Willkommen im User-Forum von mailbox.org

Neues Thema

mailbox.org Userforum Thema Problem Passwort und Sicherheit

Kategorie Passwort und Sicherheit

Tags DNSSEC, Cloudflare, Netcup, Security, Sicherheit, Custom Domain

DNSSEC greift nicht

Dom hat dies geteilt, her

veröffentlicht

Moin :)

ich habe leider weiterhin Probleme DNSSEC zum Laufen zu bekommen.
Zuerst habe ich das über Netcup gemacht, da dort auch die Domains liegen, das hat aber schon nicht wirklich geklappt, selbst nach 3+ Tagen sagt der Check auf https://mecsa.jrc.ec.europa.eu das ich nur 3,5 / 4,0 / 3,5 Punkte bekomme und in der erweiterten Übersicht ist alles grün bis auf DNSSEC und MTA-STS(MTA-STS kümmere ich mich erst einmal nicht drum).

Und das fehlende DNSSEC ist auch das was eine volle Punktzahl bei allen Kategorien verhindert...

Da ich aber gelesen hatte das Netcup bei DNSSEC immer wieder mal Probleme hat habe ich testweise eine Domain bei Cloudflare konifguriert und die dedifzierten Cloudflare Adressen als DNS Nameserver bei Netcup hinterlegt, DNSSEC bei Cloudflare aktiviert und die entsprechende Werte (Public Key, Algorithm und Flag) bei Netcup gesetzt und Cloudflare konnte auch die einrichtung von DNSSEC danach abschließen.
Ein Test mit DNSSEC-Debugger von VeriSign (https://dnssec-debugger.verisignlabs.com/) zeigt auch alles grün und DNSSEC wird damit erkannt.

Aber mit der E-Mail klappt das weiterhin nicht und mecsa meldet weiterhin das DNSSEC nicht aktviert sei, der Rest funktioniert aber, also DKIM, SPF, DMARC usw.

Mache ich was falsch, habe ich irgendwo einen gedanklichen Hänger?

Kann mir hier jemand einen Hinweis geben oder mir einen Anstoß in die richtige Richtung geben?
Viele Grüße
Dom

Ich habe das gleiche Problem 0

Antworten (3)

Dom ●

Achso bekomme folgenden Text dazu bei mecsa:

getDSrecord NoAnswer: <meineDomain.tld>.

Cloudflare hat mir zwar gesagt das ich einen DS Racord bei meinem Registrar einrichten müsse, aber ich hatte das so verstanden das dies nur sein müsse wenn ich keine Cloudlfare Nameserver nutzen würde.
Zudem kann Netcup gar keine Records anlegen wenn ich externe Nameserver für die Domain nutze, dann kann ich nur den public key, algorithm und flag setzen.

Antworten URL

einuser ●

Wenn du bei DNSSEC-Testseiten keine DNSSEC-Fehler bekommst, würde ich davon ausgehen, dass netcup richtig funktioniert, und der Fehler woanders liegt. Cloudflare würde ich aus unterschiedlichen Gründen selbst erstmal nicht verwenden wollen. Unabhängig davon habe ich leider keinen Tipp, was genau bei dir falsch läuft. Für DNSSEC kenne ich folgende drei Testseiten:

https://dnssec-analyzer.verisignlabs.com

https://dnsviz.net/

https://zonemaster.se/en/run-test

Ansonsten kann ich nur vor DNSSEC warnen. Sofern da beim Provider irgendwas schief läuft, stehst du ohne Mail und ohne Webseite da. Je nach persönlichem Anwendungsfall ein größeres Problem. Nicht dass du dich wunderst, warum auf einmal tagelang keine Mails mehr kommen, oder tagelang im Webshop niemand mehr einkauft. Und ich habe schon bei zwei Providern selber erlebt aber auch im Internet bei anderen gelesen, dass DNSSEC vereinzelt fehlerbehaftet ist und mittendrin ohne eigenes Zutun kaputt geht. Daher habe ich selbst die Konsequenz gezogen, und bin zu einem Domain-Only-Anbieter gegangen, wo nur die Domain liegt und mit DNSSEC abgesichert ist. Für meine Webseite habe ich einen anderen Provider (Webhosting), bei dem ich die Domain als externe eingebunden habe. Bei netcup gibt es die Möglichkeit eine externe Domain (kostenlos) einzubinden, allerdings ist das etwas fummelig, da die Anleitung nicht ganz selbsterklärend war und wohl noch ist.

Nachtrag: Bei https://dnschecker.org kann man von unterschiedlichen Standorten aus prüfen, was die eigenen DNS-Daten so machen.

Antworten URL

Dom ●

Hey :)

dank dir!
DNSSEC klappt nun auch, hat nur etwsa länger gedauert als 72 Stunden, aufjedenfall mit Cloudflare, Netcup teste ich nochmal seperat.
Jetzt verunischert mich aber deine Erfahrung mit DNSSEC, natürlich soll das zuverlässig funktionieren, damit E-Mail Empfang und Versand einwandfrei klappen...

Was ich dazu gelesen habe ist das es durchaus empfohlen wird aber was hilft mir das wenn es nicht so wie gedacht funktioniert und dann E-Mails im Äther hängen.

Ich lese mich dazu nochmals ein und entscheide dann, danke auf jedenfall für deinen Input.

Antworten URL

einuser ●

Sorry dass ich dich verunsichert habe. Nochmals zur Klarstellung:

Grundsätzlich ist DNSSEC ein gutes Feature und ein Plus an Sicherheit. Allerdings unterstützen viele Webseiten kein DNSSEC, darunter auch die meisten Banken. Daraus folgere ich, dass es auch für hohe Sicherheitsansprüche nicht zwingend notwendig ist. Trotzdem verbessert es die Sicherheit meines Wissens vor allem vor sogenannten Man-in-the-middle-Angriffen, wo der Angreifer DNS-Daten manipuliert. Das ist wohl aber alles andere als trivial und daher sehr sehr selten.

Auf der anderen Seite ist es mir schon bei zwei Providern passiert, dass auf einmal DNSSEC futsch war, und damit auch mein Mailzugang weg, da mailbox.org sich korrekter Weise geweigert hat meine eigene Domain mit kaputtem DNSSEC zu bedienen.

Jetzt habe ich persönlich den Schluss gezogen dass ich mir einen auf DNS spezialisierten Provider gesucht habe, bei dem ich im Netz nur gutes gelesen habe, und noch von keine DNSSEC-Problemen gehört habe. Aktuell habe ich DNS-Anbieter, Mailanbieter und Webhostinganbieter getrennt, für jeden Bereich habe ich eine spezialisierte Firma. DNSSEC läuft seit dieser Aufteilung stabil und ohne jegliche Probleme. Es ist für mich aber auch ein Spaß-hobby, mein Mailpostfach so sicher wie möglich einzurichten und alle Testseiten grün leuchten zu lassen, egal ob mehr oder weniger sinnvoll. Die Abwägung zwischen einem geringen Plus an Sicherheit, und je nach Anbieter deutlich größerem Risiko eines DNSSEC-Problems könnte aber für Leute die nicht so viel rumspielen wollen eine andere sein.

Cloudflare versuche ich zu meiden, wie ich auch google und Microsoft versuche zu meiden sofern es mit vernünftigem Zeit- und Kostenaufwand möglich ist. Allerdings im DNS-Bereich weniger aus Gründen der Sicherheit/Privatsphäre, sondern aus Prinzip. Ich mag eher ein kleines mittelständisches Unternehmen aus Berlin als einen amerikanischen Megakonzern.

URL

Dom ●

Danke für die Klarstellung!
Nur aus Interesse, magst du sagen welche Firmen du nutzt?
Ich habe Cloudflare jetzt nur genutzt weil ich das Feature an sich testen wollte und es bei Netcup viele Topics dazu gibt das dort DNSSEC eher schlecht läuft und immer wieder ausfälle hat und ich durch meinen Bruder bereits wusste das Cloudflare das kann.

Ich pers. bin da bei dir und nutze auch lieber europäische und/oder OpenSourceLösung falls möglich ;)

URL

einuser ●

Ich bin bei INWX. Die sitzen auch in Berlin. Nachteil ist, dass das "Prepaid" ist, sofern du eine Einzelperson bist. So wie es früher hier auch bei mailbox.org war, läuft es über ein Guthaben.

URL

Dom ●

ok dank dir :) schaue ich mir mal an!

URL

Hinterlassen Sie einen Kommentar

Dateianlage anfügen