Ubuntu-fr

compte supprimé

[résolu bind9]Déploiement de OpenDNSSEC svp ?

Bonjour, j'ai entendu parler de OpenDNS, dont on peut créer un compte anonyme expliqué ici : http://www.commentcamarche.net/faq/8725 … e-et-utile Depuis quelques jours on nous parle de OpenDNSSEC (visible dans les dépôts officiels d'Ubuntu). Même derrière mon VPN je me rends compte que je suis toujours sur des serveurs DNS Google, de n'importe quels pays. Je souhaiterai basculer sur l'offre entièrement gratuite de OpenDNS mais en utilisant OpenDNSSEC afin que ces échanges entre eux et moi soient chiffrés. Les serveurs DNS de Google gardent une trace de nos surfs, mais jusqu'à quand je ne sais pas, et bref je ne veux pas trop leur faire confiance vu tous les scandales de fuites sur nos vies privées liés à tout le panel des services Google en ligne, Gmail et compagnie, et j'en arrive aux serveurs DNS. J'ai du mal à trouver les bonnes infos sur Internet, et je n'arrive pas à trouver un mode d'emploi entièrement en français pour mettre en place OpenDNSSEC pour Ubuntu, et je ne sais pas si cette mise en place nécessitera de s'inscrire sur OpenDNS comme le dit le premier lien sur Commentcamarche.net que je donne au dessus svp. Bref je n'y connais absolument rien, j'ai besoin de toutes infos utilises et liens svp, même si vous n'êtes pas du tout spécialistes et surtout si vous n'êtes pas du tout spécialistes, car j'ai besoin de divers avis concernant ce sujet, même d'avis allant dans le sens complètement opposé à ce que je cherche à faire ici, en voulant utiliser OpenDNSSEC, merci pour votre aide.

Dernière modification par -pascal34- (Le 04/06/2014, à 22:02)

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

merci je vais jeter un oeil

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Je ne sais pas si tu auras les réponses (ou même si tu n'en as qu'une seule sur la liste qui suit je suis preneur stp wholes, merci). J'ai besoin d’éclaircissement sur la fonction de bind9. Je reviens de cette page, ils y donnent une configuration pour un PC domestique (en 5.1) : http://doc.ubuntu-fr.org/bind9

Je me sers d'un Proxy VPN que je loue moyennant finances (à l'année). Quand j'y suis connecté (à mon Proxy VPN), il envoie mes requêtes aux serveurs DNS de Google. Est-ce que l'utilisation de bind9 va changer cela et forcer mon proxy VPN à envoyer mes requêtes à d'autres serveurs DNS stp ? Et bind9 se connecte à quels serveurs DNS pour traduire les adresses ip que je veux joindre svp ? Merci, je suis j'avoue perdu. Mon but est que du moment que je sois connecté à mon VPN et que je fasse le test sur DNS test Leak, alors je ne sois plus sur les serveurs DNS de Goolge. (voir ici le site DNS test Leak : https://www.dnsleaktest.com/ )

Dernière modification par -pascal34- (Le 03/06/2014, à 12:41)

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Je suis toujours en demande d'informations sur l'activation et l'utilisation de OpenDNSSEC sur un PC domestique tournant sous ubuntu 12.04 LTS, merci de votre aide.

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

J'ai relu le 5.1 du lien que je donne au dessus. Ils y disent dans l'encadré que bind9 va plus interroger les serveurs racines (donc apparemment Google est en dehors, ce qui est déjà ça de gagner), mais enfin les serveurs racines dans le monde sont gérés apparemment par L'ICANN (et les États-Unis, dont on peut se dire évidemment que la NSA a pignon sur rue sur eux....) Le gouvernement Bush semble l'avoir confirmé en refusant la privatisation totale de L'ICANN.

Voir le liens sur les serveurs racines : https://fr.wikipedia.org/wiki/Serveur_racine_du_DNS

Et le lien vers l'ICANN : https://fr.wikipedia.org/wiki/Internet_ … nd_Numbers  (voir la partie "COntroverse" également).

Du coup je ne sais pas, mais je n'ai pas vu le moyen de chiffrer les requêtes DNS avec bind9 ? Et j'aimerai toujours apprendre à paramétrer OpenDNSSEC afin de chiffrer tout cela, je reste en attente de coups de mains (même si cela peut prendre du temps et que vous répondez dans deux mois ou plus, merci beaucoup pour toute aide).

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

tout dépend de ton vpn, s'il fait un push dns ?  à priori non puisque ça passe toujours par celui de google, regarde dans    /etc/resolv.conf, avec bind9 dans ce fichier, il faudra mettre nameserver 127.0.0.1, il faut bien sûr aborder ensuite le côté sécurisation de ton serveur dns, les infos sur le net ne doivent pas manquer.

Oui apparemment pas de push DNS, jamais, et ce, quelque soit l'endroit où je me connecte dans le monde. Je ne trouve aucune info en français sur la sécurisation d'un serveur DNS. Je ne comprends même pas pourquoi je dois mettre nameserver 127.0.0.1 dans /etc/resolv.conf avec bind9. Je souhaite véritablement comprendre avant d'appliquer ce que tu me dis. Ceci afin que je puisse vérifier tout cela sur le net, mais pas seulement dans un soucis de clarification net de vérifiabilité de tout ceci par les autres membres du forum Ubutnu ou ceux qui tomberaient sur ces pages, afin qu'ils puissent eux-mêmes comprendre et ainsi vérifier toutes les infos que tu nous passes ici, que les autres amèneront sur ce fils, dans un soucis de transparence la plus claire possible. Il faut que l'on crée du contenu de qualité sur le forum, les gens arrivent de toutes part, plus on sera clairs dans nos explications et plsu on les fournira avec les liens associés, plus on produira un contenu du Forum ubuntu france, vraiment attractif, car juste, et très étoffé, très expliqué, très documentés. (même si chacun doit mettre du coup 20 minutes pour pondre un message au lieu de 15 secondes sans aucune explication, il faut penser aux autres dans l'avenir proche, mais aussi plus lointain. Surtout quand on parle de technologie, on aimerait tous progresser dans ce domaine (particulièrement dans la sécurité informatique), mais pas sans les explications, ce n'est pas possible. On ne peut pas faire de crème brûlée tiédie au romarin sans la recette ! si on dit aux gens : mélanger des œufs, de la crème liquide, du lait du romarin, faite cuire. (et c'est tout !!! Je pense  que 99% des gens n'auront rien compris, mais que le 1% qui l'aura appliqué, est très malade dans sa tête). Et je pense que 100% des gens vont la louper. D'une part parce qu'ils n'auront pas lu qu'il faut mettre du sucre dans la préparation, parce que cela n'aura pas été dit(comme au dessus dans ma recette), mais aussi parce que rien n'est clair sur la façon de faire, sur le temps de cuisson, sur le temps d'infusion du romarin, dans le lait ? dans le mélange de crème liquide ET de lait ? Quelle crème liquide utiliser dans le sens "avec quel taux de matière grasse" ? 30% ? 15% ? Comment pourquoi, où ? On comprend rien. Il faut vraiment clarifier les chose et les expliquer le plus simplement possible. On a besoin de tes connaissances Wholes car tu sembles bien calé et dans divers sujets concernant la sécurité informatique, mais on a besoin surtout de les comprendre ET d'avoir le moyen de les vérifier vérifier, surtout quand ça concerne la sécurité informatique.

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Oui je ne comprends toujours pas si cela va résoudre le problème que je pose ici, à savoir si cela va continuer de demander mes requêtes serveurs DNS sur les serveurs DNS de Google "de toutes manières" que j'utilise bind9 ou pas, et via mon VPN ou même sans VPN? Merci beaucoup Wholes car dans tous tes messages jusqu'à présent, je n'ai trouvé nulle part de précisions explicites sur mes questionnements initiaux. Donc je me demande depuis tout à l'heure, pourquoi tu me rediriges vers bind9 ? Je ne comprends pas pourquoi tu me proposes cela ? Ça va résoudre mon problème demandé ici : http://forum.ubuntu-fr.org/viewtopic.ph … #p17115391 (et qui commence par le mot "Bonjour" indiqué en italique stp ?)

Merci beaucoup de ta réponse Wholes, comme tu vois, je suis handicapé par mon gros manque de connaissances sur le sujet que je lance aujourd'hui et suis bien incapable de comprendre les solutions que l'on me donne, si elle ne sont pas expliquées clairement, donc mes excuses aussi pour ce côté neuhneuh de ma personne ,j'ai vraiment du mal, merci si tu peux continuer avec moi.

Dernière modification par -pascal34- (Le 03/06/2014, à 19:06)

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Hello Wholes et merci pour l'aide ! J'ai réussi à configurer bind9, et avec mon VPN de connecté, je ne suis plus sur les serveurs DNS de Google ! Youpi !

Je dois faire les manips à la main à chaque fois que je coupe mon VPN par contre. Explications :

Si je démarre mon PC, et que je mets en route mon VPN, mon fichier resolv.conf qui est dans /etc/resolv.conf affiche ceci :

# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 192.168.0.1
search home

Si je démarre mon VPN, mon fichier resolv.conf change et met ceci :

# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 8.8.8.8
nameserver 8.8.4.4
nameserver 192.168.0.1
search home

donc juste au dessus on voit que mes serveurs DNS sont en fait ceux de Google. Et là je dois changer à la main le fichier resolv.conf que je trouve dans /etc/resolv.conf avec un :

gksudo gedit /etc/resolv.conf

Pour le transformer en cela :

# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 127.0.0.1
search home

Et voilà, je ne passe plus par les serveurs DNS Google ! C'est très intéressant pour moi, mais si je perds la connexion VPN, et que je me reconnecte à mon VPN, je dois refaire ça :

gksudo gedit /etc/resolv.conf

Et donc rééditer mon fichier resolv.conf afin de le retransformer à cela :

# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 127.0.0.1
search home

Car il s'était remis tout seul en cela :

# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 8.8.8.8
nameserver 8.8.4.4
nameserver 192.168.0.1
search home

C'est apparemment une histoire avec DHCP, mais je ne sais pas comment faire pour dire à bind9 de toujours rester en cela :

# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 127.0.0.1
search home

Merci pour ton aide !!

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Oui c'est network-manager, je vais chercher où trouver cette option (si tu sais où je peux via network-manager je suis preneur), merci...

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Est-ce que ce serait la fenêtre là :

Au dessus à la ligne "Méthode : " j'ai mis sur Manuel comme le montre la photo, mais normalement je suis en DHCP. Est-ce là qu'il faut que je change quelque chose stp ? Et quoi mettre, il y a plusieurs cases, je ne connais pas cette partie de network manager...

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

J'ai fait comme suit mais ça ne marche pas :

L'image qui suit est ma connexion de base, je suis paramétré comme ça d'habitude :

Merci ...

edit : j'ai trouvé ce lien mais je ne le comprends pas http://askubuntu.com/questions/143819/h … interfaces

Dernière modification par -pascal34- (Le 04/06/2014, à 12:15)

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Oui je n'arrive pas à automatiser le protocole, je le fais à la main tant pis...

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Je crois que j'ai trouvé d'où cela vient, si je vais voir le contenu dans /etc/network/interfaces, alors dans interfaces j'ai ça :

# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
#NetworkManager#auto eth0
#NetworkManager#iface eth0 inet dhcp

Au lieu d'avoir ce qui suit comme montré en exemple ici (au 1.2) : http://doc.ubuntu-fr.org/dns#configurat … alternatif :

Donc normalement je devrais avoir un truc comme cela :

/etc/network/interfaces# This file describes the network interfaces available o$
# and how to activate them. For more information, see interfaces(5).

# The loopback network interface
auto lo
iface lo inet loopback

auto eth0
iface eth0 inet static
        address 91.121.0.0
        netmask 255.255.255.0
        network 91.121.0.0
        broadcast 91.121.0.255
        gateway 91.121.0.254
        dns-nameservers 8.8.8.8 8.8.4.4

Vous comprenez quelque chose ??

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Je viens de trouver cela en 3.1 (Problèmes connus) : http://doc.ubuntu-fr.org/dns#par_interface_graphique

je retente après redémarrage de la machine, mais apparemment j'ai déjà tout essayé, je dois le faire à la main, ce n'est pas si grave, bonne aprem !

Oedipe

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Bonsoir,

Si l'on est flemmard, il y a aussi l'option DNS-Crypt. (en évitant de choisir comme serveur OpenDNS, peu sûr).
Voir ici : http://dnscrypt.org/
et paramétrer les serveurs de DNSCrypt.eu : https://dnscrypt.eu/

Le "deb" est à prendre dans ce ppa : http://ppa.launchpad.net/shnatsel/dnscrypt/ubuntu

---

[Kubuntu 16.04.1 LTS "Xenial" - Noyau 4.4.0-53 (x86_64) + Plasma 5.8.4 + Framework 5.28.0 + Qt 5.6.1]
Serveur Nextcloud 11.0.0 "running at home" - Apache/2.4.25 - PHP/7.0.14.2  (IPV6 & HTTP/2 - WebRTC)

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Bonsoir,

Si l'on est flemmard, il y a aussi l'option DNS-Crypt. (en évitant de choisir comme serveur OpenDNS, peu sûr).
Voir ici : http://dnscrypt.org/
et paramétrer les serveurs de DNSCrypt.eu : https://dnscrypt.eu/

Le "deb" est à prendre dans ce ppa : http://ppa.launchpad.net/shnatsel/dnscrypt/ubuntu

Merci je vais jeter un œil, mais bind9 fonctionne pas mal du tout, cela peut me faire une solution de replis.

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Merci Wholes, j'ai tout compris, donc je reste avec l'activation de bind9 manuellement, j'ai trouvé une page de la doc d'Ubuntu tout à l'heure qui relatait cet état de fait pour Precise Pangolin et l’intégration au sein de celle-ci de bind9, la doc dit clairement qu'il y a des bugs entre ma distrib, network-manager et bind9, mais ce n'est pas dramatique du tout, bien au contraire...

Oedipe

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Merci je vais jeter un œil, mais bind9 fonctionne pas mal du tout, cela peut me faire une solution de replis.

Oui, jette tout de même un oeil....
Car avec ton bind9, tu envoies tout de même des requêtes DNS "en clair" sur le réseau...  et qui peuvent facilement être interceptées avec un M.I.T.M, redirigées, etc.. etc...

Certes, DNScrypt n'est pas la panacée totale mais ça complique sacrément le boulot d'un MITM....

et évite surtout les serveurs d'OpenDNS !

Dernière modification par Oedipe (Le 04/06/2014, à 22:24)

---

[Kubuntu 16.04.1 LTS "Xenial" - Noyau 4.4.0-53 (x86_64) + Plasma 5.8.4 + Framework 5.28.0 + Qt 5.6.1]
Serveur Nextcloud 11.0.0 "running at home" - Apache/2.4.25 - PHP/7.0.14.2  (IPV6 & HTTP/2 - WebRTC)

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Merci je vais jeter un œil, mais bind9 fonctionne pas mal du tout, cela peut me faire une solution de replis.

Oui, jette tout de même un oeil....
Car avec ton bind9, tu envoies tout de même des requêtes DNS "en clair" sur le réseau...  et qui peuvent facilement être interceptées avec un M.I.T.M, redirigée, etc.. etc...

Certes, DNScrypt n'est pas la panacée totale mais ça complique sacrément le boulot d'un MITM....

Merci de votre message, je m'interroge quand vous dites que mes requêtes DNS sont quand même transmises en clair malgré mon VPN. Je me demande qui peut être dans la position MITM à partir du moment où je suis connecté à mon VPN svp ? Je débute dans le domaine des DNS, je suis preneur de toutes infos, je débute aussi avec l'utilisation des VPN, et je ne sais pas si le MITM dont nous échangeons ici les dangers, ne serait accessible qu'à quelqu'un qui aurait un accès illicite (par backdoor) au serveur de VPN que j'utilise, ou bien ce pirate qui utilise la technique MITM peut venir d'absolument n'importe où même si je suis connecté à mon vpn, merci.

Oedipe

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Comme disait "Whole" : tout dépend de ton vpn, s'il fait un push dns ?

---

[Kubuntu 16.04.1 LTS "Xenial" - Noyau 4.4.0-53 (x86_64) + Plasma 5.8.4 + Framework 5.28.0 + Qt 5.6.1]
Serveur Nextcloud 11.0.0 "running at home" - Apache/2.4.25 - PHP/7.0.14.2  (IPV6 & HTTP/2 - WebRTC)

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Comme disait "Whole" : tout dépend de ton vpn, s'il fait un push dns ?

Oui j'ai pu voir que mon fournisseur VPN ne faisait pas de push DNS, parce qu'avant l'installation de bind9, mon service de VPN a toujours  redirigé mes requêtes DNS vers des ISP Google, jamais eu de DNS de mon FAI ou autres en faisant des test DNS Leak. J'en conclue que mes requêtes DNS ne sont pas visibles depuis l'internet en clair, grâce à mon service de VPN qui ne pratique pas le psuh DNS. Merci de ton aide Oedipe.

Dernière modification par -pascal34- (Le 05/06/2014, à 00:25)

Oedipe

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Pour en avoir vraiment confirmation, regarde ce que ta machine trafique et les envois / réponses avec l'excellent "Wireshark". Tu verras tout de suite si c'est crypté ou pas, vers / de  quels serveurs, etc. etc.

Bonne journée.

---

[Kubuntu 16.04.1 LTS "Xenial" - Noyau 4.4.0-53 (x86_64) + Plasma 5.8.4 + Framework 5.28.0 + Qt 5.6.1]
Serveur Nextcloud 11.0.0 "running at home" - Apache/2.4.25 - PHP/7.0.14.2  (IPV6 & HTTP/2 - WebRTC)

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Ben en fait quand je fais un test sur DNS Test Leak, ma nouvelle adresse de serveurs DNS grâce à bind9, et qui est indiquée sur les résultats du site Internet DNS Leak Test, est maintenant toujours mon adresse VPN. Est-ce que c'est une réponse suffisante qui ferait que peut-être la mise en place de Whireshark serait à ce moment là pas vraiment indiquée car ma réponse ici suffit à penser que tout es t ok de ce côté là stp ? Je ne connais pas bien ce monde, je préfère poser des questions comme celle-ci, car je en connais pas Whireshark du tout, ça va me faire tout un tas de mode d'emploi à lire, à visionner sur youtube, à chercher à gauche à droite, et si je peux l'éviter en te disant déjà quelles sont maintenant les mêmes réponses (à chaque fois DNS Test Leak me rapporte donc que mon adresse ip de mon serveur DNS est en fait l'adresse de mon proxy-VPN), je me dis que tout est ok pour moi, mais je n'y comprends rien, je en sais même pas si cela va t'aider ce que je dis là, encore merci Oedipe...

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Merci les gars, je viens d'installer Wireshark, tout est ok, il ne trouve pas par défaut mon VPN ou simplement une interface qu'il pourrait osculter. Je suis devant un "trou noir", je ne comprends absolument rien à ce soft, mais ça à l'air puissant, il y a je ne sais pas combien de menus déroulants et d'options à l'intérieur de ceuxci. Ben je ne peux rien faire, je ne sais pas comment lancer Wireshark sur la connexion de mon VPN, ni comment vérifier le présence de requêtes DNS, ni comment voir que bind emprunte le routage défini par le push vpn, merci si vous avez du temps pour me dire comment lancer tout ça et comment faire pour vérifier les requêtes dns....

edit, ça coûterai combien pour deux personnes un vpn dédié ou vps stp ? (mon fournisseur de VPN possède une offre où ils t'envoit un routeur spécial pour créer un pont VPN jusqu'à eux, ce serait ça un réseau VPS svp ??)

Dernière modification par -pascal34- (Le 05/06/2014, à 10:25)

compte supprimé

Re : [résolu bind9]Déploiement de OpenDNSSEC svp ?

Merci à toi. Je viens de jeter un œil à Kimsufi, j'avoue ne pas connaître les différences globales entre un abonnement VPN classique et ceux que proposent Kimsufi. Merci pour le lancement de Wireshark, ça a fonctionné très bien, je n'ai pas comme sur l'exemple photo et dans la colonne protocole, de protocole DNS. Je n'ai que le protocole que j'utilise via mon VPN. Cela m'a appris à utiliser Wireshark et du coup à vérifier que je n'ai pas de fuite c'est ça ? Ou bien il faut regarder autre part sur le logiciel svp ? (J'ai que des lignes bleues à l'écran, avec en alternance sur celles-ci, soit l'adresse IP de mon PC (l'adresse locale donc fournie par mon routeur), et sur cette même ligne l'adresse IP de mon VPN. Chaque ligne bleue s’enchaîne (se supperpose dans whireshark)et annonce dans les colonnes "source" et "destination" jamais autre chose que l'adresse IP définie par mon routeur, et celle de mon VPN. C'est énorme Wireshark, on peut faire quoi d'autres avec svp ?