Set-OPS-Public/roles/serveur_dns_public/README.md

# serveur_dns_public

> **Pour qui :** l'hébergeur qui publie les noms de ses locataires sur Internet.

**Le serveur DNS public du site.** Il est **secondaire** de toutes les zones publiques des
locataires qu'il héberge. Il ne porte aucune donnée à lui : le locataire écrit sa zone, le
site la sert.

## Le locataire écrit, le site sert

```
LOCATAIRE   infra-dns-01     primaire caché de chezlepro.ca  ─┐ NOTIFY
                             (autorite: primaire-cache)        │ AXFR signé TSIG, tiré par le site
SITE        site-dnspub-01   secondaire public  ◄──────────────┘
```

- **Le primaire reste chez le locataire.** Quand il part, il emporte sa zone, et le site
  n'a qu'à cesser d'être secondaire. Écrire les zones au site ferait de l'hébergeur la
  source des données du client.
- **La liste des zones se dérive** de tous les locataires du site, dans
  `scripts/site_inventaire.py`. Jamais une liste tenue à la main.
- **Uniquement `autorite: primaire-cache`.** Le rôle refuse une zone `.internal` : ce
  serveur répond à Internet.

## Ce que l'épreuve de l'outil a appris (2026-09-16, PowerDNS 4.9.17)

Deux instances jetables, sept vérifications, avant d'écrire une ligne de ce rôle.

| Constat | Ce que le rôle en fait |
|---|---|
| **`allow-axfr-ips` et TSIG sont alternatifs, pas cumulatifs** : une adresse listée obtient la zone *sans signature* | le primaire n'autorise **aucune** adresse ; seule la clé ouvre le transfert |
| `allow-axfr-ips` autorise la boucle locale **par défaut** | un test négatif depuis la boucle locale n'en est pas un |
| le backend `bind` seul ne stocke **aucune** métadonnée | `bind-dnssec-db` porte les clés TSIG |
| la syntaxe exige `masters { ip:port; };` | sans accolades, **tout** le fichier est refusé |
| le primaire notifie **aussi les adresses de ses NS** | le primaire restreint ses notifications au seul serveur public du site |

## Durcissement

- **Secondaire seulement** : `secondary=yes`, `primary=no`.
- **Aucun transfert sortant** en phase 1 (`disable-axfr=yes`). La réplication vers le
  site pair passera par le tunnel WireGuard, plus tard.
- **Notifications acceptées des seuls primaires déclarés.**
- **`version-string=anonymous`** : la version est la première chose qu'un balayage demande.
- **`security-poll-suffix=`** vide : PowerDNS interroge par défaut un domaine de l'éditeur
  à chaque démarrage. Un serveur souverain n'appelle pas un tiers.
- **Pas de récursion** : PowerDNS Authoritative ne récurse pas — vérifié, il répond
  `REFUSED`.

## Ce que la phase 1 n'expose pas

**Aucun flux depuis Internet.** Le port 53 public viendra en phase 2, par la redirection
de la frontière — et seulement après DNSSEC signé chez le locataire, CAA, et la limitation
de débit des réponses. Le déclarer aujourd'hui dans `meta/flux.yml` ferait émettre au
devis une règle sur le WAN que personne n'aurait décidée.

## Le frontal public : dnsdist (2026-09-16, phase 2)

L'Internet ne frappe jamais PowerDNS directement. `dnsdist` écoute
`<hôte>:serveur_dns_public_frontal_port` (1053) — la frontière y redirige son 53 public — et
relaie à PowerDNS, qui garde le 53 de la machine pour les NOTIFY des primaires et le site.

| Règle | Effet | Éprouvé |
|---|---|---|
| opcode ≠ QUERY | REFUSED (NOTIFY, UPDATE venus de dehors) | NOTIFY → REFUSED |
| AXFR / IXFR | REFUSED | « Transfer failed » |
| ANY en UDP | tronqué (RFC 8482) | `dig +notcp` → `tc` |
| débit UDP > 20 q/s par /24 (/48) | tronqué : le client légitime passe en TCP | rafale 300 → 70 réponses, 230 tronquées |
| débit TCP > 40 q/s par /24 (/48) | abandon | — |

Piège de mesure : `dig` envoie ANY **en TCP** par défaut. Sans `+notcp`, la règle semble
inopérante. La sonde `zones-publiques` interroge **par le frontal** : c'est le chemin de
l'Internet, et le seul qui voit PowerDNS et dnsdist ensemble.