Daniel Allaire
788c5073dc
Role serveur_dns_public (secondaire public, transfert signe TSIG, aucune zone interne) ; serveur_powerdns exerce enfin autorite primaire-cache dans une instance pdns@public a part, pour que le site ne puisse jamais interroger la zone .internal. Relations derivees des plans des locataires, mots de flux dns_public_site et primaires_dns_locataires. Eprouve avant d ecrire : allow-axfr-ips et TSIG sont alternatifs, le primaire notifie aussi ses NS, le serial fige aurait gele le secondaire. P82 refuse l exposition sans DNSSEC. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
61 lines
2.6 KiB
YAML
61 lines
2.6 KiB
YAML
---
|
|
# Flux réseau du DNS autoritatif interne (PowerDNS). Voir docs/flux-conception.md.
|
|
# LE PORT DE L'AUTORITATIF EST DÉRIVÉ DEPUIS LE 2026-08-24, et c'est pour ça qu'il est
|
|
# déclaré `derive` plutôt que `53` :
|
|
#
|
|
# seul sur son hôte -> 53 sur l'adresse du tenant
|
|
# partageant l'hôte avec le résolveur -> 5300 sur la loopback, derrière lui
|
|
#
|
|
# Le résolveur devient alors la seule porte, et personne n'interroge l'autoritatif
|
|
# directement. `verifier_ports` traite un port non numérique comme « pas une écoute fixe »
|
|
# — ce qui est exactement le cas : les deux services lient le port 53 mais sur des
|
|
# ADRESSES différentes, ce qu'une comparaison de ports seuls ne peut pas distinguer.
|
|
flux:
|
|
- sens: ingress
|
|
port: derive
|
|
protocole: udp
|
|
pair: flotte
|
|
chiffrement: clair
|
|
raison: "Zone souveraine. 53 seul sur son hôte, 5300 sur la loopback derrière le résolveur."
|
|
- sens: ingress
|
|
port: derive
|
|
protocole: tcp
|
|
pair: flotte
|
|
chiffrement: clair
|
|
raison: "Idem en TCP (réponses volumineuses, AXFR restreint par allow_axfr_ips)."
|
|
|
|
# L'autoritatif ne RÉCURSE pour personne — mais il doit résoudre POUR LUI-MÊME : `apt`,
|
|
# NTP, les certificats. Il est le seul hôte exempté de `client_resolveur` (PowerDNS occupe
|
|
# déjà son port 53), donc rien d'autre ne lui ouvre ce flux. Sans cette déclaration, la
|
|
# frontière jette ses requêtes et la machine ne peut même pas s'installer — mesuré le
|
|
# 2026-08-06, sur la VM qui devait justement servir de DNS au tenant.
|
|
- sens: egress
|
|
port: 53
|
|
protocole: udp
|
|
pair: externe
|
|
chiffrement: clair
|
|
raison: "Résolution sortante du serveur autoritatif POUR SES PROPRES besoins (apt, NTP) — il ne récurse pour aucun autre hôte."
|
|
- sens: egress
|
|
port: 53
|
|
protocole: tcp
|
|
pair: externe
|
|
chiffrement: clair
|
|
raison: "Repli TCP de la résolution sortante du serveur autoritatif (réponses dépassant la taille UDP)."
|
|
|
|
# LE SERVEUR PUBLIC DU SITE TIRE LES ZONES PUBLIQUES (2026-09-16).
|
|
#
|
|
# Sur l'instance `pdns@public` seulement, qui ne sert que les zones `primaire-cache`.
|
|
# UDP pour le SOA que le secondaire compare avant de tirer, TCP pour le transfert. La
|
|
# regle limite qui peut FRAPPER ; TSIG decide qui peut LIRE.
|
|
- sens: ingress
|
|
port: 5300
|
|
protocole: tcp
|
|
pair: dns_public_site
|
|
chiffrement: clair
|
|
raison: "AXFR signe TSIG par le serveur DNS public du site, vers l'instance publique uniquement."
|
|
- sens: ingress
|
|
port: 5300
|
|
protocole: udp
|
|
pair: dns_public_site
|
|
chiffrement: clair
|
|
raison: "Interrogation du SOA par le secondaire du site avant chaque transfert."
|