td>

          <td>Les serveurs de noms de la zone parente ne retournent pas assez de serveurs (1) faisant autorité (ns.example.com). La limite inférieure étant fixée à 2.

</td>

        </tr>

        <tr>

          <td>DELEGATION</td>

          <td>error</td>

          <td>Les serveurs de noms de la zone ne retournent pas assez de serveurs (0) faisant autorité (). La limite inférieure étant fixée à 2.

</td>

        </tr>

        <tr>

          <td>DELEGATION</td>

          <td>warning</td>

          <td>Les serveurs de noms de la zone ne retournent pas de serveurs ayant une adresse IPv4. Si il y en avait,  il en faudrait au minimum 2.

</td>

        </tr>

        <tr>

          <td>DELEGATION</td>

          <td>notice</td>

          <td>Les serveurs de noms de la zone ne retournent pas de serveurs ayant une adresse IPv6. Si il y en avait,  il en faudrait au minimum 2.

</td>

        </tr>

        <tr>

          <td>DELEGATION</td>

          <td>warning</td>

          <td>Les serveurs de noms de la zone parente ne retournent pas de serveurs ayant une adresse IPv4. Si il y en avait,  il en faudrait au minimum 2.

</td>

        </tr>

        <tr>

          <td>DELEGATION</td>

          <td>notice</td>

          <td>Les serveurs de noms de la zone parente ne retournent pas de serveurs ayant une adresse IPv6. Si il y en avait,  il en faudrait au minimum 2.

</td>

        </tr>

        <tr>

          <td>DELEGATION</td>

          <td>info</td>

          <td>La plus petite taille d'un paquet légal contenant une référence (referral) est inférieure à 513 octets (elle est de 290).

</td>

        </tr>

        <tr>

          <td>DELEGATION</td>

          <td>info</td>

          <td>Aucun serveur de noms ne pointe sur un alias (CNAME).

</td>

        </tr>

        <tr>

          <td>DELEGATION</td>

          <td>error</td>

          <td>Les serveurs de noms de la zone parente retournent des serveurs faisant autorité (ns.example.com) qui ne le sont pas par les serveurs de noms de la zone.

</td>

        </tr>

        <tr>

          <td>DELEGATION</td>

          <td>error</td>

          <td>La liste des serveurs de noms retournée par les serveurs de noms de la zone parente et par ceux de la zone est complètement différente.

</td>

        </tr>

        <tr>

          <td>NAMESERVER</td>

          <td>error</td>

          <td>Il a été impossible de trouver une adresse IP pour les serveurs de noms.

</td>

        </tr>

        <tr>

          <td>NAMESERVER</td>

          <td>info</td>

          <td>Lors d'une requête de type SOA pour la ressource "www.example.com" avec des casses différentes,  tous les serveurs retournent les mêmes résultats.

</td>

        </tr>

        <tr>

          <td>SYNTAX</td>

          <td>info</td>

          <td>Le nom de domaine 'example.com' ne contient aucun caractère interdit.

</td>

        </tr>

        <tr>

          <td>SYNTAX</td>

          <td>info</td>

          <td>Aucune des extrémités des labels du nom de domain 'example.com' n'est un tiret '-'.

</td>

        </tr>

        <tr>

          <td>SYNTAX</td>

          <td>info</td>

          <td>Le nom de domaine 'example.com' n'a aucun label contenant un double tiret ('--') en positions 3 et 4 (avec un préfixe différent de 'xn--').

</td>

        </tr>

        <tr>

          <td>SYNTAX</td>

          <td>info</td>

          <td>La syntaxe du nom du serveur de noms (ns.example.com) est valide.

</td>

        </tr>

            </tbody>

          </table>

        </body>

      </html>

Bonne journée

vincen · 26-10-2023 11:00:12

MatPa a écrit :

Re,

Je ne sais pas si c'est le glue qui entre en action ou si c'est mon ajout de ns-old, mais un zonemaster sur example.com est bon.
Par contre, mon test TXT est toujours faux et le zonemaster sur example.com en spécifiant ns.example.com renvoie des erreurs :
Bonne journée

Bon tu as effectivement pas refait ta zone dns quand tu as changé de serveur donc cela n'a aucune chance de marcher ! En effet il demande à ns de résoudre ton domaine mais il ne sait pas le faire !
Peux-tu partager ton fichier de zone du bind de ns ?

MatPa · 26-10-2023 11:24:52

Re,

vincen a écrit :

Peux-tu partager ton fichier de zone du bind de ns ?

C'est ce que j'ai mis au post 08, mon fichier db.example.com (il y a d'autres entrées, mais qui n'ont rien à voir), non ? Ou alors je suis complètement à côté (genre, il faut faire un fichier spécifique au ns) ?

Bonne journée

Dernière modification par MatPa (26-10-2023 11:25:24)

vincen · 26-10-2023 15:22:05

MatPa a écrit :

C'est ce que j'ai mis au post 08, mon fichier db.example.com (il y a d'autres entrées, mais qui n'ont rien à voir), non ? Ou alors je suis complètement à côté

Ah oui effectivement c'est un fichier de zone très light !! et un seul DNS ? Question à 2 balles je sais pas chez qui tu as pris ton domaine mais pourquoi tu n'utilises pas tout simplement le service DNS de ton registrar ? La plupart le proposent gratuitement et bien plus efficace car là un seul DNS pour un domaine ça le fait pas trop (si ce dns tombe ton domaine disparait en terme d'accessibilité !

MatPa · 26-10-2023 16:24:25

Re,

vincen a écrit :

Ah oui effectivement c'est un fichier de zone très light !! et un seul DNS ? Question à 2 balles je sais pas chez qui tu as pris ton domaine mais pourquoi tu n'utilises pas tout simplement le service DNS de ton registrar ? La plupart le proposent gratuitement et bien plus efficace car là un seul DNS pour un domaine ça le fait pas trop (si ce dns tombe ton domaine disparait en terme d'accessibilité !

La version présentée est une version très simplifiée et, jusqu'à présent, ça fonctionnait sans aucun problème.
Ce fichier a beaucoup plus d'entrées, mais qui ne sont pas nécessaire ici.

Bonne journée

MatPa · 26-10-2023 18:50:52

Re,

Voici mon schéma :
> example.com est mon point d'entrée
+-> ns.example.com contient bind et les fichiers de zones
+-> site01.fr donne l'adresse de mon site site01.fr

Je viens de passer par mon registrar pour gérer example.com en direct, comme suggéré par vincen (les tests avec un enregistrement TXT le montre bien). J'ai mis toutes mes déclarations au niveau du registrar, notamment ns.example.com et son adresse IP.
Là où je comprends encore moins qu'avant est qu'avec un enregistrement TXT sur site01.fr - enregistrement nouvellement créer côté ns-old avec augmentation du serial ET côté ns avec augmentation du serial - c'est le TXT de l'ancien : cela veut donc dire que c'est encore l'ancien serveur (ns-old) qui répond.
Côté site01.fr, au niveau du registrar, c'est ns.example.com qui est déclaré.

Bonne journée

Dernière modification par MatPa (26-10-2023 18:52:00)

raleur · 26-10-2023 21:11:54

Explications incompréhensibles pour moi. Si tu veux vraiment de l'aide, donne le vrai nom de la zone et les vrais noms et adresses IP des NS. Sinon, tant pis.

Debian-facile

#1 25-10-2023 11:17:13

Migration de serveur de Bind

#2 25-10-2023 11:31:37

Re : Migration de serveur de Bind

#3 25-10-2023 12:07:05

Re : Migration de serveur de Bind

#4 25-10-2023 12:46:04

Re : Migration de serveur de Bind

#5 25-10-2023 13:30:11

Re : Migration de serveur de Bind

#6 25-10-2023 13:36:29

Re : Migration de serveur de Bind

#7 25-10-2023 19:58:47

Re : Migration de serveur de Bind

#8 26-10-2023 07:14:37

Re : Migration de serveur de Bind

#9 26-10-2023 07:26:25

Re : Migration de serveur de Bind

#10 26-10-2023 09:03:18

Re : Migration de serveur de Bind

#11 26-10-2023 09:21:53

Re : Migration de serveur de Bind

#12 26-10-2023 10:37:36

Re : Migration de serveur de Bind

#13 26-10-2023 11:00:12

Re : Migration de serveur de Bind

#14 26-10-2023 11:24:52

Re : Migration de serveur de Bind

#15 26-10-2023 15:22:05

Re : Migration de serveur de Bind

#16 26-10-2023 16:24:25

Re : Migration de serveur de Bind

#17 26-10-2023 18:50:52

Re : Migration de serveur de Bind

#18 26-10-2023 21:11:54

Re : Migration de serveur de Bind

Pied de page des forums