# Document 5 : Opération DNS Fédérée
## L'Alliance Boréale

**Version :** 1.0  
**Date :** 23 octobre 2025  
**Statut :** DRAFT - Validation requise par Cercle Technique  
**Prérequis :** `nomenclature_v2.md` (nommage et adressage)  
**Auteur :** Claude (profils #4 Architecte Réseau, #10 Auditeur Sécurité)  
**Licence :** CC-BY-SA 4.0

---

## Table des Matières

1. [Introduction](#1-introduction)
2. [Principes de la Fédération DNS](#2-principes-de-la-fédération-dns)
3. [Architecture DNS Distribuée](#3-architecture-dns-distribuée)
4. [Standards Techniques Obligatoires](#4-standards-techniques-obligatoires)
5. [Processus de Délégation de Zones](#5-processus-de-délégation-de-zones)
6. [Niveaux de Service DNS](#6-niveaux-de-service-dns)
7. [Sécurité et Gestion des Incidents](#7-sécurité-et-gestion-des-incidents)
8. [Monitoring et Outils Mutualisés](#8-monitoring-et-outils-mutualisés)
9. [Retrait et Transition](#9-retrait-et-transition)
10. [Annexes](#10-annexes)

---

## 1. Introduction

### 1.1 Objectif de ce Document

Ce document définit **comment les membres de L'Alliance Boréale opèrent et fédèrent leur infrastructure DNS**. Il couvre :
- Les relations primaire/secondaire entre membres
- Les standards techniques (AXFR, DNSSEC, TSIG)
- Les processus de délégation de zones
- La gestion collective des incidents DNS

### 1.2 Prérequis

**Ce document s'appuie sur `nomenclature_v2.md`** pour :
- Nommage des serveurs DNS (`dns-master.infra.<membre>.alliance-boreale.ca`)
- Plan d'adressage IP (10.0.2.0/24 pour DNS)
- Structure des zones DNS fédérées

**Lecture obligatoire** : `nomenclature_v2.md` avant de procéder.

### 1.3 Portée

Ce document s'applique à **tous les membres actifs** de L'Alliance Boréale. Les membres en probation peuvent l'appliquer partiellement (DNSSEC optionnel).

### 1.4 Alignement avec les Valeurs

**Autonomie :** Chaque membre gère ses zones de manière souveraine.  
**Résilience :** DNS secondaires mutuels entre pairs.  
**Standards ouverts :** RFCs DNS, DNSSEC, protocoles documentés.  
**Subsidiarité :** L'Alliance n'intervient que pour coordination minimale.

---

## 2. Principes de la Fédération DNS

### 2.1 Autonomie Locale

**Chaque membre est autoritaire pour ses propres zones.**

```
czp.alliance-boreale.ca    → Géré par Chezlepro
nul.alliance-boreale.ca    → Géré par Nuage Libre
tli.alliance-boreale.ca    → Géré par TechnoLibre
```

L'Alliance ne contrôle **aucun contenu** des zones membres. Elle coordonne uniquement :
- Délégation depuis la zone parent (`alliance-boreale.ca`)
- Standards techniques minimums (DNSSEC, AXFR)

### 2.2 Résilience par la Redondance

**Minimum 2 serveurs DNS par membre.**

Configuration type :
```
ns1.czp.alliance-boreale.ca  → DNS Primaire (VMID 02001)
ns2.czp.alliance-boreale.ca  → DNS Secondaire (VMID 02002)
```

**Optionnel mais recommandé :** DNS secondaire croisé avec un autre membre.

Exemple :
```
czp.alliance-boreale.ca:
  - ns1.czp.alliance-boreale.ca (primaire)
  - ns2.czp.alliance-boreale.ca (secondaire local)
  - ns1.nul.alliance-boreale.ca (secondaire croisé)
```

**Avantages :**
- Résilience accrue (3 sites distincts)
- Solidarité technique entre membres
- Détection rapide de pannes (monitoring mutuel)

### 2.3 Standards Ouverts

**L'Alliance privilégie exclusivement les standards RFC.**

- RFC 1034/1035 : DNS de base
- RFC 2136 : DNS UPDATE (optionnel)
- RFC 4033-4035 : DNSSEC
- RFC 5936 : AXFR
- RFC 8945 : TSIG (authentification)

**Aucune extension propriétaire** ne doit être requise pour interopérer.

### 2.4 Confiance Vérifiable

**DNSSEC est obligatoire pour les zones critiques.**

**Zones critiques :**
- Zone racine membre (`czp.alliance-boreale.ca`)
- Services d'infrastructure (`*.infra.czp.alliance-boreale.ca`)
- Email (domaines avec enregistrements MX)

**Zones optionnelles :**
- Zones tenants (décision du membre)
- Environnements dev/staging

**Vérification :** DNSViz.net doit afficher une chaîne DNSSEC valide.

---

## 3. Architecture DNS Distribuée

### 3.1 Vue d'Ensemble

```
┌─────────────────────────────────────────────────────────────┐
│ alliance-boreale.ca (Zone Parent)                          │
│ Géré par: Cercle Opérationnel                              │
│ Serveurs: ns1/ns2/ns3.alliance-boreale.ca                  │
└────────────┬────────────────────────────────────────────────┘
             │
             │ Délégations NS
             │
     ┌───────┴────────┬─────────────┬──────────────┐
     │                │             │              │
┌────▼─────┐    ┌────▼─────┐  ┌───▼──────┐  ┌───▼──────┐
│ czp      │    │ nul      │  │ tli      │  │ autres   │
│ Zone     │    │ Zone     │  │ Zone     │  │ membres  │
└──────────┘    └──────────┘  └──────────┘  └──────────┘
```

### 3.2 Serveurs DNS Autoritaires

**Minimum requis : 2 serveurs**

**Configuration type (membre Chezlepro) :**

| Serveur | VMID | IP Interne | IP Publique | Rôle |
|---------|------|------------|-------------|------|
| ns1.czp.alliance-boreale.ca | 02001 | 10.0.2.10 | 198.51.100.10 | Primaire (MASTER) |
| ns2.czp.alliance-boreale.ca | 02002 | 10.0.2.11 | 198.51.100.11 | Secondaire (SLAVE) |

**Recommandé : 3 serveurs (avec secondaire croisé)**

| Serveur | Localisation | Rôle |
|---------|--------------|------|
| ns1.czp.alliance-boreale.ca | Datacenter Chezlepro | MASTER |
| ns2.czp.alliance-boreale.ca | Datacenter Chezlepro | SLAVE |
| ns1.nul.alliance-boreale.ca | Datacenter Nuage Libre | SLAVE (croisé) |

### 3.3 Relations Primaire/Secondaire

**Architecture recommandée : Hub & Spoke modifié**

```
Membre A (czp)
  ├─ ns1.czp (MASTER)
  ├─ ns2.czp (SLAVE local)
  └─ ns1.nul (SLAVE croisé) ← AXFR depuis ns1.czp

Membre B (nul)
  ├─ ns1.nul (MASTER)
  ├─ ns2.nul (SLAVE local)
  └─ ns1.tli (SLAVE croisé) ← AXFR depuis ns1.nul

Membre C (tli)
  ├─ ns1.tli (MASTER)
  ├─ ns2.tli (SLAVE local)
  └─ ns1.czp (SLAVE croisé) ← AXFR depuis ns1.tli
```

**Avantages :**
- Topologie en triangle (pas de point unique de défaillance)
- Charge répartie (pas de "hub" central)
- Latence réduite (géographiquement distribué)

### 3.4 Stratégies de Délégation de Zones

**Principe : Délégation minimale nécessaire**

**Zone parent (`alliance-boreale.ca`) :**
```
; Délégation zone membre Chezlepro
czp    NS    ns1.czp.alliance-boreale.ca.
czp    NS    ns2.czp.alliance-boreale.ca.
czp    NS    ns1.nul.alliance-boreale.ca.  ; Secondaire croisé

ns1.czp    A    198.51.100.10
ns2.czp    A    198.51.100.11
ns1.nul    A    198.51.100.20  ; IP publique Nuage Libre
```

**Zone membre (`czp.alliance-boreale.ca`) :**
```
$ORIGIN czp.alliance-boreale.ca.

; SOA et NS
@    SOA    ns1.czp.alliance-boreale.ca. admin.czp.alliance-boreale.ca. (
    2025102301  ; Serial
    3600        ; Refresh
    1800        ; Retry
    1209600     ; Expire
    3600        ; Minimum TTL
)

@    NS    ns1.czp.alliance-boreale.ca.
@    NS    ns2.czp.alliance-boreale.ca.
@    NS    ns1.nul.alliance-boreale.ca.

; Sous-délégation infrastructure
infra    NS    ns1.czp.alliance-boreale.ca.
infra    NS    ns2.czp.alliance-boreale.ca.
```

**Pas de délégation récursive excessive.** Si un membre a besoin de sous-zones complexes, il les gère en interne (pas de nouvelle délégation depuis la zone parent).

---

## 4. Standards Techniques Obligatoires

### 4.1 Logiciel DNS Recommandé

**Primaire : PowerDNS Authoritative Server**

**Pourquoi PowerDNS ?**
- Open source (GPLv2)
- Backend SQL (PostgreSQL/MySQL) → auditable
- DNSSEC natif
- API REST (automatisation)
- Support AXFR/NOTIFY robuste

**Alternatives acceptées :**
- BIND9 (si configuration validée par pair)
- NSD (si DNSSEC géré manuellement)
- Knot DNS

**Inacceptable :**
- DNS Windows Server (non open source)
- Solutions cloud propriétaires sans AXFR (Route53, Cloudflare seul)

### 4.2 DNSSEC Obligatoire

**Pour qui ?**
- Membres actifs : **Obligatoire** pour zones critiques
- Membres en probation : **Recommandé** (optionnel pendant probation)

**Configuration minimale :**

```bash
# Générer clés DNSSEC (PowerDNS)
pdnsutil secure-zone czp.alliance-boreale.ca
pdnsutil rectify-zone czp.alliance-boreale.ca

# Vérifier
pdnsutil check-zone czp.alliance-boreale.ca
```

**DS Records :**
Le membre doit fournir ses DS records au Cercle Opérationnel pour insertion dans la zone parent.

**Commande d'export :**
```bash
pdnsutil show-zone czp.alliance-boreale.ca | grep DS
```

**Validation publique :**
```bash
dig +dnssec czp.alliance-boreale.ca @8.8.8.8
# Doit afficher: flags: ad (Authenticated Data)
```

**Outil de validation :** DNSViz.net

### 4.3 AXFR Sécurisé

**AXFR = Transfert de zone complet depuis primaire vers secondaires.**

**Sécurité obligatoire :**
1. **ACL strictes** : Liste blanche des IPs autorisées
2. **TSIG** : Authentification cryptographique (recommandé)

#### Configuration AXFR avec ACL (PowerDNS)

**Sur le MASTER (ns1.czp) :**

```sql
-- Table domainmetadata
INSERT INTO domainmetadata (domain_id, kind, content)
VALUES (
  (SELECT id FROM domains WHERE name='czp.alliance-boreale.ca'),
  'ALLOW-AXFR-FROM',
  '10.0.2.11'  -- ns2.czp (secondaire local)
);

INSERT INTO domainmetadata (domain_id, kind, content)
VALUES (
  (SELECT id FROM domains WHERE name='czp.alliance-boreale.ca'),
  'ALLOW-AXFR-FROM',
  '198.51.100.20'  -- ns1.nul (secondaire croisé)
);
```

**Sur le SLAVE (ns2.czp ou ns1.nul) :**

```conf
# /etc/powerdns/pdns.conf
slave=yes
superslave=no
```

**Test AXFR :**
```bash
dig @ns1.czp.alliance-boreale.ca czp.alliance-boreale.ca AXFR
# Doit retourner toute la zone
```

#### Configuration AXFR avec TSIG (recommandé)

**Générer clé TSIG :**
```bash
tsig-keygen czp-nul-xfer > /etc/powerdns/tsig.key
```

**Contenu du fichier :**
```
key "czp-nul-xfer" {
    algorithm hmac-sha256;
    secret "Base64EncodedSecretHere==";
};
```

**Configuration MASTER (ns1.czp) :**
```sql
-- Ajouter TSIG key
INSERT INTO tsigkeys (name, algorithm, secret)
VALUES ('czp-nul-xfer', 'hmac-sha256', 'Base64EncodedSecretHere==');

-- Associer à la zone
INSERT INTO domainmetadata (domain_id, kind, content)
VALUES (
  (SELECT id FROM domains WHERE name='czp.alliance-boreale.ca'),
  'TSIG-ALLOW-AXFR',
  'czp-nul-xfer'
);
```

**Configuration SLAVE (ns1.nul) :**
```conf
# /etc/powerdns/pdns.conf (ajouter)
include-dir=/etc/powerdns/tsig.d

# /etc/powerdns/tsig.d/czp.conf
zone "czp.alliance-boreale.ca" {
    type slave;
    masters { 198.51.100.10 key czp-nul-xfer; };
};
```

**Test AXFR avec TSIG :**
```bash
dig @ns1.czp.alliance-boreale.ca czp.alliance-boreale.ca AXFR -y hmac-sha256:czp-nul-xfer:Base64EncodedSecretHere==
```

### 4.4 Notifications (NOTIFY)

**RFC 1996 : DNS NOTIFY**

Quand la zone primaire change, elle envoie un NOTIFY aux secondaires pour déclencher AXFR immédiat.

**Configuration (PowerDNS) :**
```sql
-- Activer NOTIFY vers secondaires
INSERT INTO domainmetadata (domain_id, kind, content)
VALUES (
  (SELECT id FROM domains WHERE name='czp.alliance-boreale.ca'),
  'ALSO-NOTIFY',
  '10.0.2.11'  -- ns2.czp
);

INSERT INTO domainmetadata (domain_id, kind, content)
VALUES (
  (SELECT id FROM domains WHERE name='czp.alliance-boreale.ca'),
  'ALSO-NOTIFY',
  '198.51.100.20'  -- ns1.nul (secondaire croisé)
);
```

**Vérification :**
```bash
# Modifier un enregistrement sur MASTER
# Vérifier logs SLAVE pour "NOTIFY received"
tail -f /var/log/pdns.log | grep NOTIFY
```

### 4.5 TTL Raisonnables

**Équilibre cache / réactivité**

**Recommandations :**

| Type d'enregistrement | TTL Recommandé | Rationale |
|----------------------|----------------|-----------|
| SOA (minimum)        | 3600s (1h)     | Cache raisonnable |
| NS                   | 86400s (24h)   | Changent rarement |
| A/AAAA (services)    | 3600s (1h)     | Migration possible |
| A/AAAA (infra critique) | 1800s (30min) | Réactivité incidents |
| MX                   | 3600s (1h)     | Standard email |
| TXT (SPF, DKIM)      | 3600s (1h)     | Changent occasionnellement |
| CNAME                | 3600s (1h)     | Flexibilité |

**À éviter :**
- TTL < 300s (5min) : Charge excessive sur DNS
- TTL > 86400s (24h) pour services : Lenteur migration/incident

**Exception :** Pendant migration planifiée, réduire temporairement TTL à 300s, puis revenir à 3600s après.

---

## 5. Processus de Délégation de Zones

### 5.1 Demande de Délégation

**Qui ?** Nouveau membre en onboarding (semaines 3-4)

**Prérequis :**
1. ✅ Serveurs DNS configurés (ns1, ns2)
2. ✅ Zone membre créée localement
3. ✅ AXFR fonctionnel entre ns1 et ns2
4. ✅ IPs publiques stables et documentées
5. ✅ (Optionnel) DNSSEC activé et DS records disponibles

**Procédure :**

1. **Soumettre demande via Matrix (#technique)**

Template :
```
Demande de délégation DNS
===========================
Membre : Chezlepro (czp)
Zone demandée : czp.alliance-boreale.ca
Parrain : Nuage Libre (nul)

Serveurs NS :
- ns1.czp.alliance-boreale.ca (198.51.100.10)
- ns2.czp.alliance-boreale.ca (198.51.100.11)
- ns1.nul.alliance-boreale.ca (198.51.100.20) [secondaire croisé]

DNSSEC : Oui
DS Records : (joint en annexe)

Tests effectués :
✅ dig @ns1.czp.alliance-boreale.ca czp.alliance-boreale.ca SOA
✅ dig @ns2.czp.alliance-boreale.ca czp.alliance-boreale.ca SOA
✅ AXFR ns1 → ns2 fonctionnel
✅ DNSViz.net validé (si DNSSEC)

Délai souhaité : 2025-10-28
```

2. **Validation technique par un pair**

Un membre actif (idéalement le parrain) vérifie :
- [ ] Résolution SOA sur ns1 et ns2
- [ ] AXFR fonctionne
- [ ] DNSSEC valide (si activé)
- [ ] Pas de conflit de nommage

**Commandes de validation :**
```bash
# Test SOA
dig @198.51.100.10 czp.alliance-boreale.ca SOA +short

# Test AXFR
dig @198.51.100.10 czp.alliance-boreale.ca AXFR +short | wc -l

# Test DNSSEC
dig @198.51.100.10 czp.alliance-boreale.ca DNSKEY +dnssec

# Validation DNSViz (manuel)
# https://dnsviz.net/d/czp.alliance-boreale.ca/dnssec/
```

3. **Approbation Cercle Opérationnel**

Vote de consentement (asynchrone, Matrix ou réunion).

Critères :
- Validation technique OK
- Membre en règle (probation active)
- Pas d'objection motivée

**Délai** : 48-72h maximum

4. **Insertion dans zone parent**

Membre du Cercle Opérationnel (rotation) effectue :

```bash
# Éditer zone alliance-boreale.ca
pdnsutil edit-zone alliance-boreale.ca

# Ajouter délégation
czp    NS    ns1.czp.alliance-boreale.ca.
czp    NS    ns2.czp.alliance-boreale.ca.
czp    NS    ns1.nul.alliance-boreale.ca.

ns1.czp    A    198.51.100.10
ns2.czp    A    198.51.100.11

# Si DNSSEC activé, ajouter DS records
czp    DS    12345 13 2 (hash SHA256)

# Incrémenter serial SOA
pdnsutil increase-serial alliance-boreale.ca

# Vérifier
pdnsutil check-zone alliance-boreale.ca
```

5. **Notification et tests publics**

Post Matrix (#annonces) :
```
🎉 Nouvelle délégation DNS : czp.alliance-boreale.ca
Serveurs : ns1/ns2.czp.alliance-boreale.ca + ns1.nul (croisé)
DNSSEC : Activé ✅
Tests publics bienvenus !
```

**Tests publics (par tous) :**
```bash
# Depuis n'importe où sur Internet
dig czp.alliance-boreale.ca NS @8.8.8.8
dig mail.czp.alliance-boreale.ca A @8.8.8.8
dig +dnssec czp.alliance-boreale.ca @1.1.1.1
```

### 5.2 Enregistrement au Registraire

Une fois la délégation active, mettre à jour le fichier YAML du membre.

**Fichier : `registraire/membres/m001-chezlepro.yml`**

```yaml
dns:
  primary:
    - name: ns1.czp.alliance-boreale.ca
      ip: 198.51.100.10
      vmid: 02001
    - name: ns2.czp.alliance-boreale.ca
      ip: 198.51.100.11
      vmid: 02002
  secondary_cross:
    - name: ns1.nul.alliance-boreale.ca
      ip: 198.51.100.20
      member: nul
  zones_delegated:
    - czp.alliance-boreale.ca
  dnssec: true
  dnssec_ds_records:
    - "12345 13 2 ABC123..."
  last_delegation_date: "2025-10-28"
  validated_by: m002  # Parrain ou pair
```

### 5.3 Propagation et Tests

**Délai de propagation :** 24-48h (selon TTL des NS records parent)

**Tests progressifs :**

| Temps | Test | Commande |
|-------|------|----------|
| T+0 | Résolution depuis DNS autoritaires Alliance | `dig @ns1.alliance-boreale.ca czp.alliance-boreale.ca NS` |
| T+1h | Résolution depuis Google DNS | `dig @8.8.8.8 czp.alliance-boreale.ca NS` |
| T+24h | Résolution depuis Cloudflare | `dig @1.1.1.1 czp.alliance-boreale.ca NS` |
| T+48h | Validation DNSSEC globale | DNSViz.net |

---

## 6. Niveaux de Service DNS

### 6.1 Disponibilité Cible

**Membres actifs : ≥ 99.5% (uptime annuel)**

Calcul :
```
99.5% = 43.8 heures de downtime/an maximum
      = 3.65 heures/mois
      = ~50 minutes/semaine
```

**Mesure :** Monitoring Prometheus avec probe externe (Blackbox Exporter)

**Exclusions (downtime justifié) :**
- Maintenance planifiée (notifiée 48h à l'avance)
- Incident majeur hors contrôle (DDoS massif, panne datacenter)

### 6.2 Temps de Réponse Acceptable

**Requêtes DNS simples (A, AAAA, NS) :**
- Médiane : < 50ms
- P95 : < 100ms
- P99 : < 200ms

**Requêtes DNSSEC (avec validation) :**
- Médiane : < 100ms
- P95 : < 200ms
- P99 : < 500ms

**Mesure :** Prometheus `probe_duration_seconds` histogram

### 6.3 Maintenance Planifiée

**Notification requise : 48h minimum**

**Canaux de notification :**
1. Matrix #annonces
2. Status page (status.czp.alliance-boreale.ca)
3. Email liste membres (si critique)

**Template notification :**
```
🔧 Maintenance DNS planifiée

Membre : Chezlepro (czp)
Date : 2025-10-30 03:00-05:00 UTC
Durée estimée : 2 heures
Impact : Résolution DNS czp.alliance-boreale.ca
         (secondaires actifs : ns2.czp + ns1.nul)

Services affectés : ns1.czp.alliance-boreale.ca (MASTER)
Services maintenus : ns2.czp.alliance-boreale.ca (SLAVE)

Raison : Migration serveur physique
Contact : admin@chezlepro.tech
```

**Bonne pratique :**
- Planifier entre 2h-6h du matin (heure locale)
- Vérifier que secondaires sont opérationnels avant
- Monitoring actif pendant maintenance

### 6.4 Gestion des Incidents DNS

**Classification :**

| Priorité | Définition | SLA Réponse | SLA Résolution |
|----------|------------|-------------|----------------|
| P0 | Tous DNS down (zone inaccessible) | 15 min | 2 heures |
| P1 | DNS primaire down (secondaires OK) | 30 min | 4 heures |
| P2 | Lenteur résolution (>500ms) | 1 heure | 8 heures |
| P3 | Anomalie non critique | 4 heures | 24 heures |

**Procédure incident :**

1. **Détection**
   - Monitoring Prometheus (AlertManager)
   - Rapport Matrix (#incidents)
   - Signalement utilisateur

2. **Notification**
   - Post Matrix #incidents immédiat
   - Mention @dns-oncall si configuré
   - Update status page

3. **Investigation**
   - Logs DNS serveur : `tail -f /var/log/pdns.log`
   - Métriques Grafana
   - Tests externes : `dig`, `nslookup`

4. **Résolution**
   - Corriger ou basculer sur secondaire
   - Valider résolution publique
   - Post Matrix résolution

5. **Post-Mortem (si P0/P1, >1h downtime)**
   - Documenter cause racine
   - Corrective actions
   - Publier sur wiki (transparence)

**Template Post-Mortem :**
```markdown
# Post-Mortem : Panne DNS czp.alliance-boreale.ca

**Date :** 2025-10-25  
**Durée :** 1h30  
**Impact :** Résolution DNS czp.alliance-boreale.ca indisponible  
**Priorité :** P0

## Chronologie
- 14:23 UTC : Alerte Prometheus "DNS ns1.czp down"
- 14:25 UTC : Confirmation manuelle (dig timeout)
- 14:30 UTC : Basculement manuel vers ns2.czp
- 14:45 UTC : Identification cause (OOM serveur ns1)
- 15:20 UTC : Redémarrage ns1, AXFR sync OK
- 15:53 UTC : Retour normal, monitoring OK

## Cause Racine
Out-of-Memory sur ns1.czp (processus PowerDNS tué par OOM killer).
Cause : Fuite mémoire dans module expérimental (dnsdist).

## Impact
- Zone czp.alliance-boreale.ca inaccessible : 1h30
- Secondaire ns2.czp actif, mais non prioritaire dans délégation
- ~50% requêtes timeouts (clients avec cache OK)

## Actions Correctives
✅ Désactivation dnsdist (immédiat)
✅ Augmentation RAM VM ns1 : 2GB → 4GB
🔄 Configuration monitoring OOM (en cours)
🔄 Rééquilibrage priorité NS (ns2 en premier)

## Leçons Apprises
- Secondaires fonctionnent, mais délégation ordre NS critique
- Besoin alerte proactive RAM/CPU (pas juste down/up)

**Auteur :** admin@chezlepro.tech  
**Publié :** wiki.alliance-boreale.ca/postmortems/2025-10-25-dns-czp
```

---

## 7. Sécurité et Gestion des Incidents

### 7.1 Protection contre DDoS

**Couches de protection :**

1. **Firewall (iptables/nftables)**

```bash
# Limiter requêtes DNS/sec par IP source
iptables -A INPUT -p udp --dport 53 -m state --state NEW \
  -m recent --set --name dns_limit

iptables -A INPUT -p udp --dport 53 -m state --state NEW \
  -m recent --update --seconds 1 --hitcount 20 --name dns_limit \
  -j DROP
```

2. **Rate Limiting PowerDNS**

```ini
# /etc/powerdns/pdns.conf
max-queue-length=5000
max-tcp-clients=128
max-tcp-per-client=5

# Limiter réponses NXDOMAIN (cache poisoning)
max-cache-entries=1000000
negquery-cache-ttl=60
```

3. **Anycast (avancé, optionnel)**

Si plusieurs membres dans régions distinctes, anycast BGP pour distribuer charge.

**Note :** Complexe, recommandé seulement si >10 membres actifs.

### 7.2 Détection d'Anomalies

**Monitoring Prometheus : Métriques clés**

```yaml
# prometheus.yml (extrait)
- job_name: 'dns-czp'
  static_configs:
    - targets: ['198.51.100.10:9153']  # PowerDNS Exporter
  metric_relabel_configs:
    - source_labels: [__name__]
      regex: 'pdns_(up|queries_total|latency_seconds.*)'
      action: keep
```

**Alertes AlertManager :**

```yaml
groups:
- name: dns
  rules:
  - alert: DNSDown
    expr: probe_success{job="dns"} == 0
    for: 5m
    labels:
      severity: critical
    annotations:
      summary: "DNS {{ $labels.instance }} down"

  - alert: DNSSlowQueries
    expr: histogram_quantile(0.95, rate(pdns_latency_seconds_bucket[5m])) > 0.5
    for: 10m
    labels:
      severity: warning
    annotations:
      summary: "DNS {{ $labels.instance }} slow (P95 > 500ms)"

  - alert: DNSHighQueryRate
    expr: rate(pdns_queries_total[5m]) > 1000
    for: 5m
    labels:
      severity: warning
    annotations:
      summary: "DNS {{ $labels.instance }} high query rate (potential DDoS)"
```

### 7.3 Réponse à Incident

**Escalade :**

1. **Auto-détection (Prometheus) :** Post Matrix #incidents automatique
2. **Membre concerné** : Investigate (15-30 min)
3. **Si bloqué** : Demande support Matrix #support
4. **Si P0 non résolu <1h** : Escalade Cercle Opérationnel
5. **Si attaque coordonnée** : Communication collective (tous membres alertés)

**Communication pendant incident :**

✅ **Faire :**
- Updates régulières (toutes les 30 min si P0)
- Être transparent sur cause (même si embarrassant)
- Documenter actions prises

❌ **Éviter :**
- Silence prolongé (anxiété collective)
- Minimiser impact (crédibilité)
- Blâmer outils/tiers sans preuve

### 7.4 Post-Mortem Obligatoire

**Quand ?**
- Tout incident P0 (zone complètement down)
- Incident P1 > 1h (primaire down, même si secondaires OK)
- Incident sécurité (compromission, DDoS majeur)

**Délai :** 7 jours après résolution

**Publication :** Wiki public (transparence)

**Template :** Voir Section 6.4

---

## 8. Monitoring et Outils Mutualisés

### 8.1 Tableau de Bord Partagé

**Objectif :** Visibilité collective sur santé DNS de la fédération

**Outil recommandé :** Grafana mutualisé (hébergé par un membre volontaire)

**URL exemple :** `https://monitoring.alliance-boreale.ca/d/dns-federation`

**Panels :**

1. **Statut Membres (heatmap)**
   - Vert : DNS UP (100%)
   - Jaune : Dégradé (secondaires OK, primaire down)
   - Rouge : DOWN complet

2. **Latence Résolution (par membre)**
   - Graphe timeseries P50/P95/P99
   - Alerte visuelle si >200ms

3. **Volume Requêtes (stacked area)**
   - Requêtes/sec par membre
   - Détection pics anormaux

4. **DNSSEC Status**
   - Validation chain OK/KO
   - Expiration clés KSK/ZSK

**Source données :** Prometheus federation

### 8.2 Alerting Inter-Pairs

**Principe :** Un membre peut monitorer le DNS d'un autre (avec consentement)

**Configuration Prometheus (membre A monitore membre B) :**

```yaml
# prometheus.yml (membre A)
scrape_configs:
  - job_name: 'dns-czp-external'
    metrics_path: '/probe'
    params:
      module: [dns_soa]
      target: ['czp.alliance-boreale.ca']
    static_configs:
      - targets:
          - ns1.czp.alliance-boreale.ca
          - ns2.czp.alliance-boreale.ca
    relabel_configs:
      - source_labels: [__address__]
        target_label: __param_target
      - source_labels: [__param_target]
        target_label: instance
      - target_label: __address__
        replacement: 127.0.0.1:9115  # Blackbox Exporter local
```

**Alertes envoyées à membre concerné :**

```yaml
# alertmanager.yml
route:
  receiver: 'matrix'
  routes:
    - match:
        job: 'dns-czp-external'
      receiver: 'matrix-czp'
      continue: true

receivers:
  - name: 'matrix-czp'
    webhook_configs:
      - url: 'https://matrix.alliance-boreale.ca/webhook/czp-alerts'
```

### 8.3 Tests Automatisés (DNS Probes)

**Smokeping pour latence historique**

```bash
# Installation
apt install smokeping

# Configuration
++ DNS-czp
menu = DNS Chezlepro
title = Latence DNS czp.alliance-boreale.ca
probe = DNS
host = ns1.czp.alliance-boreale.ca

++ DNS-nul
menu = DNS Nuage Libre
title = Latence DNS nul.alliance-boreale.ca
probe = DNS
host = ns1.nul.alliance-boreale.ca
```

**Healthchecks.io (optionnel)**

Pour monitoring externe (hors infrastructure Alliance) :

```bash
# Cron job teste DNS toutes les 5 min
*/5 * * * * dig @ns1.czp.alliance-boreale.ca czp.alliance-boreale.ca SOA +short > /dev/null && curl -fsS -m 10 --retry 5 https://hc-ping.com/UUID-czp-dns
```

**DNSViz automatisé**

```bash
# Script hebdomadaire vérifie DNSSEC
#!/bin/bash
# /etc/cron.weekly/dnsviz-check

ZONE="czp.alliance-boreale.ca"
REPORT_URL="https://dnsviz.net/d/${ZONE}/dnssec/"

curl -s "$REPORT_URL" | grep -q "No errors"

if [ $? -eq 0 ]; then
  echo "✅ DNSSEC OK pour ${ZONE}"
else
  echo "❌ DNSSEC ERREUR pour ${ZONE}"
  # Notification Matrix
  curl -X POST https://matrix.alliance-boreale.ca/webhook/dns-alerts \
    -d "{\"zone\": \"${ZONE}\", \"status\": \"dnssec_error\", \"url\": \"${REPORT_URL}\"}"
fi
```

---

## 9. Retrait et Transition

### 9.1 Procédure de Retrait Propre

**Cas 1 : Retrait volontaire d'un membre**

**Étapes :**

1. **Notification préalable : 14 jours minimum**

   Post Matrix #annonces :
   ```
   📢 Notification de retrait

   Membre : Chezlepro (czp)
   Date effective : 2025-11-15
   Zone concernée : czp.alliance-boreale.ca

   Transition planifiée :
   - Délégation DNS maintenue jusqu'au 2025-11-15 23:59 UTC
   - Après cette date, zone supprimée de alliance-boreale.ca
   - Secondaires croisés désactivés

   Contact pour questions : admin@chezlepro.tech
   ```

2. **Migration des zones déléguées (si applicable)**

   Si d'autres membres utilisaient `*.czp.alliance-boreale.ca` :
   - Coordonner migration vers nouveau domaine
   - Délai suffisant (14 jours minimum)

3. **Désactivation progressive**

   | Jour | Action |
   |------|--------|
   | J-14 | Notification publique |
   | J-7  | Désactivation AXFR croisé vers autres membres |
   | J-3  | TTL réduits à 300s (préparation suppression) |
   | J-0  | Suppression enregistrements NS dans zone parent |
   | J+1  | Désactivation serveurs DNS membre |

4. **Nettoyage Registraire**

   ```yaml
   # registraire/membres/m001-chezlepro.yml
   status: withdrawn
   withdrawn_date: "2025-11-15"
   dns:
     status: deactivated
     last_active: "2025-11-15"
   ```

**Cas 2 : Retrait forcé (non-conformité grave)**

**Cas exceptionnels :**
- Compromission sécurité non résolue (>30 jours)
- Violation répétée standards techniques
- Indisponibilité prolongée (>99% downtime sur 3 mois)

**Procédure :**
1. Décision Cercle Éthique & Conformité (vote consentement)
2. Notification membre concerné (7 jours pour remédiation)
3. Si non-remédiation : Retrait forcé (délégation supprimée sous 48h)
4. Communication publique (transparence, mais sans humiliation)

### 9.2 Délais de Préavis

| Type de retrait | Préavis | Rationale |
|----------------|---------|-----------|
| Volontaire (membre actif) | 14 jours | Temps migration utilisateurs |
| Volontaire (membre probation) | 7 jours | Moins d'impact |
| Forcé (sécurité) | 48h | Urgence |
| Forcé (non-conformité) | 7 jours | Chance remédiation |

### 9.3 Archivage des Configurations

**Responsabilité : Membre sortant**

**À conserver (membre) :**
- Export complet zone DNS (AXFR dump)
- Configuration serveurs (PowerDNS, BIND)
- Clés DNSSEC (backup sécurisé)
- Logs incidents (6 derniers mois minimum)

**À fournir (Alliance) :**
- Post-mortem si applicable
- Documentation leçons apprises
- Playbooks Ansible (si contribués)

**Responsabilité : Alliance**

**À archiver (Registraire) :**
- Fiche membre (status: withdrawn)
- Historique labels
- Contributions (timebank, audits)
- Décisions liées au membre

**Rétention :** 5 ans (conformité juridique OBNL)

---

## 10. Annexes

### Annexe A : Checklist Onboarding DNS

**Pour nouveau membre :**

- [ ] Serveurs DNS installés (ns1, ns2 minimum)
- [ ] Zone créée localement (`[slug].alliance-boreale.ca`)
- [ ] SOA configuré (serial, refresh, retry, expire, minimum)
- [ ] NS records configurés
- [ ] AXFR fonctionnel ns1 → ns2
- [ ] IPs publiques stables et documentées
- [ ] Firewall configuré (port 53 UDP/TCP ouvert)
- [ ] (Optionnel) DNSSEC activé + DS records générés
- [ ] (Optionnel) TSIG configuré pour AXFR
- [ ] Tests résolution locale réussis
- [ ] Demande délégation soumise Matrix
- [ ] Validation technique par pair
- [ ] Délégation active dans zone parent
- [ ] Tests résolution publique réussis
- [ ] Enregistrement Registraire mis à jour

### Annexe B : Commandes de Diagnostic

**Test résolution depuis Internet :**
```bash
dig @8.8.8.8 czp.alliance-boreale.ca NS
dig @1.1.1.1 mail.czp.alliance-boreale.ca A
```

**Test AXFR (depuis serveur autorisé) :**
```bash
dig @ns1.czp.alliance-boreale.ca czp.alliance-boreale.ca AXFR
```

**Test DNSSEC :**
```bash
dig +dnssec @8.8.8.8 czp.alliance-boreale.ca SOA
delv @8.8.8.8 czp.alliance-boreale.ca SOA
```

**Vérification chaîne DNSSEC :**
```bash
drill -TD czp.alliance-boreale.ca @8.8.8.8
```

**Test latence :**
```bash
time dig @ns1.czp.alliance-boreale.ca czp.alliance-boreale.ca SOA +short
```

**Vérification propagation globale :**
```bash
# Tool: whatsmydns.net
# https://www.whatsmydns.net/#A/mail.czp.alliance-boreale.ca
```

### Annexe C : Configuration PowerDNS Référence

**Installation (Debian/Ubuntu) :**
```bash
apt update
apt install pdns-server pdns-backend-pgsql postgresql
```

**Configuration minimale (`/etc/powerdns/pdns.conf`) :**
```ini
launch=gpgsql
gpgsql-host=/var/run/postgresql
gpgsql-dbname=powerdns
gpgsql-user=pdns
gpgsql-password=SecurePasswordHere

local-address=0.0.0.0
local-port=53

master=yes
slave=yes

api=yes
api-key=SecureAPIKeyHere
webserver=yes
webserver-address=0.0.0.0
webserver-port=8081
webserver-allow-from=10.0.0.0/8

dnssec=yes
default-soa-content=ns1.@ admin.@ 0 3600 1800 1209600 3600

log-dns-queries=no
log-dns-details=yes
loglevel=4
```

**Création base de données :**
```bash
sudo -u postgres createdb powerdns
sudo -u postgres createuser pdns
sudo -u postgres psql powerdns < /usr/share/doc/pdns-backend-pgsql/schema.pgsql.sql
```

**Création zone :**
```bash
pdnsutil create-zone czp.alliance-boreale.ca
pdnsutil add-record czp.alliance-boreale.ca @ NS ns1.czp.alliance-boreale.ca
pdnsutil add-record czp.alliance-boreale.ca @ NS ns2.czp.alliance-boreale.ca
pdnsutil add-record czp.alliance-boreale.ca ns1 A 198.51.100.10
pdnsutil add-record czp.alliance-boreale.ca ns2 A 198.51.100.11
```

**Activation DNSSEC :**
```bash
pdnsutil secure-zone czp.alliance-boreale.ca
pdnsutil set-nsec3 czp.alliance-boreale.ca '1 0 10 ab' narrow
pdnsutil rectify-zone czp.alliance-boreale.ca
```

**Export DS records :**
```bash
pdnsutil show-zone czp.alliance-boreale.ca | grep DS
```

### Annexe D : Glossaire

| Terme | Définition |
|-------|------------|
| **AXFR** | Transfert complet de zone DNS depuis primaire vers secondaires |
| **DS Record** | Delegation Signer - Lie zone enfant DNSSEC à zone parent |
| **KSK** | Key Signing Key - Clé maître DNSSEC (signe ZSK) |
| **NOTIFY** | Notification envoyée par primaire aux secondaires lors de changement |
| **SOA** | Start of Authority - Enregistrement définissant zone autoritaire |
| **TSIG** | Transaction Signature - Authentification cryptographique AXFR |
| **ZSK** | Zone Signing Key - Clé DNSSEC qui signe les enregistrements |

### Annexe E : Références

**RFCs :**
- RFC 1034, 1035 : DNS (Domain Name System)
- RFC 1996 : DNS NOTIFY
- RFC 2136 : DNS UPDATE
- RFC 4033-4035 : DNSSEC
- RFC 5936 : AXFR
- RFC 8945 : TSIG

**Documentation PowerDNS :**
- https://doc.powerdns.com/authoritative/
- https://doc.powerdns.com/authoritative/dnssec/

**Outils de validation :**
- DNSViz : https://dnsviz.net
- Zonemaster : https://zonemaster.net
- IntoDNS : https://intodns.com

**Monitoring :**
- PowerDNS Exporter : https://github.com/janeczku/powerdns_exporter
- Blackbox Exporter : https://github.com/prometheus/blackbox_exporter

---

## MÉTADONNÉES

**Document :** 05_Operation_DNS_Federee.md  
**Version :** 1.0  
**Date de création :** 23 octobre 2025  
**Auteur :** Claude (profils #4 Architecte Réseau, #10 Auditeur Sécurité)  
**Révision par :** Cercle Technique  
**Statut :** DRAFT - À valider  
**Longueur :** ~10 000 mots (20 pages)  
**Licence :** CC BY-SA 4.0

**Sources utilisées :**
- `00_Glossaire_et_Definitions.md` (AXFR, DNSSEC, DNS autoritaire)
- `nomenclature_v2.md` (nommage serveurs DNS, adressage IP)
- `devis_alliance_boreale_v2.md` (structure Document 5)
- `08_Processus_Onboarding_Membres.md` (critères DNS onboarding)
- `01_Charte_Fondatrice_v2_1.md` (Couche 2, valeurs)

**Prochaine révision prévue :** Avril 2026 (après 6 mois d'opération)

---

**Changelog :**
- 2025-10-23 v1.0 : Création initiale Document 5 (Option B)

---

**FIN DE L'OPÉRATION DNS FÉDÉRÉE**

*"Chaque membre gère ses propres zones. Ensemble, nous assurons leur résilience."*

🌲 **L'Alliance Boréale**  
*DNS fédéré, autonomie locale, résilience collective.*