Public DENIC mailinglist

[Stefan Paletta <sp-denic-public-l AT WRonline.de>]

Guten Morgen Sabine, liebe Liste,

Sabine Dolderer/Denic wrote/schrieb/scribsit:
> > Es kommt noch viel herber:
> > ; <<>> DiG 2.2 <<>> @beer.pilsnet.sunet.se version.bind CHAOS TXT +norec
> > VERSION.BIND.   0       TXT     "4.9.6-REL"
[...]
> wobei Sie die IP in aller Regel da als Glue-Record in der SE-Zone 
> enthalten von dort bekommen. Sie sollten also die SE-Zone auf die 
> Versionskorrektheit testen.

Ich habe in einer anderen Mail schon erlaeutert dass die additional
section Information der root-server ueber die IP Adresse von z.B.
sunic.sunet.se schnell (sogar provozierbar) ablaeuft.

Eine genaue Analyse moeglicher Angriffsszenarien und Erfolgschancen
ist auf dieser Liste gewiss OT, waere aber sicher interessant.

> > ; <<>> DiG 2.2 <<>> @dns.denic.de ns.wronline.de A +norec
> > verletzt die Anforderungen von RFC2181, Abschitt 5.5.

[RFC1033]

In RFC1033 finde ich ueberhaupt keine Anmerkung zu dem Thema.
RFC1035 erklaert, und dies erwaeht auch RFC2181, dass beim AXFR
der SOA RR erster und letzer RR in der Antwort ist.

Ich habe mir sagen lassen dass das von mir angesprochene Verhalten
sich in BIND9.1 geaendert hat und der A RR nicht mehr doppelt in der
Antwort vorkommt.

> > Wann wird das Denic auf ihren Nameservern nicht mehr Software
> > einsetzen, von der sich selbst der Hersteller wegen ihrer Fehler und
> > Geschichte voller Sicherheitskatastrophen distanziert?
> 
> ??? Ich habe wirklich keine Lust, dies auf eine Liste zu diskutieren, 
> stehe aber privat gerne zur Verfügung.

Ich muss das kurz erklaeren: Paul Vixie hat sich oeffentlich vom BIND8
Code distanziert, wie er es praktisch schon Jahre vorher bei BIND4
getan hat. Ohne dass ich zu polemisch werden will, und ich hoffe dass
ich unrecht behalte, aber wann wird sich Vixie auch vom BIND9 Code
distanzieren?

> Wir können ja wohl schlecht auf unterschiedlichen Servern unterschiedliche 
> Zonen fahren

Hmm? Das ist doch in dem Zeitfenster in dem die secondaries ueber das
langsame Zonentransferprotokoll die de-Zone ziehen sowieso der Fall.

> Partner im Ausland nicht arbeiten können. Aber die Umstellung auf ein 
> weltweit selbst gemanagtes Servernetz dauert.

Und ich schrieb dass ich das insgesamt sehr positiv bewerte. Ein
kurzer Blick durch andere ccTLDs zeigt, dass die de-ccTLD was ein
eigenes und zuverlaessiges Netz von secondaries als groesste ccTLD
fuehrend ist. Wer ist schon erpicht darauf, secondary fuer die de-Zone
zu machen? ;-)

Stefan

Reply-To / Mail-Followup-To gesetzt.

-- 
 junior guru                                                  SMP@IRC