Daniel Allaire
788c5073dc
Role serveur_dns_public (secondaire public, transfert signe TSIG, aucune zone interne) ; serveur_powerdns exerce enfin autorite primaire-cache dans une instance pdns@public a part, pour que le site ne puisse jamais interroger la zone .internal. Relations derivees des plans des locataires, mots de flux dns_public_site et primaires_dns_locataires. Eprouve avant d ecrire : allow-axfr-ips et TSIG sont alternatifs, le primaire notifie aussi ses NS, le serial fige aurait gele le secondaire. P82 refuse l exposition sans DNSSEC. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
38 lines
1.6 KiB
YAML
38 lines
1.6 KiB
YAML
---
|
|
# Flux reseau du serveur DNS public du site. Voir docs/flux-conception.md.
|
|
#
|
|
# PHASE 1 : AUCUN FLUX DEPUIS L'INTERNET. Le port 53 public viendra en phase 2, avec la
|
|
# redirection de la frontiere, APRES DNSSEC et la limitation de debit. Le declarer ici
|
|
# aujourd'hui ferait emettre au devis une regle sur le WAN — une exposition que personne
|
|
# n'aurait decidee.
|
|
flux:
|
|
# LES NOTIFICATIONS DES PRIMAIRES. Un locataire previent le site qu'une zone a change ;
|
|
# le site tire alors la nouvelle version. Sans ce flux, la replique attendrait le
|
|
# rafraichissement du SOA — une heure de retard sur chaque changement.
|
|
- sens: ingress
|
|
port: 53
|
|
protocole: udp
|
|
pair: voisins_site
|
|
chiffrement: clair
|
|
raison: >-
|
|
NOTIFY des primaires des locataires du site : une zone publique a change. Le contenu
|
|
d'une zone publique n'a rien de secret ; ce qui compte est QUI peut le modifier, et
|
|
c'est TSIG qui le garde, sur le transfert.
|
|
- sens: ingress
|
|
port: 53
|
|
protocole: tcp
|
|
pair: voisins_site
|
|
chiffrement: clair
|
|
raison: "Repli TCP des notifications des primaires des locataires."
|
|
|
|
# LE TRANSFERT, TIRE PAR LE SITE. Le primaire d'un locataire n'accepte AUCUNE adresse :
|
|
# seule une requete signee par la cle de sa relation obtient la zone.
|
|
- sens: egress
|
|
port: 5300
|
|
protocole: tcp
|
|
pair: primaires_dns_locataires
|
|
chiffrement: clair
|
|
raison: >-
|
|
AXFR signe TSIG vers l'autoritatif de chaque locataire du site (5300 : il partage sa
|
|
machine avec le resolveur, qui tient le 53). La signature authentifie, elle ne
|
|
chiffre pas — et une zone publique n'a rien a cacher.
|