Daniel Allaire
788c5073dc
Role serveur_dns_public (secondaire public, transfert signe TSIG, aucune zone interne) ; serveur_powerdns exerce enfin autorite primaire-cache dans une instance pdns@public a part, pour que le site ne puisse jamais interroger la zone .internal. Relations derivees des plans des locataires, mots de flux dns_public_site et primaires_dns_locataires. Eprouve avant d ecrire : allow-axfr-ips et TSIG sont alternatifs, le primaire notifie aussi ses NS, le serial fige aurait gele le secondaire. P82 refuse l exposition sans DNSSEC. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
39 lines
1.7 KiB
Django/Jinja
39 lines
1.7 KiB
Django/Jinja
# GENERE par Set-OPS (role serveur_powerdns). Ne pas editer a la main.
|
|
#
|
|
# L'INSTANCE PUBLIQUE DU LOCATAIRE — `pdns@public`, primaire cache de ses zones publiques.
|
|
#
|
|
# Elle ne sert QUE les zones `autorite: primaire-cache`. La zone `.internal` reste a
|
|
# l'instance principale, sur la boucle locale : le serveur public du site peut interroger
|
|
# celle-ci, jamais celle-la.
|
|
#
|
|
# Une instance nommee ne lit pas `pdns.d/` : tout ce dont elle a besoin est dit ici.
|
|
launch=bind
|
|
bind-config={{ serveur_powerdns_public_bind_config }}
|
|
bind-dnssec-db={{ serveur_powerdns_public_dnssec_db }}
|
|
|
|
# LA SEULE INSTANCE QUI ECOUTE L'ADRESSE DE L'HOTE. Le pare-feu de la machine ne laisse
|
|
# frapper que le serveur public du site (flux `dns_public_site`).
|
|
local-address={{ ansible_host }}
|
|
local-port={{ serveur_powerdns_public_port }}
|
|
|
|
primary=yes
|
|
secondary=no
|
|
|
|
# LE TRANSFERT S'OUVRE A LA CLE, PAS A L'ADRESSE (eprouve le 2026-09-16).
|
|
#
|
|
# `allow-axfr-ips` et TSIG sont ALTERNATIFS : une adresse listee obtient la zone sans
|
|
# signature. Seule la boucle locale y figure — le serveur public du site n'y est jamais,
|
|
# et ne recoit la zone que signee par `TSIG-ALLOW-AXFR`.
|
|
disable-axfr=no
|
|
allow-axfr-ips=127.0.0.1/32
|
|
|
|
# NOTIFIER LE SEUL SERVEUR PUBLIC DU SITE (decouvert le 2026-09-16, dans les journaux).
|
|
#
|
|
# Par defaut, un primaire notifie AUSSI les adresses de ses enregistrements NS. Ici, ce
|
|
# sont les adresses PUBLIQUES des serveurs de noms : le primaire enverrait des
|
|
# notifications vers Internet depuis l'interieur du locataire. `only-notify` les borne.
|
|
only-notify={{ serveur_powerdns_dns_public_site }}/32
|
|
also-notify={{ serveur_powerdns_dns_public_site }}
|
|
|
|
version-string=anonymous
|
|
security-poll-suffix=
|