Komme gerade nicht zum Posten, vielleicht hat Jali nachher Zeit.

Is gibt echt noch Admins die für Parteien arbeiten, pfui Teufel, das ja fast wie Anwald sein….

GvBorch

http://cms.p018-schatzmeisterin.spd.de/ContentManager/cms/images/.svn/

Auf stats.spd.de kommt man leider nicht drauf

Aber es gibt sogar it-forum.spd.de…

Der SPD-Server erlaubt auch AXFR für alle. Securitymäßig scheinen die Leute der SPD-eigenen Office-Consult gut drauf zu sein ;-)

Wenn es schon keinen gläsernen Staat gibt, dann wenigstens eine gläserne Partei.

Man probiere mal den Befehl “host -a -l spd.de dns2.spd.de”

Ist ja auch ziemlich komplex das Thema. Zum Glück zu komplex, dass die Provider es beherrschen würden.

Zu 1)

Wenn man mehrmals “dig @dns2.spd.de cdu.de” fragt, sieht man in der Authority-Section, wie die Cachzeit runterläuft.

E.g. Erste Antwort:

;; AUTHORITY SECTION:
cdu.de. 2314 IN NS ns3.arcor-ip.de.
cdu.de. 2314 IN NS wall.cdu.de.
cdu.de. 2314 IN NS ns1.arcor-ip.de.
cdu.de. 2314 IN NS ns2.arcor-ip.de.

Ein paar Minuten später kommt

;; AUTHORITY SECTION:
cdu.de. 2170 IN NS ns2.arcor-ip.de.
cdu.de. 2170 IN NS ns3.arcor-ip.de.
cdu.de. 2170 IN NS wall.cdu.de.
cdu.de. 2170 IN NS ns1.arcor-ip.de.

Die Cache-Zeit ist von 2314 auf 2170 zurückgelaufen. Wenn die auf 0 läuft kommen wieder “a.nic.de, etc.”, sofern in der Zwischenzeit niemand eine NS-Query nach cdu.de gestellt hat.

Zu 2)
Für cdu.de sind die Server NS1.arcor-ip.de bis NS3.arcor-ip.de autoritativ, die Forwarder sind DNS1.arcor-ip.de bis DNS11.arcor-ip.de. Kleiner aber feiner Unterschied.

Ferner sind die Arcor-Server von Nominum nicht so auskunfstfreudig wie ein BIND-Server in Standard-Config. Das heißt, sie geben keine Authority-Section zurück, wenn sie nicht müssen.

“dig @DNS5.arcor-ip.de cdu.de” ergibt:

; <> DiG 9.4.2-P1 <> @DNS5.arcor-ip.de cdu.de
; (1 server found)
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 1694
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;cdu.de. IN A

;; ANSWER SECTION:
cdu.de. 7200 IN A 193.219.105.10

;; Query time: 173 msec
;; SERVER: 195.50.140.114#53(195.50.140.114)
;; WHEN: Fri Aug 7 12:37:49 2009
;; MSG SIZE rcvd: 40

Also teilt der Forwarder auf eine A-Query keine Nameserver mit. Und genau aus diesem Grund kennt der SPD-Server sie auch nicht. Der ist zwar bereit, sie freiwillig rauszurücken, wenn er sie kennt, aber wenn nicht, dann nicht. Das ist das Standard-Verhalten von BIND9.

2. Der Nameserver von Arcor, den die SPD jetzt benutzt, ist auch für cdu.de autorativ. Warum sollte der Arcorserver, der als forwarder dient, dann an die Rooterver weiterfragen, wenn er die angefragte Domain selbst verwaltet, also auch die Antwort selber geben kann?

Da er Forwarder konfiguriert hat, muss er nicht selbst die NS-Server rauskriegen.

Beispiel:

Ich vermute mal, dass der SPD-Server ZDNet.de nicht im Cache hat. Ich frage “dig @dns2.spd.de zdnet.de”.

Dann kommt:
——-
;; AUTHORITY SECTION:
de. 42999 IN NS z.nic.de.
de. 42999 IN NS a.nic.de.
de. 42999 IN NS c.de.net.
de. 42999 IN NS f.nic.de.
de. 42999 IN NS l.de.net.
de. 42999 IN NS s.de.net.
———-

Jetzt frage ich unmittelbar danach “dig @dns2.spd.de zdnet.de NS”.

Und danach wieder meine ursprüngliche Query “dig @dns2.spd.de zdnet.de”. Die Antwort ist jetzt anders als noch vor wenigen Sekunden:

———-
;; AUTHORITY SECTION:
zdnet.de. 402 IN NS ns2.cnet.com.
zdnet.de. 402 IN NS ns.cnet.com.
zdnet.de. 402 IN NS ns2.cnet.co.uk.
———-

Einfach deswegen, weil der SPD-Server jetzt die Nameserver von ZDNet.de im Cache hat. Die 402 ist die Cache-Restlaufzeit in Seklunden. nach 402 Sekunden kommt wieder die alte Antwort “a.nic.de, etc.”

Wer bisher dachte die SPD gehe mit der geplanten Internetzensur konform, hat sich wohl geirrt. Denn die SPD selbst bietet einen eigenen, offenen DNS Server an, der, zumindest bisher, nichts zensiert. Mehr dazu hier. Ich schmeiß mich weg!

Update: …