[the lsd]

Tu peux regarder du côté DoT DoH (DNS over TLS et DNS over https) pour les serveurs upstream

Enjoy

The lsd

[james14000]

Bonjour Lsd

Merci, je viens de trouver ceci  
https://www.linuxbabe.com/ubuntu/ubuntu-stubby-dns-over-tls


https://www.nextinpact.com/article/30100/108780-quest-ce-que-dns-over-https-doh-quest-ce-que-cela-peut-vous-apporter

[james14000]

            Qu'est ce que c'est que cela ?    

Code:

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; OPT=11: 04 b0 ("..")
; PAD: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ("...")
;; QUESTION SECTION:
;pirateproxy-bay.com.		IN	A

Code:

james14000@james14000-MS-7982:~$ dig pirateproxy-bay.com

; <<>> DiG 9.11.3-1ubuntu1.13-Ubuntu <<>> pirateproxy-bay.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 50132
;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; OPT=11: 04 b0 ("..")
; PAD: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ("...")
;; QUESTION SECTION:
;pirateproxy-bay.com.		IN	A

;; ANSWER SECTION:
pirateproxy-bay.com.	300	IN	A	104.28.30.244
pirateproxy-bay.com.	300	IN	A	104.28.31.244
pirateproxy-bay.com.	300	IN	A	172.67.159.183

;; Query time: 137 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Sun Sep 13 05:42:56 CEST 2020
;; MSG SIZE  rcvd: 525

james14000@james14000-MS-7982:~$ 

J'ai installé wireshark, comment l'utiliser ? me servira-t-il ?  

[flob]

Hmm, question con à laquelle t'as peut-être déjà répondu précédemment (j'ai pas trop suivi la discussion et la flemme de tout relire) :

Le fichier hosts n'est-il pas suffisant pour ce que tu cherches à faire ?

[james14000]

Je viens de trouver le fichier hosts. Je cherche à sécuriser les connexions internet

Code:

127.0.0.1	localhost
127.0.1.1	james14000-MS-7982

# The following lines are desirable for IPv6 capable hosts
::1     ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

[james14000]

Bonsoir, Un bail que je n'étais venu sur ce forum, en ce sens, je vais expliquer ce qui m'amene  

Je vais installer en ligne de commande une nouvelle version de UBUNTU, passer de la version 18.04 à la version 24.04.

J'ai UNE QUESTION de taille : Vais je pouvoir conserver le parametrage de mon serveur DNS, ou vais je devoir le sauvegarder pour le réinjecter au sein de mon nouvel OS ?

Que faire, comment faire ?  

Merci à vous toutes et tous pour vos réponses à venir .

James  

[james14000]

 

Venez aider un novice perdu dans les méandres de UBUNTU  

C'est BON, j'ai réussi mon installation UBUNTU 24.04

J'ai pris la précaution de sauvegarder TOUS les passes et ID, je vais aussi pouvoir reinjecter mon fichier unbout pour le DNS

[james14000]

Bonsoir, ou bonjour

J'ai un "petit" souci, je viens d'installer UBUNTU 24.04, cela fonctionne bien, en revanche, j'ai essayé de reinstaller le serveur DNS, en ce sens, je navigue sur certaines pages sans soucis, or, je n'arrive pas à tester cette page.
La vérification de la config DNSSEC semble ne pas etre activée.

La vérification de la config DNSSEC se fait ici:
https://www.icann.org/resources/pages/dns-resolvers-updating-latest-trust-anchor-2018-06-27-fr
https://dnssec.vs.uni-due.de/

Test result: failure

No, your web browser is not protected by DNSSEC

[the lsd]

La question, c'est pourquoi tu veux mettre DNSSEC en place ? DoT ou DoH, ça marche bien aussi

Enjoy

The lsd

[james14000]

Hello LSD, eh bien, je pensais que c''était indispensable en fait  

Je ne faisais que suivre "bêtement"  les explications

[james14000]

Puis je te demander de m'indiquer quelques commandes afin de vérifier si ma configuration DNS est en bon état ? d'avance merci  

Code:

james14000@james14000-MS-7982:~$ sudo dpkg --configure -a
[sudo] Mot de passe de james14000 : 
james14000@james14000-MS-7982:~$ sudo dpkg --configure -a
james14000@james14000-MS-7982:~$ 

J'ai l'impression que ca déconne, car normalement, il devrait y avoir les lignes de la suite.

Code:

james14000@james14000-MS-7982:~$ systemctl status unbound.service
● unbound.service - Unbound DNS server
     Loaded: loaded (/usr/lib/systemd/system/unbound.service; enabled; preset: >
     Active: active (running) since Wed 2024-12-11 18:51:16 CET; 1h 46min ago
       Docs: man:unbound(8)
    Process: 1524 ExecStartPre=/usr/libexec/unbound-helper chroot_setup (code=e>
    Process: 1595 ExecStartPre=/usr/libexec/unbound-helper root_trust_anchor_up>
   Main PID: 1618 (unbound)
      Tasks: 1 (limit: 9311)
     Memory: 19.7M (peak: 20.5M)
        CPU: 1.415s
     CGroup: /system.slice/unbound.service
             └─1618 /usr/sbin/unbound -d -p

déc. 11 18:51:14 james14000-MS-7982 systemd[1]: Starting unbound.service - Unbo>
déc. 11 18:51:15 james14000-MS-7982 (unbound)[1618]: unbound.service: Reference>
déc. 11 18:51:16 james14000-MS-7982 unbound[1618]: [1618:0] notice: init module>
déc. 11 18:51:16 james14000-MS-7982 unbound[1618]: [1618:0] notice: init module>
déc. 11 18:51:16 james14000-MS-7982 unbound[1618]: [1618:0] notice: init module>
déc. 11 18:51:16 james14000-MS-7982 unbound[1618]: [1618:0] info: start of serv>
déc. 11 18:51:16 james14000-MS-7982 systemd[1]: Started unbound.service - Unbou>
déc. 11 18:51:23 james14000-MS-7982 unbound[1618]: [1618:0] info: generate keyt>
lines 1-21/21 (END)

[james14000]

J'avais aussi pris en compte ces conseils que voici :    

En mettant en place ce serveur, les requêtes DNS de résolution de noms de domaine se feront sur ta machine plutôt que sur une machine de ton FAI susceptible de mentir sur la non-existence d'un site, ou sur sa localisation (cf conflit Free vs Youtube).

Avec un peu plus de configuration tu pourras profiter de DNSSEC qui établit une chaîne de confiance entre la racine DNS et le site consulté.
La France et ses opérateurs est largement dans le déploiement de cette technologie qui existe depuis plus de 10 ans.

En mettant en place ce serveur, les requêtes DNS de résolution de noms de domaine se feront sur ta machine plutôt que sur une machine de ton FAI susceptible de mentir sur la non-existence d'un site, ou sur sa localisation (cf conflit Free vs Youtube).

Avec un peu plus de configuration tu pourras profiter de DNSSEC qui établit une chaîne de confiance entre la racine DNS et le site consulté.
La France et ses opérateurs est largement dans le déploiement de cette technologie qui existe depuis plus de 10 ans.

Au final :
- La navigation sera plus rapide (la condition sine qua non pour qu'un site soit consulté est que la requête DNS soit satisfaite au préalable),
- Tu accéderas à des sites bloqués par décision de justice/censure dans ton pays (thepiratebay, t411, sci-hub, etc.),
- Tu seras protégé des attaques par empoisonnement du cache DNS.

Beaucoup d'informations; la citation de benjani est un résumé; mais tu peux déjà consulter ces liens :
Conf de Stéphane Bortzmeyer sur le DNS
https://www.youtube.com/watch?v=QHVK666TFUI
DNSSEC
https://fr.wikipedia.org/wiki/Domain_Name_System_Security_Extensions

Le reste est essentiellement de la recherche que tu dois faire de ton coté  


Pour le problème présent tu peux d'ores et déjà suivre ce tuto:
https://wiki.debian-fr.xyz/Utiliser_Unbound_avec_DNSSEC

... en s'aidant fortement de la documentation d'unbound :
https://nlnetlabs.nl/documentation/unbound/unbound.conf/

Si ta configuration d'unbound est mauvaise, le serveur ne démarrera pas. Il existe un outil installé avec unbound pour vérifier cela :

Code:

$ unbound-checkconf

N'oublie pas que le log doit être accessible par le serveur (c'est un point sur lequel j'avais buté) :

Code:

sudo mkdir /var/log/unbound
touch /var/log/unbound.log
chown unbound:unbound /var/log/unbound.log

Dans le tuto, l'installation de dnssec-trigger configure automatiquement dnssec.
Il apporte de plus un service qui permet de vérifier l'état du serveur en temps réel (c'est expliqué).

La vérification de la config DNSSEC se fait ici:
https://www.icann.org/resources/pages/dns-resolvers-updating-latest-trust-anchor-2018-06-27-fr
https://dnssec.vs.uni-due.de/


Avec cela je pense que tu devrais réussir à te débrouiller; bon courage !  

[james14000]

Code:

james14000@james14000-MS-7982:~$ unbound-checkconf
unbound-checkconf: no errors in /etc/unbound/unbound.conf
james14000@james14000-MS-7982:~$ 

[james14000]

Je viens aussi de me rendre compte que certaines commandes indiquées dans ce tutot, ne fonctionnent plus sous UBUNTU 24.04, alors qu'elles fonctionnaient sur UBUNTU 18.04.

Que faire ?  

Code:

james14000@james14000-MS-7982:~$ systemd-resolve --status --no-pager
systemd-resolve : commande introuvable
james14000@james14000-MS-7982:~$ apt install unbound unbound-host dnssec-trigger 
E: Impossible d'ouvrir le fichier verrou /var/lib/dpkg/lock-frontend - open (13: Permission non accordée)
E: Impossible d'obtenir le verrou de dpkg (/var/lib/dpkg/lock-frontend). Avez-vous les droits du superutilisateur ?

[james14000]

Est ce bon signe ? J'ai beau relire la totalité des messages de ce post, j'ai du mal à reproduire ce que j'avais fait il y a quelques années pour mon serveur DNS.

J'avais réussi à modifier le fichier unbound.conf, en ce sens, j'avais pris l'initiative de le sauvergarder, j'en ai donc une copie, mais que faire avec ?

Code:

james14000@james14000-MS-7982:~$ nmcli dev show | grep DNS
IP4.DNS[1]:                             127.0.0.1
IP4.DNS[2]:                             192.168.*.*
james14000@james14000-MS-7982:~$ 

Code:

james14000@james14000-MS-7982:~$ nmcli 
enp1s0: connecté à netplan-enp1s0
        "Realtek RTL8111/8168/8411"
        ethernet (r8169), *C:CC:*A:*A:**:14, hw, mtu 1500
        ip4 par défaut
        inet4 192.168.1.**/24
        route4 192.168.*.*/24 metric 100
        route4 default via 192.1**.*.* metric 100

lo: connecté (en externe) à lo
        "lo"
        loopback (unknown), 00:00:00:00:00:00, sw, mtu 65536
        inet4 127.0.0.1/8
        inet6 ::1/***

DNS configuration:
        servers: 127.0.0.1 192.1**.*.*
        interface: enp1s0

Utilisez « nmcli device show » pour obtenir des informations complètes sur les >

Consultez les pages de manuel nmcli(1) et nmcli-examples(7) pour les détails co>
lines 1-21/21 (END)