Re: quels serveurs pour des resolvers internes ?

On Tue, Sep 17, 2019 at 09:07:12AM +0200,
 Joel Marchand <[email protected]> wrote 
 a message of 27 lines which said:

> Quand j'étais jeune, dans la config de son BIND qui servait comme
> resolver DNS interne à son établissement, on mettait les root
> servers comme résolveurs externes.

Ouh là, ça devait être au millénaire précédent.

> Est-ce que la bonne pratique est toujours la même en 2019 ?

C'est surtout que cela ne marcherait pas, les serveurs de la racine
n'acceptent pas de récurser (ça se dit ?)

% dig @k.root-servers.net MX huma-num.fr
...
          Pas de ra (recursion available)
          vvvvv
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 8, ADDITIONAL: 11
...
;; WARNING: recursion requested but not available

C'est gentil, dig, de m'expliquer.

> ou il vaut mieux utiliser un service type 9.9.9.9 ?

Un résolveur public pose des gros soucis de confidentialité
<https://www.bortzmeyer.org/dns-resolveurs-publics.html>
<https://www.bortzmeyer.org/7626.html>. Il faut bien le choisir *et*
impérativement y accéder avec un canal sécurisé, *pas* en UDP (car,
dans ce cas, tout le monde sur le chemin pourrait lire et modifier les
requêtes).

Pour un établissement de taille raisonnable, le mieux est sans doute
d'avoir son propre résolveur
<https://www.bortzmeyer.org/dns-resolveurs-publics.html>. Il n'y a
guère de raison d'utiliser un résolveur public.

> ou alors existe-t-il un tel service 
> 	soit sur .fr (allo l'AFNIC ?)

Le seul résolveur public en .fr est le mien :-)
https://doh.bortzmeyer.fr/ En dépit de son nom, il marche aussi en
DNS-sur-TLS. Attention : projet expérimental, personnel, pas garanti,
pas documenté.

L'AFNIC est preneuse d'avis et d'opinions sur la question. Est-ce que
ça serait une bonne idée ?

> 	soit sur RENATER ?

Pas à ma connaissance.