Also die Migration hat ohne weitere Probleme geklappt. Die Keys wurden erfolgreich verschoben. In der named.conf.options steht allerdings noch
dnssec-secure-to-insecure yes;, laut dem Wiki Artikel sollte das aber entfernt werden?
Das prüfen des DNSSEC Status mit rndc dnssec -status <zone> hatte aber auch nach etwas Wartezeit nie omnipresent angezeigt. Da fing es dann langsam an, dass sämtliche Zonen (alle DNSSEC signiert) teilweise nicht mehr erreichbar waren. Im LiveConfig Log hab ich dann gesehen, dass er immer Fehler bei Domain Aktualisierungen geschmissen hat, bzgl. des DNS Templates. Beim erneuten Speichern des Templates wurde mir ein externer Nameserver als fehlerhaft markiert. In dem Servernamen stand etwas in Klammern, scheinbar mag LiveConfig 3 an dieser Stelle keine Sonderzeichen (mehr). Unter LC2 war das kein Problem. Bearbeiten konnte ich den Eintrag aber nicht mehr. Also Downgrade auf LC2 gemacht (Danke, dass das so einfach geht!!), Template/externen Server editiert und von sämtlichen Sonderzeichen befreit, Upgrade auf LC3 gemacht, noch mal gespeichert, hat funktioniert. Somit konnte ich zumindest die Domains wieder bearbeiten. Ich habe zwar immer noch den Fehler [ERR] Can't add domain to object log: invalid domain or DNS template immer mal wieder im Log, aber es scheint soweit alles zu funktionieren.
Danach gabs jede Menge Hickhack mit den Keys (durch mich verschuldet, nicht durch LiveConfig). Scheinbar hat sich an der Art wie man DNSSEC einrichtet in den letzten Jahren etwas geändert. Ich hatte beim Registrar immer den DNSKEY und den DS, welcher mir in LC2 angezeigt wurde, hinterlegt (musste man das nicht früher so machen?). Scheinbar macht man das nicht mehr, und der DNSKEY reicht. War ne lange Nacht 🙃 Jetzt scheint es sich aber langsam etwas zu beruhigen. Interessanterweise wird scheinbar immer noch ein Key mit Algo 7 genutzt, obwohl ich jetzt nur noch einen Key mit Algo 14 hinterlegt habe.
Eine Sache die ich aber noch nicht ganz verstanden habe: über rndc dnssec -status wird manchmal die policy "insecure" angezeigt und keine der in der Config definierten Policies. Hab ich da was kaputt gemacht, oder gibt es dafür einen anderen Grund? Das Log sagt dazu nichts.
Edit: das passiert, wenn man bei einer Zone DNSSEC deaktiviert, etwas wartet, dann wieder aktiviert und den Status mit rndc dnssec -status <zone> prüft. Da steht dann bei allen Keys Key has been removed from the zone und auch nach längerer Wartezeit ändert sich an dem zustand nichts. Auch wenn man einen neuen Key erstellt, wird der nicht sofort (nach dem speichern) unter /var/lib/bind/keys/ geschrieben. Mit einem stop von named und LC und einem starten von LC, wodurch named wieder mutgestartet wird, geht es dann wieder.
Nicht DNSSEC bezogen: Sämtliche lc* Dienste waren nach dem Upgrade im masked state. Sollte das so sein?
Fazit: Ich dachte Anfangs bei dem Upgrade sei etwas schiefgelaufen, aber ich war zu ungeduldig und hätte vielleicht bis Dienstag warten sollen, wenn der Upgrade Guide kommt 😅 Da ich aber nie Probleme bei LC Updates hatte, hatte ich erwartet/gehofft, dass es einfach durchläuft, so wie immer. Ich hatte aber nicht mit meinem fehlenden Wissen über DNSSEC gerechnet. Zu meiner Verteidigung: ich mache das nicht Professionell, eher als Hobby für das man wenig Zeit hat. Daher schätze ich LC so, da es für gewöhnlich ohne Probleme läuft. 😄
