GuiGui's Show

Le concept de délégation est au cœur du monde des noms de domaine et de leur utilisation dans le DNS. Quoique ancien, il n’est pas toujours bien compris. Il pourrait en outre changer assez sérieusement dans le futur, avec le projet DELEG de l’IETF (Internet Engineering Task Force, la principale organisation de normalisation de l’Internet). Qu’est-ce que la délégation et en quoi consiste ce projet qui, s’il aboutit, changera considérablement le DNS ?

[…]

Ce projet est porté par l’IETF, l’organisation de normalisation présentée plus haut. Il s’agit de résoudre plusieurs problèmes :

• Le fait que l’hébergeur DNS ne soit pas explicitement impliqué, ce qui rend difficile certaines opérations, qui doivent passer par tous les titulaires de noms qui sont clients de l’hébergeur,
  
  
• le fait que les enregistrements NS doivent être synchronisés entre le domaine parent et le domaine délégué,
  
  
• le fait que les enregistrements NS ne permettent pas d’indiquer les caractéristiques techniques des serveurs de noms, par exemple l’utilisation d’un port réseau11 différent de l’habituel port 53, ou le fait qu’ils acceptent, en plus du DNS en clair, le DNS chiffré, sur TLS, HTTPS12 ou QUIC13.

Le projet DELEG prévoit donc de remplacer les enregistrements NS du domaine parent par des enregistrements DELEG, plus riches. Contrairement aux NS, mais comme les enregistrements DS, ils feront autorité et seront donc signés si on utilise DNSSEC. Je vais donner deux exemples mais rappelez-vous que DELEG n’est qu’un projet en cours, rien n’est encore fermement décidé :

• On veut déléguer à example.com, qui accepte DoT. Un enregistrement DELEG pourra ressembler à DELEG ns1.example.com ipv4hint=192.0.2.1 ipv6hint=2001:db8::1 alpn=dot, pour indiquer à la fois les adresses IP (la colle) et le fait que DoT fonctionne14. Il est important de noter que la liste des couples clé=valeur est extensible : ce mécanisme permettra, dans le futur, d’indiquer d’autres choses sur les serveurs de noms.
  
  
• On a un hébergeur DNS séparé, mettons example.net, et on veut simplement mettre une référence vers leur jeu de serveurs. On mettra alors un alias, DELEG config2.example.net et, en config2.example.net, on trouvera la liste des serveurs, ainsi stockée en un seul endroit, que l’hébergeur DNS pourra facilement changer sans déranger ses clients.

Extensible Delegation for DNS.

En gros, mêmes enjeux que les types d'enregistrement SVCB / HTTPS.

#RRtype #Bortzmeyer