# GENERE par Set-OPS (role serveur_dns_public). Ne pas editer a la main.
#
# LE SERVEUR DNS PUBLIC DU SITE — secondaire de toutes les zones publiques des locataires.
#
# `launch=bind` est deja declare par le paquet (pdns.d/bind.conf) : ne pas le redeclarer,
# PowerDNS refuserait « multiple backends 'bind' ». Ce fichier est lu APRES lui (ordre
# alphabetique), et son `bind-config` l'emporte.
bind-config={{ serveur_dns_public_bind_config }}
bind-dnssec-db={{ serveur_dns_public_dnssec_db }}

local-address={{ serveur_dns_public_ecoute }}
local-port={{ serveur_dns_public_port }}

# SECONDAIRE, ET RIEN D'AUTRE. Il recoit des repliques ; il n'est primaire de rien.
secondary=yes
primary=no

# IL NE REDONNE LES ZONES A PERSONNE. Le transfert sortant servira la replication vers le
# site pair, par le tunnel WireGuard — une phase ulterieure. D'ici la, fermé.
disable-axfr=yes

# LES NOTIFICATIONS NE VIENNENT QUE DES PRIMAIRES DECLARES. Un NOTIFY accepte de n'importe
# qui ferait tirer ce serveur vers le primaire a la demande de n'importe qui.
{% set _primaires = serveur_dns_public_relations | map(attribute='primaire') | unique | list %}
allow-notify-from={{ (_primaires | map('regex_replace', '$', '/32') | list | join(',')) if _primaires else '127.0.0.1/32' }}

# Ne rien dire de ce qui tourne ici. La version exacte est la premiere chose qu'un
# balayage demande.
version-string=anonymous

# AUCUN APPEL VERS LES SERVEURS DE L'EDITEUR. Par defaut, PowerDNS interroge un domaine de
# PowerDNS.COM pour savoir s'il a une mise a jour de securite : un serveur souverain qui
# appellerait un tiers a chaque demarrage. Les mises a jour viennent du cache du site.
security-poll-suffix=