Re: Échec de résolutiond e www.renater.fr avec DNSSEC

On Mon, Mar 26, 2018 at 04:58:10PM +0200,
 Francois Lepérou <[email protected]> wrote 
 a message of 71 lines which said:

> > Second réflexe :  tester avec DNSviz
> > <http://dnsviz.net/d/renater.fr/Wrj-GQ/dnssec/>
> 
> Il y a beaucoup de rouge et de /!\

Oui (bien trop de clés donc réponse > 4 096 octets, si quelqu'un de
Renater est sur la liste, merci de me contacter) mais, en l'absence
d'un DS, cela ne devrait pas entrainer de problème (c'est sans doute
une zone où DNSSEC est en cours de test). Cela ressemble à une bogue
de BIND.

> Idem sur https://dnssec-debugger.verisignlabs.com/www.renater.fr

Pas le meilleur, celui-là. Plutôt DNSviz et Zonemaster.

> > Oulah, NXDOMAIN, ça ne peut _pas_ être un problème DNSSEC.
> 
> À moins que cela ne soit dû au fait que le serveur DNS récursif
> n'envoie rien au client, le test DNSSEC ayant échoué ?  Le
> « SERVFAIL » est le message de dig.

Ah, d'accord. Quel est le programme assez bête pour afficher NXDOMAIN
alors qu'il n'y a pas de NXDOMAIN ?