Daniel Allaire
c1d0d9b1a7
Un flux externe porte port (la machine) et port_public (l'Internet). Le devis emet la redirection et sa regle WAN, garde qu'elles aillent ensemble ; l'applicateur reconcilie d_nat et encode les champs imbriques. DNS public : WAN:53 -> site-dnspub-01:1053 (dnsdist). Plan lu : 4 objets a creer, rien d'autre ; pas encore applique. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
74 lines
3.1 KiB
YAML
74 lines
3.1 KiB
YAML
---
|
|
# Flux reseau du serveur DNS public du site. Voir docs/flux-conception.md.
|
|
#
|
|
# PHASE 2 (2026-09-16) : L'INTERNET ENTRE, ET SEULEMENT PAR LE FRONTAL. Declare APRES que
|
|
# toutes les zones sont signees DNSSEC (P82 le refuse sinon) et que dnsdist borne le debit.
|
|
flux:
|
|
# LE 53 PUBLIC. La frontiere redirige `WAN:53` (`port_public`) vers le frontal dnsdist
|
|
# (`port`, 1053) ; PowerDNS n'est jamais joint depuis dehors. Le 53 de la machine reste
|
|
# celui des primaires et du site.
|
|
- sens: ingress
|
|
port: 1053
|
|
port_public: 53
|
|
protocole: udp
|
|
pair: externe
|
|
chiffrement: clair
|
|
raison: >-
|
|
Les resolveurs de l'Internet interrogent les zones publiques des locataires du site. Les
|
|
reponses sont signees DNSSEC : leur integrite ne depend ni du transport, ni de nous.
|
|
- sens: ingress
|
|
port: 1053
|
|
port_public: 53
|
|
protocole: tcp
|
|
pair: externe
|
|
chiffrement: clair
|
|
raison: >-
|
|
Repli TCP : reponses tronquees par dnsdist (ANY, debit) et reponses signees trop grosses
|
|
pour l'UDP.
|
|
|
|
# LES NOTIFICATIONS DES PRIMAIRES. Un locataire previent le site qu'une zone a change ;
|
|
# le site tire alors la nouvelle version. Sans ce flux, la replique attendrait le
|
|
# rafraichissement du SOA — une heure de retard sur chaque changement.
|
|
- sens: ingress
|
|
port: 53
|
|
protocole: udp
|
|
pair: voisins_site
|
|
chiffrement: clair
|
|
raison: >-
|
|
NOTIFY des primaires des locataires du site : une zone publique a change. Le contenu
|
|
d'une zone publique n'a rien de secret ; ce qui compte est QUI peut le modifier, et
|
|
c'est TSIG qui le garde, sur le transfert.
|
|
- sens: ingress
|
|
port: 53
|
|
protocole: tcp
|
|
pair: voisins_site
|
|
chiffrement: clair
|
|
raison: "Repli TCP des notifications des primaires des locataires."
|
|
|
|
# LE TRANSFERT, TIRE PAR LE SITE. Le primaire d'un locataire n'accepte AUCUNE adresse :
|
|
# seule une requete signee par la cle de sa relation obtient la zone.
|
|
- sens: egress
|
|
port: 5300
|
|
protocole: tcp
|
|
pair: primaires_dns_locataires
|
|
chiffrement: clair
|
|
raison: >-
|
|
AXFR signe TSIG vers l'autoritatif de chaque locataire du site (5300 : il partage sa
|
|
machine avec le resolveur, qui tient le 53). La signature authentifie, elle ne
|
|
chiffre pas — et une zone publique n'a rien a cacher.
|
|
|
|
# LA QUESTION QUI PRECEDE LE TRANSFERT (mesure le 2026-09-16, en production).
|
|
#
|
|
# Avant de tirer une zone, un secondaire compare les serials : il demande le SOA au
|
|
# primaire, EN UDP. La premiere version ne declarait que le TCP du transfert. La frontiere
|
|
# laissait donc passer l'AXFR et jetait la question qui le declenche : aucune zone n'a
|
|
# jamais ete tiree toute seule. Un tirage force a la main passait, et aurait fait croire
|
|
# que tout marchait — le secondaire n'aurait vu aucun changement, jamais.
|
|
- sens: egress
|
|
port: 5300
|
|
protocole: udp
|
|
pair: primaires_dns_locataires
|
|
chiffrement: clair
|
|
raison: >-
|
|
SOA demande au primaire avant chaque transfert : c'est lui qui dit si la zone a change.
|
|
Sans lui, le secondaire garde sa premiere copie pour toujours.
|