DNSSEC für Subdomain

Ich verstehe die Frage nicht wirklich.

Eine Subdomain ist technisch betrachtet nur ein "Resource Record" innerhalb einer Domain (=Zone).
Wenn ich für "blabla.example.org" also eine DNSSEC-Signatur haben möchte, dann muss in der dazugehörigen Zone (example.org) ein entsprechender Key hinterlegt sein.

LiveConfig (bzw. BIND) signiert selbstverständlich auch alle Subdomains etc. innerhalb einer mit DNSSEC signierten Zone.

Viele Grüße

-Klaus Keppler

Zitat von Azoul

Ich habe eine Subdomain (blabla.example.com) unter "Mein Hosting" als eigene Domain angelegt und einen DNSSEC Key für diese Domain erstellt.

Ah ja. Es geht also um eine eigene Unter-Zone.
Voraussetzung ist, dass die übergeordnete Domain (example.org) DNSSEC-signiert ist.

In diesem Fall muss der DS-Record in der übergeordneten Zone hinterlegt werden.
In "example.org" stehen ja für "blabla.example.org" bereits mindestens zwei NS-Records. Da muss der DS-Record dazu. Den Hash und die Parameter für den DS-Records kann man sich im LiveConfig anzeigen lassen (bei der Anzeige der DNSSEC-Schlüssel im Tab "DS-RR").

Innerhalb einer LiveConfig-Umgebung macht das wenig Sinn. Als DNS-Server für die Sub-Zone wären ja die selben wie für die Zone selbst eingetragen.

Es dürfte einfacher sein, die gewünschte Subdomain bei der Hauptzone direkt anzulegen (also nur den A-Record). Beim anderen Vertrag, wo diese verwendet werden soll, wird die dann über "Domain hinzufügen" angelegt, dort aber "externe Nameserver" ausgewählt.

Zitat von kk

Es dürfte einfacher sein, die gewünschte Subdomain bei der Hauptzone direkt anzulegen (also nur den A-Record). Beim anderen Vertrag, wo diese verwendet werden soll, wird die dann über "Domain hinzufügen" angelegt, dort aber "externe Nameserver" ausgewählt.

Ok, konkretes Beispiel:

- Kunde hat Vertrag "web1", mit Domain "example.com". DNSSEC aktiv.
- Kunde bucht zweiten Vertrag. Getrennte Leistungen, getrennter Server - mit Subdomain "shop.example.com". Muss ja als Haupt-Domain hinterlegt werden.

Wenn die Domain "shop.example.com" nun als "extern" angelegt wird, kann ich ja nicht DNS-Einträge bei "example.com" anlegen, da die ja schon in der "shop.example.com" existieren, oder? ...

DS und NS-Records kann ich aber in LiveConfig -> Endkunde -> Domains nicht erstellen.

Zitat von antondollmaier

Wenn die Domain "shop.example.com" nun als "extern" angelegt wird, kann ich ja nicht DNS-Einträge bei "example.com" anlegen, da die ja schon in der "shop.example.com" existieren, oder? ...

Man kann im zweiten Vertrag (web2) nur keine Subdomains unterhalb von "shop.example.com" anlegen.

Das einfachste Vorgehen wäre wirklich so:
- Vertrag web2 anlegen, IP des Webspace herausfinden (z.B. "1.2.3.4").
- Vertrag web1 öffnen, dort eine Subdomain "shop.example.com" anlegen: kein Webspace, kein E-Mail, A-Record auf o.g. IP setzen (1.2.3.4). Wenn DNSSEC für "example.org" aktiv ist, wird diese Subdomain somit automatisch auch signiert.
- neue Domain "shop.example.org" anlegen, als Zielvertrag "web2" angeben, "externe DNS-Server" auswählen
- im Vertrag "web2" die Domain "shop.example.org" wie gewünscht konfigurieren...

Zitat

DS und NS-Records kann ich aber in LiveConfig -> Endkunde -> Domains nicht erstellen.

Hierfür besteht in 99,999% aller Fälle kein Bedarf, daher gibt es diese RR-Typen bislang dort nicht.

Viele Grüße

-Klaus Keppler

Zitat von kk

Das einfachste Vorgehen wäre wirklich so:
- Vertrag web2 anlegen, IP des Webspace herausfinden (z.B. "1.2.3.4").
- Vertrag web1 öffnen, dort eine Subdomain "shop.example.com" anlegen: kein Webspace, kein E-Mail, A-Record auf o.g. IP setzen (1.2.3.4). Wenn DNSSEC für "example.org" aktiv ist, wird diese Subdomain somit automatisch auch signiert.
- neue Domain "shop.example.org" anlegen, als Zielvertrag "web2" angeben, "externe DNS-Server" auswählen
- im Vertrag "web2" die Domain "shop.example.org" wie gewünscht konfigurieren...

Klappt - habe den Fehler auch gefunden: "ich dachte, es darf keine Domain(s) doppelt geben".

Mit dem zusätzlichen DNS-Eintrag für "*.shop.example.com" klappts auch mit Subdomains.

Wieder was gelernt - Danke!

NS-Records würden überwiegend zu unnötigen Support-Anfragen führen. Dennoch würde ich es begrüßen wenn dieses Feature pro Vertrag freigeschaltet werden könnte.

Man kann auch den NS Record weg lassen und für DNSSEC ein Eingabefeld für eine Domain bauen das entsprechende Records anlegt. Ohne dabei im NS getümmel etwas machen zu müssen.

NS-Records sind in ganz seltenen Fällen gewünscht, bspw wenn eine Sub-Zone auf externe NS delegiert werden soll. Dies sollte je Vertrag oder ggf. je Domain aktiviert werden können.