Re: Cache expiré, plus d' accès internet mais des services accessibles ?

On Wed, Apr 24, 2019 at 12:06:10PM +0200,
 Laurent Beunèche <[email protected]> wrote 
 a message of 208 lines which said:

> Le récursif, si le cache pour l'enregistrement demandé est expiré,
> va procéder à une requête récursive en commençant par les serveurs
> racines.

Plus exactement, en commençant par le "closest enclosure" connu. Si
les NS de .fr sont encore dans le cache, le résolveur n'ira pas à la
racine.

> La rareté du scénario m'orienterait vers une solution manuelle
> (incluse dans une procédure PRA...) qui, en cas d'incident de ce
> type, nous fasse paramétrer un forward-zone sur nos récursifs vers
> nos serveurs faisant autorité sur machin.fr

Cela me parait une solution raisonnable. Il faut juste bien être
conscient qu'elle ajoute du travail aux futurs sysadmins (par exemple,
en cas d'ajout d'un serveur à la zone machin.fr, il y aura un endroit
de plus à modifier) et qu'il faut donc documenter.

Pour le cas spécifique de la racine, il y a aussi
<https://www.bortzmeyer.org/7706.html>.

> Pourtant, il me semble bien qu'une configuration de ce type n'est
> pas une bonne idée et a des impacts sur la robustesse de notre archi
> dns.

Pas le choix. Soit on sous-traite (à la racine, à l'AFNIC, etc) et on
est alors dépendant des sous-traitants, soit on fait tout soi-même, et
ça fait davantage de travail.