CAA — таймаут

[phd_ru]

А что это за проблема такая популярная — таймаут при запросе CAA?

У моего хостинга тоже. Вот любую запись можно спросить в DNS, а с CAA проблема:

$ host -t ns phdru.name 
phdru.name name server ns1.digitalocean.com.
phdru.name name server ns2.digitalocean.com.
phdru.name name server ns3.digitalocean.com.

$ host -t soa phdru.name ns1.digitalocean.com.
Using domain server:
Name: ns1.digitalocean.com.
Address: 173.245.58.51#53
Aliases: 

phdru.name has SOA record ns1.digitalocean.com. hostmaster.phdru.name. 1516535908 10800 3600 604800 1800

$ host -t txt phdru.name ns2.digitalocean.com.
Using domain server:
Name: ns2.digitalocean.com.
Address: 173.245.59.41#53
Aliases: 

phdru.name descriptive text "v=spf1 mx a a:mail.python.org a:lists.sourceforge.net a:iskra.aviel.ru a:mail.aviel.ru a:relay1.aviel.ru a:relay2.aviel.ru -all"

$ host -t type257 phdru.name ns3.digitalocean.com.
;; connection timed out; no servers could be reached

(TYPE257 — потому что Debian 8.)

Я из-за этого сертификат обновить не могу. Написал хостеру тикет, жду. Может, придётся хостинг DNS поменять…

Comments

[vitus_wagner]

Это типа у тебя есть свой сервер, но ты при этом первичный DNS хостишь где-то ещё?

[phd_ru]

1. Я недавно переезжал на другой IP, и возникли проблемы с обновлением у мего регистратора домена, и у secondary. Пришлось перенести DNS к провайдеру хостинга.

2. Debian 8. named не умеет CAA. А генерировать кривой TYPE257 не хочется (там ну очень странный синтаксис).

[vitus_wagner]

И ведь, что удивительно, никто не собрался собрать bind 9.10.1 в jessie-backports. Bind 9.11 в stretch-backports вот не поленились.

Впрочем, bind - не единственный dns-сервер в дистрибутиве. Есть unbound, powerdns, maradns.

[beldmit]

У меня из разных сеток:

С работы:
host -t type257 phdru.name ns3.digitalocean.com
Using domain server:
Name: ns3.digitalocean.com
Address: 198.41.222.173#53
Aliases:

Host phdru.name not found: 2(SERVFAIL)

Из дома:
host -t type257 phdru.name ns3.digitalocean.com

[phd_ru]

LetsEncrypt жалуется на SERVFAIL и не обновляет сертификат. :-(

[filin]

... что как бы намекает нам, что лучшее - враг хорошего, а слишком много безопасности - это слишком мало безопасности.