TTL für Wildcard DNS-Records

[CoMo]

Hallo,

Ich hoste meine Domains bei deSEC und habe da unterschiedliche TTLs gesetzt. Minimum ist 3600, teilweise habe ich aber auch 12 oder 24 Stunden gesetzt. Das funktioniert soweit für die Domains, die ich aktiv angelegt habe.

Aber es funktioniert nicht für die Wildcard Domains. Jedenfalls nicht mit dem Unbound auf meiner OPNSense.

Beispiel:

<domain>.de TTL 43200
*.<domain>.de TTL 43200

<domain>.de: dig bekommt 43200, Unbound auch.

non-existant.<domain>.de: dig bekommt 43200. Unbound auf der OPNSense bekommt 300.

Wo kommen die 300 her? Kann es sein, dass Unbound hier den niedrigsten Wert nimmt, den es als Record für die Domain gibt? Das wäre nämlich SOA:

root@pve:~# dig <domain>.de SOA @ns1.desec.io
;; ANSWER SECTION:
<domain>.de.                300      IN      SOA     get.desec.io. get.desec.io. 2026024839 86400 3600 2419200 3600

Vielleicht kann mir jemand erklären, was Unbound hier macht.

Aktuell habe ich cache-min-ttl auf 1800, also 30 Minuten gesetzt, damit ich nicht alle 5 Minuten alle meine Subdomains rekursiv auflösen muss. Aber so kann das ja nicht gedacht sein.

 

[millen]

Da bin ich mir gerade nicht 100% sicher aber ich glaube unbound nimmt immer den TTL wenn es einen expliziten Eintrag im DNS dazu gibt. Daher ist xyz(.)de auch korrekt aufgelöst.

Wenn du jetzt einen wildcard eintrag hast und etwas aufrufst das nicht explizit im dns steht sondern dann fallback auf eine wildcard macht sieht unbound das als nxdomain an und macht einen fallback auf die SOA ttl bzw. den config eintrag „cache-max-negative-ttl“ und nimmt dann davon den niedrigsten als ttl.

Es könnte aus sicht von unbound ja sein, dass test.xyz(.)de ja doch vor dem ablauf der ttl von 43200 wieder existieren könnte.

 

[CoMo]

Nein, habe ich gerade ausprobiert. cache-max-negative-ttl greift nicht. Stattdessen greift weiterhin cache-min-ttl. Also ist das für Unbound keine negative Antwort.

 

[millen]

Kann natürlich sein das nicht nxdomain bei raus kommt, aber unbound aufgrund des fehlenden expliziten eintrags und den "fallback" auf die wildcard einfach sicherheitshalber den SOA wert nimmt.

Ich finde leider nirgends eine exakte Beschreibung davon wie unbound da arbeitet.

 

[CoMo]

Ja, genau das ist ja auch meine Vermutung. Aber wie kann ich das ändern, so dass Unbound die echte TTL verwendet?