38 lines
1.4 KiB
Text
38 lines
1.4 KiB
Text
|
# GÉNÉRÉ par Set-OPS (rôle serveur_resolveur). NE PAS éditer à la main.
|
||
|
|
server:
|
||
|
|
{% for a in serveur_resolveur_ecoutes %}
|
||
|
|
interface: {{ a }}
|
||
|
|
{% endfor %}
|
||
|
|
{% for r in serveur_resolveur_reseaux_autorises %}
|
||
|
|
access-control: {{ r }} allow
|
||
|
|
{% endfor %}
|
||
|
|
access-control: 127.0.0.0/8 allow
|
||
|
|
hide-identity: yes
|
||
|
|
hide-version: yes
|
||
|
|
prefetch: yes
|
||
|
|
do-ip6: no
|
||
|
|
# La zone souveraine n'est pas signée : on ne la soumet pas à la validation DNSSEC.
|
||
|
|
domain-insecure: "{{ serveur_resolveur_zone_interne }}"
|
||
|
|
# UNBOUND REFUSE D'INTERROGER UNE LOOPBACK PAR DÉFAUT (2026-08-24).
|
||
|
|
#
|
||
|
|
# `do-not-query-localhost` vaut `yes` d'origine — une protection contre les boucles.
|
||
|
|
# Or l'autoritatif de l'écosystème vit désormais SUR 127.0.0.1:5300, derrière ce
|
||
|
|
# résolveur. Sans cette ligne, toute la zone souveraine rend SERVFAIL.
|
||
|
|
#
|
||
|
|
# Et la panne était MASQUÉE : le plancher /etc/hosts répondait pour les noms de la
|
||
|
|
# flotte, si bien qu'un `getent hosts forge.genese.internal` semblait prouver que la
|
||
|
|
# résolution marchait. Seul un `dig` explicite l'a montrée.
|
||
|
|
do-not-query-localhost: no
|
||
|
|
|
||
|
|
stub-zone:
|
||
|
|
name: "{{ serveur_resolveur_zone_interne }}"
|
||
|
|
stub-addr: {{ serveur_resolveur_autoritatif }}@{{ serveur_resolveur_autoritatif_port }}
|
||
|
|
{% if serveur_resolveur_transitaires %}
|
||
|
|
|
||
|
|
forward-zone:
|
||
|
|
name: "."
|
||
|
|
{% for f in serveur_resolveur_transitaires %}
|
||
|
|
forward-addr: {{ f }}
|
||
|
|
{% endfor %}
|
||
|
|
{% endif %}
|