Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 5 replies
  • Subscribers 2 subscribers
  • Views 17558 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

DNSSEC and Request Routing for internal DNS Zone

Albeck
Hi folks,

how is it, when I enable DNSSec validation on the UTM and have a request routing configured for my internal dns zone.

Does the lookups for the internal zone break if I switch it on, or does DNSSec only work on the configured dns resolvers (and not for the request routing)?

In the UTM help it is stated: 

Only correctly signed records will be accepted from signed zones.


If I get this right, then it will be fine if I switch it on, since my internal dns zone is not signed, therfore the UTM will also accept not signed dnsrecord responses. 

Hope it is like this, otherwise I will have to enable DNSec on my local zone first, I guess.

Thanks for clarification. [:)]


This thread was automatically locked due to age.
Parents
  • 0
    Hi Tobi,

    sorry that I didn't read your first post carefully..and a really big thank you for repoting back, because now I have to correct my statment about the broken security chain, when the first DNS Server is not DNSSEC enabled and therefore does not vailidate even if the DNS server, the request is forwarded to, is DNSSEC enabled. So this ist not true!

    I also had the "use root zones when forwarding fails" enabled and this was the culprit of why I always got a page loaded and with that a negativ result on dnssec-failed.org.

    So it seems like this, that the WIN DNS server does not get a reply to the request from the UTM (because of DNSEC validation on the UTM). It therefore seems for the WIN DNS server to fail. So the WIN DNS server uses the root zone without DNSSEC vaildation in my case (not enabled in 2008 R2) and got a reply back and the page loaded.

    So by disabling the "use root zone" I am also safe behind my UTM DNSSEC even if in WIN DNS it is disabled [[:)]]

    Now back to your problem:

    First I would try and clear DNS cache on UTM because of "bad cache hit" log (could it be, that you played a bit around with DNSEC an tried signing your zone and this got cached by the UTM? [:P] )
    Second, please make sure, that there is really no DNSSEC relatet record in your internal zone. (because of your provided log entires, it seems there is something still left, and also because a new configured zone is working correctly)
    Third, reload your internal zone in WIN DNS server and after that clear cache on UTM again.

    Hope this helps. Please keep me informed [[:)]]
Reply
  • 0
    Hi Tobi,

    sorry that I didn't read your first post carefully..and a really big thank you for repoting back, because now I have to correct my statment about the broken security chain, when the first DNS Server is not DNSSEC enabled and therefore does not vailidate even if the DNS server, the request is forwarded to, is DNSSEC enabled. So this ist not true!

    I also had the "use root zones when forwarding fails" enabled and this was the culprit of why I always got a page loaded and with that a negativ result on dnssec-failed.org.

    So it seems like this, that the WIN DNS server does not get a reply to the request from the UTM (because of DNSEC validation on the UTM). It therefore seems for the WIN DNS server to fail. So the WIN DNS server uses the root zone without DNSSEC vaildation in my case (not enabled in 2008 R2) and got a reply back and the page loaded.

    So by disabling the "use root zone" I am also safe behind my UTM DNSSEC even if in WIN DNS it is disabled [[:)]]

    Now back to your problem:

    First I would try and clear DNS cache on UTM because of "bad cache hit" log (could it be, that you played a bit around with DNSEC an tried signing your zone and this got cached by the UTM? [:P] )
    Second, please make sure, that there is really no DNSSEC relatet record in your internal zone. (because of your provided log entires, it seems there is something still left, and also because a new configured zone is working correctly)
    Third, reload your internal zone in WIN DNS server and after that clear cache on UTM again.

    Hope this helps. Please keep me informed [[:)]]
Children
No Data
Unfiltered HTML