V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
工单节点使用指南
• 请用平和的语言准确描述你所遇到的问题
• 厂商的技术支持和你一样也是有喜怒哀乐的普通人类,尊重是相互的
• 如果是关于 V2EX 本身的问题反馈,请使用 反馈 节点
Love4Taylor
V2EX  ›  全球工单系统

DNSPod 权威服务器的 DNSSEC 有问题

  •  
  •   Love4Taylor · 2022-05-10 23:18:49 +08:00 · 1392 次点击
    这是一个创建于 914 天前的主题,其中的信息可能已经有所发展或是发生改变。
    之前我在申请 Google SSL 证书的时候 ACME 遇到了 SERVFAIL 错误,只要开了 DNSSEC 就会 CAA SERVFAIL ,哪怕其实并没有配置 CAA 记录。经过查询有同样的案例,今天 Google 方面也回应了,问题在于 DNSPod 的权威服务器:

    https://issuetracker.google.com/issues/227690397

    @johnjiang85
    8 条回复    2022-05-11 22:52:38 +08:00
    johnjiang85
        1
    johnjiang85  
       2022-05-11 10:38:25 +08:00
    收到,稍后排查后回复
    johnjiang85
        2
    johnjiang85  
       2022-05-11 10:57:18 +08:00
    确认没有对未设置 CAA 记录时的 dnssec 请求应答做格式的正确处理,可以先临时随意添加一条 CAA 记录规避,下周 5 前上线完成无 CAA dnssec 失败的问题。

    CAA 记录示例:
    0 iodef "mailto:[email protected]"
    johnjiang85
        3
    johnjiang85  
       2022-05-11 11:22:21 +08:00
    @Love4Taylor
    理论上来说也不能算是格式错误,应该说是格式兼容性问题,如下的 NSEC 位图表中的__01 01 00___ ,目前第二段只支持设置 CAA 记录,当请求 CAA 记录时,会将 CAA 记录的位图置为 0 ,此时第二段位图已经没有有效类型,但是并没有将第二段位图整体去掉,依然保留了,opendns 兼容此格式,bind 和 google 会认为是错误格式,已经修改完毕,从免费套餐灰度中。
    ```
    $ dig +dnssec caa iks.moe @ns3.dnsv2.com
    ;; Got bad packet: FORMERR
    353 bytes
    cd d8 85 00 00 01 00 00 00 04 00 01 03 69 6b 73 .............iks
    03 6d 6f 65 00 01 01 00 01 c0 0c 00 06 00 01 00 .moe............
    00 00 b4 00 3e 03 6e 73 33 05 64 6e 73 76 32 03 ....>.ns3.dnsv2.
    63 6f 6d 00 0e 6c 65 76 65 6c 33 64 6e 73 61 64 com..level3dnsad
    6d 69 6e 06 64 6e 73 70 6f 64 03 63 6f 6d 00 62 min.dnspod.com.b
    75 35 17 00 00 0e 10 00 00 00 b4 00 12 75 00 00 u5...........u..
    00 00 b4 c0 0c 00 2e 00 01 00 00 00 b4 00 5b 00 ..............[.
    06 0d 02 00 00 00 b4 62 7f 82 41 62 6d 0d 41 bb .......b..Abm.A.
    e8 03 69 6b 73 03 6d 6f 65 00 e3 58 dd ff 4f be ..iks.moe..X..O.
    89 3e 3c e6 12 16 b6 03 00 06 92 2d 98 b2 56 b7 .><........-..V.
    8d cd a9 41 8a aa e2 af 43 19 2c ef d8 2b 0f 6c ...A....C.,..+.l
    6b 93 79 e5 fa cb 6e 55 d7 c3 9f 4c 94 9f f7 48 k.y...nU...L...H
    45 ee e9 e7 0d 44 6b 29 27 d3 c0 0c 00 2f 00 01 E....Dk)'..../..
    00 00 00 b4 00 19 01 00 03 69 6b 73 03 6d 6f 65 .........iks.moe
    00 00 09 62 01 80 08 40 03 80 00 c0 __01 01 00___ c0 ...b...@........
    0c 00 2e 00 01 00 00 00 b4 00 5b 00 2f 0d 02 00 ..........[./...
    00 00 b4 62 83 f2 37 62 71 7d 37 bb e8 03 69 6b ...b..7bq}7...ik
    73 03 6d 6f 65 00 f7 2e cf 8c de f1 a5 b7 22 43 s.moe........."C
    6d b8 0d 1f e9 ba 5e 1b 4d ee a9 cc a3 19 5d 0b m.....^.M.....].
    59 57 90 7c 43 c5 b5 d3 29 41 b7 49 82 c0 fd 81 YW.|C...)A.I....
    fe f1 1e 12 e4 8a 23 5f 20 e9 86 68 01 02 1f a2 ......#_...h....
    4d 22 d9 7b ec fa 00 00 29 10 00 00 00 00 00 00 M".{....).......
    00
    ```
    johnjiang85
        4
    johnjiang85  
       2022-05-11 11:23:10 +08:00
    opendns -> cloudflare
    Clemong
        5
    Clemong  
       2022-05-11 15:15:46 +08:00
    这个 Google Issue 是我发的,Google 一个多月后才给我回复。
    看完 Issue 之后跟腾讯云提交了工单,工单确认该修复在从免费套餐灰度中,应该是下周五全量上线。
    johnjiang85
        6
    johnjiang85  
       2022-05-11 16:38:39 +08:00
    @Clemong 明天下午会灰度完成第一批个人专业版的服务器,灰度一部分 8.8.8.8 理论上就可以解析了。
    kyro00000
        7
    kyro00000  
       2022-05-11 17:30:08 +08:00 via iPhone
    真工单系统
    Clemong
        8
    Clemong  
       2022-05-11 22:52:38 +08:00
    @johnjiang85 好的,感谢你们及时的处理
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   2691 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 25ms · UTC 03:59 · PVG 11:59 · LAX 19:59 · JFK 22:59
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.