Encodage des records DS pour un domaine

- Les champs DS ne sont pas repris dans le formulaire d'ajout de record DNS

Bonjour,

A moins que vous n'ayez votre propre serveur DNS, normalement vous ne devriez jamais devoir gérer des DS records.

Je vous suggère de désactiver DNSSEC pour le moment.

Les sous-domaines sont effectivement gérés séparément par des serveurs Bind, et mon objectif est justement d'avoir le DNSSEC fonctionnels sur ces sous-domaines, donc la désactivation ne résoud pas mon problème.

Bonjour,

sauf erreur de ma part DNSSEC c'est pour le domaine complet ou rien, vous pouvez pas activer DNSSEC seulement pour un sous-domaine.

Cordialement, janus57

Non mais c'est pas le problème, j'ai activé DNSSEC sur mon domaine principal et il l'est sur le sous-domaine concervé. Je veux juste pouvoir encoder les Records DS dans le fichier de zone de mon domaine, et l'interface d'OVH ne me le permet pas.

Bonjour,

il va falloir être un peux plus explicite là car il y a un mélange de domaine / sous-domaine et c'est pas la même chose.

De plus vous avez quoi dans votre manager OVH ?

Cordialement, janus57

Je n'ai PAS le bouton pour encoder les DS records, tout simplement. Et j'aimerais simplement savoir comment on est supposé faire pour les encoder autrement. Auriez-vous des indications concernant cette procédure?

Bonjour,

réponse sans informations : non à part essayer l'API

Cordialement, janus57

Bonjour.

Autre réponse : pareil pour mon cas, je n'aui pas l'onglet DS records.
J'ai ouvert un ticket au support.

En effet, les DS records doivent être ajoutés sur le domaine parent.
Dans mon cas, le sous domaine en question est porté par un serveur DNS externe à OVH, et pour que le DNSSEC soit OK, il est bien nécessaire d'ajouter un enregistrement de type DS sur le domaine parent du sous domaine, domaine parent hébergé sur OVH.

Comment avez vous fait ?

Merci
Cdt.



Dans mon cas , le

Bonjour Aline,

Malheureusement je n'ai pas trouvé de solution à ce problème à l'heure actuelle, et ai du renoncer à l'encodage des DS.
J'espère que vous trouverez de votre côté.
Bonne recherche à vous!

Bonjour,

J'attends toujours un retour du support OVH, mais j'ai trouvé ceci :
https://api.ovh.com/console/#/domain/%7BserviceName%7D/dsRecord#POST
(authentification nécessaire avec le login/mdp du compte)

Il faut renseigner les informations de la clé publique a injecter dans le DC, à privilégier la KSK (flag 257).
Il me retourne par contre cette erreur :
Forbidden (403){ "message": "DomainDsUpdate is not permitted for this domain because dns is an ovh server" }

Je ne comprends pas l'erreur au vue des procédures, docs, screenshot que j'ai pu trouver.

ticket du support mis a jour.

Cdt.

Bonjour,

quel domaine ?

Cordialement, janus57

bonjour,

1fashion.frfashion.fr

Cdt

Bonjour,

Vos serveurs DNS étant chez OVH vous ne pouvez pas déclarer de clé DS.

D'ailleurs pourquoi vous souhaitez le faire exactement ?

Cordialement, janus57

Bonjour

Comme indiqué au dessus.
J'ai un sous domaine de 1fashion.fr.fashion.fr.
Ce sous domaine est porté par un Infoblox (serveur DNS) et j'ai des besoins de test de fonctionnalité DANE (mail). Le fonctionnement du DANE repose sur du DNSSEC, et le DNSSEC nécessite la création d'enregistrements DS pour être conforme.

J'ai tout de meme des bases en anglais, et j'ai bien compris ce qui était indiqué dans le resultat.
La question est pour quel raison ? est ce que la politique OVH a changé ? je trouve des docs, screenshot et procédure (notamment cloudfare) et une API.

Faut que l'on m'explique. Si je suis chez OVH, c'est que mon DNS est sur des serveurs OVH... logique. Et il y a une API, donc possible de e faire à priori
J'oubli peut être quelque chose, mais la je sèche

Cdt

Bonjour,

bah serveur DNS OVH === gestion DNS par OVH === OVH qui gère DNSSEC.

Vous ne pouvez pas vous amusez à signer un sous-domaine avec une clé DNSSEC différente de la clé du domaine parent, cela casse la chaine de validation (sauf si j'ai mal compris le principe de DNSSEC).

Cordialement, janus57

Bonjour janus,

Il y a je penses une incompréhension du DNSSEC.
le domaine ., le domaine .fr., le domaine 1fashion.fr.,fashion.fr., ont tous des clés privées/clés publiques différentes.
Pour "authentifié" le sous domaine, il faut renseigner le hash de sa clé publique (la KSK) sur le domaine parent, dans un enregistrement de type DS.
Voici un exemple de check :
https://1analyzer.verisignlabs.com/168.lab.aline-fashion.franalyzer.verisignlabs.com/168.lab.aline-fashion.fr

ou encore de manière plus visuel : https://dnsviz.net/d/168.lab.aline-fashion.fr/dnssec/

OVH gére le DNSSEC avec :
- creation des clé publique et privée (KSK, et ZSK)
- creation des enregistrement chiffré (RRSIG)
- ET demande de création auprès du registar .FR. de l'enregistrement DS du domaine en question.

Et a priori, meme si j'ai trouvé plusieurs docs, screesnshot et API, OVH n'accepte pas/plus l'ajout d'enregistrement DS pour des sous domaines...

Merci janus pour cet échange et votre démarche d'aide.

Cdt.