http://mikrotik.moscow Новое в теме DNSSEC форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 12 Aug 2026 14:59:46 -0400 DNSSEC RouterOS в форуме RouterOS.
Просто: не используйте резолвер MikroTik для клиентов, а разрешите им напрямую использовать 1.1.1.1 или 8.8.8.8 или подобные (указывайте через DHCP).
06.07.2018 19:02:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417181 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417181 Fri, 06 Jul 2018 19:02:00 -0400 RouterOS DNSSEC RouterOS в форуме RouterOS.
Похоже, меня сегодня тоже «уронило» из-за этого. На Ubuntu 16.04 с установленным lxd 3.0.1 из xenial-backports следующая команда постоянно выдаёт ошибку:  
root@nuc1:~# lxc launch images:debian/jessie/amd64 snf-image-jessie  
Создаётся snf-image-jessie  
Ошибка: не удалось создать контейнер: Get https://images.linuxcontainers.org/streams/v1/index.json: lookup images.linuxcontainers.org на 10.12.255.1:53: read udp 10.12.255.11:46962->10.12.255.1:53: время ожидания ввода-вывода вышло  
Файл /etc/resolv.conf был направлен на 10.12.255.1, который является Mikrotik hEX PoE. tcpdump показал, что DNS-пакеты действительно отправляются, и Mikrotik отвечает на них. Но после смены DNS на 8.8.8.8 всё заработало нормально. Значит, с ответами от DNS-форвардера Mikrotik что-то не так, и lxd их не принимает; очевидное отличие — DNSSEC (хотя я не могу доказать, что именно это причина):  
root@nuc1:~# dig @10.12.255.1 images.linuxcontainers.org +dnssec +multi  
...  
;; ANSWER SECTION:  
images.linuxcontainers.org. 900 IN CNAME canonical.images.linuxcontainers.org.  
canonical.images.linuxcontainers.org. 900 IN A 91.189.91.21  
canonical.images.linuxcontainers.org. 900 IN A 91.189.88.37  
в сравнении с  
root@nuc1:~# dig @8.8.8.8 images.linuxcontainers.org +dnssec +multi  
...  
;; ANSWER SECTION:  
images.linuxcontainers.org. 77 IN CNAME canonical.images.linuxcontainers.org.  
images.linuxcontainers.org. 77 IN RRSIG CNAME 8 3 900 (  
               20180718083502 20180704052307 23359 linuxcontainers.org.  
               NdCMnXYwpegRTCx0b92mylHnjgS7msdjnfTvz+ozjZOc  
               JqA2DQxYFqsbKETc2nE3U2eOSi3UEFtR3V2959oMNTQv  
               Du8R6OdZb9hFrXh6woEyAPe93fbk+hnehKP4UtqfPRG8  
               uRJn6Tiqjdqt8TubHGQqpn9uJDpNMzSArXyZhyM= )  
canonical.images.linuxcontainers.org. 334 IN A 91.189.91.21  
canonical.images.linuxcontainers.org. 334 IN A 91.189.88.37  
canonical.images.linuxcontainers.org. 334 IN RRSIG A 8 4 900 (  
               20180710143450 20180626095643 23359 linuxcontainers.org.  
               Uumc8LbdvVrbtuihoZo1dsDZTylkDLZNzK6V+Z66i+L0  
               CIFRkbyRuHM8x2A1LQknuhwQfDJcZftjl5fPtNaztLYk  
               hkhGVZ86vVwgqCS7clZLqpr38oSroB/NbqOxP/R7ibcJ  
               l2h3UqNvLev4FpqqVYHLD/KIN62llCi7MoK7HNo= )
06.07.2018 16:41:00, candlerb.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417180 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417180 Fri, 06 Jul 2018 16:41:00 -0400 RouterOS DNSSEC RouterOS в форуме RouterOS.
Просто переключился с Draytek на CCR1009, но из-за отсутствия DNSSEC не уверен, будет ли CCR вообще запущен в промышленную эксплуатацию.
22.05.2018 05:52:00, DummyPLUG.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417179 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417179 Tue, 22 May 2018 05:52:00 -0400 RouterOS DNSSEC RouterOS в форуме RouterOS.
Полностью поддерживаю dnssec как дополнительную функцию!! +100500 за запрос на добавление. Спасибо, Mechanic
20.04.2018 10:20:00, MechanicF.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417178 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417178 Fri, 20 Apr 2018 10:20:00 -0400 RouterOS DNSSEC RouterOS в форуме RouterOS.
Сегодня у нас есть публичный DNS 1.1.1.1 от Cloudflare, 8.8.8.8 от Google с поддержкой DNS-over-TLS и DNS-over-HTTPS — оба обеспечивают шифрование «последней мили», чтобы сделать запросы DNS приватными и защитить их от подделки. Мы хотим использовать это на наших устройствах!!! Полный список DNS с dnssec https://download.dnscrypt.info/resolvers-list/v2/public-resolvers.md

Да, это не просто добавление, тема была создана несколько лет назад.

P.S. Пару DNS-серверов взломали, и они перенаправляли пользователей http://myetherwallet.com на фишинговый сайт. Это не вина @myetherwallet, мы сейчас проверяем, какие сервера надо исправить, и решим это в ближайшее время.
20.04.2018 07:34:00, lysanev.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417177 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417177 Fri, 20 Apr 2018 07:34:00 -0400 RouterOS DNSSEC RouterOS в форуме RouterOS.
Проблема с просто передачей данных DNSSEC клиентам, когда те запрашивают их, в том, что по большому счету это ни к чему не приводит. Веб-браузерам, которые сегодня наиболее часто используются, DNSSEC вообще безразличен — они с удовольствием принимают любые поддельные ответы. Другие программы и операционные системы не лучше. Чтобы получить защиту, валидация должна происходить на DNS-резолвере. Вероятно, у провайдеров она есть, но тогда ответ должен пройти через их сеть к вам, и снова может быть уязвимым. С публичными резолверами ситуация ещё хуже (длиннее путь). Если бы резолвер в RouterOS мог валидировать DNSSEC, это помогло бы. С другой стороны, это немного больше, чем просто простое добавление, поэтому MikroTik вряд ли будет спешить с этим.
06.02.2017 13:51:00, Sob.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417176 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417176 Mon, 06 Feb 2017 13:51:00 -0500 RouterOS DNSSEC RouterOS в форуме RouterOS.
Я не вижу здесь никакой дополнительной функциональности, которая мне нужна. Текущая DNS-функциональность, на мой взгляд, предназначена либо для изменения реальных DNS-ответов, либо для создания DNS-ответов только для внутреннего использования. DNS Mikrotik пропускает DNSSEC-ответы с реального DNS-сервера к клиенту.
06.02.2017 07:58:00, msatter.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417175 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417175 Mon, 06 Feb 2017 07:58:00 -0500 RouterOS DNSSEC RouterOS в форуме RouterOS.
+1 за DNSSec как дополнительную функцию
06.02.2017 02:24:00, Tabco2.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417174 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417174 Mon, 06 Feb 2017 02:24:00 -0500 RouterOS DNSSEC RouterOS в форуме RouterOS.
+1 за просьбу добавить эту функцию
16.01.2017 18:52:00, loredo.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417173 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417173 Mon, 16 Jan 2017 18:52:00 -0500 RouterOS DNSSEC RouterOS в форуме RouterOS.
Поддерживаю! +1 за DNSSec на резолвере.
24.05.2016 06:34:00, chebedewel.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417172 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417172 Tue, 24 May 2016 06:34:00 -0400 RouterOS DNSSEC RouterOS в форуме RouterOS.
+1 за запрос на добавление функции
28.05.2015 12:14:00, papuas.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417171 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417171 Thu, 28 May 2015 12:14:00 -0400 RouterOS DNSSEC RouterOS в форуме RouterOS.
+1 за DNSSEC. У нас есть клиенты, которым нужна эта функция.
26.04.2015 15:15:00, StubArea51.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417170 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417170 Sun, 26 Apr 2015 15:15:00 -0400 RouterOS DNSSEC RouterOS в форуме RouterOS.
Есть какие-то новости на этот счёт? DNSSEC становится мировым стандартом, и всё больше провайдеров его внедряют. Но если провайдер использует продукцию Mikrotik, DNSSEC развернуть не получается. Пожалуйста, Mikrotik, дайте нам больше причин использовать вашу продукцию.
06.11.2013 13:04:00, EMOziko.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417169 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417169 Wed, 06 Nov 2013 13:04:00 -0500 RouterOS DNSSEC RouterOS в форуме RouterOS.
Есть какая-то причина, по которой DNSSEC до сих пор не внедрён?
26.04.2015 14:08:00, zopper.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417168 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417168 Sun, 26 Apr 2015 14:08:00 -0400 RouterOS DNSSEC RouterOS в форуме RouterOS.
+1000000 за предложение функции
15.02.2015 15:13:00, mhoungbo.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417167 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417167 Sun, 15 Feb 2015 15:13:00 -0500 RouterOS DNSSEC RouterOS в форуме RouterOS.
Нет, он тоже не поддерживает DNSCurve (преемник/замена DNSSec, предложенная около двух лет назад, но задержанная для одобрения).
01.10.2014 12:58:00, Zorro.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417166 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417166 Wed, 01 Oct 2014 12:58:00 -0400 RouterOS DNSSEC RouterOS в форуме RouterOS.
+1 за запрос на функцию
01.10.2014 09:01:00, oreggin.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417165 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417165 Wed, 01 Oct 2014 09:01:00 -0400 RouterOS DNSSEC RouterOS в форуме RouterOS.
Я бы тоже поддержал это. Было бы здорово иметь возможность включать валидацию на RouterOS.
24.02.2014 04:08:00, itchycube.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417164 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417164 Mon, 24 Feb 2014 04:08:00 -0500 RouterOS DNSSEC RouterOS в форуме RouterOS.
Поддерживает ли RouterOS DNSSEC? DNSSEC сейчас на слуху. Похоже, внедряют в июле.
15.06.2010 16:53:00, Xymox.]]> http://mikrotik.moscow/forum/forum57/87456-dnssec/message417163 http://mikrotik.moscow/forum/forum57/87456-dnssec/message417163 Tue, 15 Jun 2010 16:53:00 -0400 RouterOS