# TLSA RRset IPv4 HTTPs SMTPs - Interrogation **URL:** \ **Category:** Support Debian\ **Tags:** securité, dns\ **Created:** [Novembre 18, 2023, 3:22 UTC](https://www.debian-fr.org/t/tlsa-rrset-ipv4-https-smtps-interrogation/89183 "2023-11-18T15:22:26Z")\ **Posts on this page:** 10\ **Page:** 1
**Author:** ![anon36725218](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/8e8cbc/32.png) [@anon36725218](https://www.debian-fr.org/u/anon36725218)\ **Post date:** [Novembre 18, 2023, 3:22 UTC](https://www.debian-fr.org/t/tlsa-rrset-ipv4-https-smtps-interrogation/89183/1 "2023-11-18T15:22:26Z")
Bonjour, Comme tout les administrateurs le savent, chez nos hébergeurs de serveurs dédiés nous ne pouvons pas gérer le reverse de l’adresse IPv4 depuis un serveurs DNS interne à la machine. Cela pause problème : - pour le reverse DNS de l’IPv4 (on ne peut qu’assigner un seul nom de serveur (d’IPv4), via l’interface de gestion). - pour l’association DANE entre le nom de domaine et le certificat TLS - J’ai un doute, justement la dessus. Exemple [Website test: zw3b.eu](https://internet.nl/site/zw3b.eu/2469937/) : [![Screenshot 2023-11-18 at 16-03-11 Website test zw3b.eu](https://www.debian-fr.org/uploads/default/original/2X/0/0f7055639205b590e0eee942c0a57515723cba58.png)](https://internet.nl/site/zw3b.eu/2469937/#control-panel-10) Je ne sais pas comment « internet.nl » me retourne cela : DANE existence → DANE TLSA record existance sur l’IPv4), mais bon - Auriez-t’il un soucis d’interrogation ? Puisque à ce que je sais, on interroge un enregistrement de ressource DANE par rapport au certificat TLS et du (associé au) protocole HTTPs (site web) et nom, entité comme cela : ``` $ host -t TLSA _443._tcp.zw3b.eu _443._tcp.zw3b.eu has TLSA record 3 0 1 98000A3E3FF9111437F3890484A8B0637C74549D848B01DBD935FA36 C30B6C61 ``` Certes les RRset « zw3b.eu » sont configurés avec un enregistrement IPv4 et IPv6. ``` $ host zw3b.eu zw3b.eu has address 158.69.126.137 zw3b.eu has IPv6 address 2607:5300:60:9389::1 zw3b.eu mail is handled by 10 smtp.zw3b.eu. ``` Que pensez-vous de çà - Auriez-t’il une erreur d’interrogation côté « internet.nl » ; test website ? PS : Je vois qu’il y a écris « not tested » → parce s’ils chercheraient à trouver le rDNS de l’IPv4 (qui retournerait, donc, « mail.zw3b.eu ») et puis sa signature - il tomberaient sur un autre certificats TLS celui de « mail.zw3b.eu »). Je vous ajoute ces informations (ma zone rDNS de mon l’IPv4 - que personne ne peut interroger depuis l’internet, à part avoir mon DNS dans son resolv.conf) : ``` $ dig -x 158.69.126.137 +short @my_dns_lan mail.zw3b.fr. zw3b.blog. ipv01.net. mail.zw3b.blog. ipv10.net. zw3b.net. lab3w.com. zw3b.tv. mail.lab3w.com. zw3b.fr. mail.ipv10.net. lab3w.fr. mail.lab3w.fr. mail.ipv01.net. mail.zw3b.site. zw3b.site. mail.zw3b.tv. mail.zw3b.net. ``` Ce que vois l’internet, le rDNS de mon IPv4 (configuré dans le panel de mon hébergeur) : ``` $ dig -x 158.69.126.137 +short @dns.google mail.zw3b.eu. ``` Et pourtant même l’IPv6 (principal) pointe sur un autre nom : ``` $ dig -x 2607:5300:60:9389::1 +short @dns.google wan.ipv10.net. $ dig -x 2607:5300:60:9389::1 +short @my_dns_lan wan.ipv10.net. ``` Mon DNS : « my\_dns\_lan » c’est celui-ci : « [dns.ipv10.net](http://dns.ipv10.net) » 😉 Donc, comme je l’expliquais, ci-dessus, çà doit être une erreur d’interrogation TLSA. * * * Note de Moi-même : Bon Ok, mesdames, messieurs, j’ai une erreur dans l’ordre des préférences algorithmiques TLS - je n’ai pas activé HSTS (redirection HTTPS obligatoire pour le client), et n’ai pas de politique de sécurité sur mes contenus (je suis tout seul à bosser sur les sites web - tout va bien). Bonne journée, bon weekend à vous. Salutations, Romain * * * DANE : DNS-based Authentication of Named Entities. TLSA : Transport Layer Security Authentification. PTR : PoinTer Records or Reverse DNS records. SNI : Server Name Indicator ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Novembre 18, 2023, 3:42 UTC](https://www.debian-fr.org/t/tlsa-rrset-ipv4-https-smtps-interrogation/89183/2 "2023-11-18T15:42:53Z")
> [@anon36725218](#): > > pour le reverse DNS de l’IPv4 (on ne peut qu’assigner un seul nom de serveur (d’IPv4), via l’interface de gestion). C’est normal, c’est la norme DNS, un seul PTR par adresse IP. ---
**Author:** ![anon36725218](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/8e8cbc/32.png) [@anon36725218](https://www.debian-fr.org/u/anon36725218)\ **Post date:** [Novembre 18, 2023, 3:43 UTC](https://www.debian-fr.org/t/tlsa-rrset-ipv4-https-smtps-interrogation/89183/3 "2023-11-18T15:43:39Z")
> [@Zargos](#): > > C’est normal, c’est la norme DNS, un seul PTR par adresse IP. Source ? Parce que de chez vous, vous pouvez voir cela (c’est une de « mes » IPv6). WEB Servers : ``` $ host 2607:5300:60:9389:15:1:a:10 0.1.0.0.a.0.0.0.1.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer w1a.zw3b.fr. 0.1.0.0.a.0.0.0.1.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer w1a.zw3b.site. 0.1.0.0.a.0.0.0.1.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer w1a.zw3b.blog. 0.1.0.0.a.0.0.0.1.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer w1a.zw3b.net. 0.1.0.0.a.0.0.0.1.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer w1a.zw3b.tv. 0.1.0.0.a.0.0.0.1.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer w1a.zw3b.eu. 0.1.0.0.a.0.0.0.1.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer w1a.zw3b.com. $ host 2607:5300:60:9389:15:2:a:10 0.1.0.0.a.0.0.0.2.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer ww2.zw3b.blog. 0.1.0.0.a.0.0.0.2.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer ww2.zw3b.site. 0.1.0.0.a.0.0.0.2.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer ww2.zw3b.eu. 0.1.0.0.a.0.0.0.2.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer ww2.zw3b.tv. 0.1.0.0.a.0.0.0.2.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer ww2.zw3b.net. 0.1.0.0.a.0.0.0.2.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer ww2.zw3b.com. 0.1.0.0.a.0.0.0.2.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer ww2.zw3b.fr. ``` NS servers : ``` $ host 2607:5300:60:9389:15:1:a:1000 0.0.0.1.a.0.0.0.1.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer ns1.ipv01.net. 0.0.0.1.a.0.0.0.1.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer ns1.ipv10.net. $ host 2607:5300:60:9389:15:2:a:1000 0.0.0.1.a.0.0.0.2.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer ns2.ipv01.net. 0.0.0.1.a.0.0.0.2.0.0.0.5.1.0.0.9.8.3.9.0.6.0.0.0.0.3.5.7.0.6.2.ip6.arpa domain name pointer ns2.ipv10.net. ``` 😉 ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Novembre 18, 2023, 3:48 UTC](https://www.debian-fr.org/t/tlsa-rrset-ipv4-https-smtps-interrogation/89183/4 "2023-11-18T15:48:57Z")
> [@anon36725218](#): > > Source ? La RFC 1035 bonne lecture. ---
**Author:** ![anon36725218](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/8e8cbc/32.png) [@anon36725218](https://www.debian-fr.org/u/anon36725218)\ **Post date:** [Novembre 18, 2023, 4:05 UTC](https://www.debian-fr.org/t/tlsa-rrset-ipv4-https-smtps-interrogation/89183/5 "2023-11-18T16:05:14Z")
@Zargos, il y a plusieurs RFC depuis les milles premières.. faut suivre 😉 🤣 😊 - depuis 1987 du RFC 🤪 je plaisante - « bise » à vous, monsieur, madame ! > [RFC 2181 : Clarifications to the DNS Specification → Enregistrements PTR](https://datatracker.ietf.org/doc/html/rfc2181#section-10.2) (July 1997) > > La confusion au sujet des noms canoniques a conduit à croire qu’un enregistrement PTR devrait avoir exactement un RR dans son RRSet. C’est incorrect, la section pertinente de la RFC1034 (section 3.6.2) indique que la valeur d’un enregistrement PTR doit être un nom canonique. Autrement dit, il ne devrait pas s’agir d’un pseudonyme. **Rien dans cet article n’implique qu’un seul enregistrement PTR soit autorisé pour un nom. Aucune restriction de ce type ne devrait être déduite.** > > Notez que même si la valeur d’un enregistrement PTR ne doit pas être un alias, il n’est pas obligatoire que le processus de résolution d’un enregistrement PTR ne rencontre aucun alias. L’étiquette recherchée pour une valeur PTR peut avoir un enregistrement CNAME. Autrement dit, il pourrait s’agir d’un pseudonyme. La valeur de ce RR CNAME, sinon un autre alias, ce qui ne devrait pas être le cas, donnera l’emplacement où se trouve l’enregistrement PTR. Cet enregistrement donne le résultat de la recherche du type PTR. Ce résultat final, la valeur du RR PTR, est le label qui ne doit pas être un alias. Salutations, Romain ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Novembre 18, 2023, 4:19 UTC](https://www.debian-fr.org/t/tlsa-rrset-ipv4-https-smtps-interrogation/89183/6 "2023-11-18T16:19:40Z")
Essaye de faire joujou sur internet avec des PTR dont l’IP pointe sur plusieurs nom, sans compter les certificats et je te souhaite bon courage. Car il y a l’implémentation au delà de la RFC. ---
**Author:** ![anon36725218](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/8e8cbc/32.png) [@anon36725218](https://www.debian-fr.org/u/anon36725218)\ **Post date:** [Novembre 18, 2023, 4:21 UTC](https://www.debian-fr.org/t/tlsa-rrset-ipv4-https-smtps-interrogation/89183/7 "2023-11-18T16:21:09Z")
> [@Zargos](#): > > Essaye de faire joujou sur internet avec des PTR dont l’IP pointe sur plusieurs nom, sans compter les certificats et je te souhaite bon courage. çà va bien de mon côté 🙂 par exemple : [SSL Server Test: smtp.zw3b.eu (Powered by Qualys SSL Labs)](https://www.ssllabs.com/ssltest/analyze.html?d=smtp.zw3b.eu) - [SSL Server Test IPv6 : smtp.zw3b.eu (Powered by Qualys SSL Labs)](https://www.ssllabs.com/ssltest/analyze.html?d=smtp.zw3b.eu&s=2607%3a5300%3a60%3a9389%3a17%3a4c1%3a0%3a1a&latest) - [SSL Server Test IPv4 : smtp.zw3b.eu (Powered by Qualys SSL Labs)](https://www.ssllabs.com/ssltest/analyze.html?d=smtp.zw3b.eu&s=158.69.126.137&latest) ![Screenshot 2023-11-18 at 17-29-48 SSL Server Test smtp.zw3b.eu (Powered by Qualys SSL Labs)](https://www.debian-fr.org/uploads/default/original/2X/2/2e77e143e6a612a8e5d4e97e8fb50a37d9d80b24.png) > [@Zargos](#): > > Car il y a l’implémentation au delà de la RFC. ¿ des G.A.F.A.M → Google Apple Facebook Amazon Microsoft ? ---
**Author:** ![anon36725218](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/8e8cbc/32.png) [@anon36725218](https://www.debian-fr.org/u/anon36725218)\ **Post date:** [Novembre 30, 2023, 1:25 UTC](https://www.debian-fr.org/t/tlsa-rrset-ipv4-https-smtps-interrogation/89183/8 "2023-11-30T13:25:34Z")
> [@anon36725218](#): > > > [RFC 2181 : Clarifications to the DNS Specification → Enregistrements PTR](https://datatracker.ietf.org/doc/html/rfc2181#section-10.2) (July 1997) > > > > La confusion au sujet des noms canoniques a conduit à croire qu’un enregistrement PTR devrait avoir exactement un RR dans son RRSet. C’est incorrect, la section pertinente de la RFC1034 (section 3.6.2) indique que la valeur d’un enregistrement PTR doit être un nom canonique. Autrement dit, il ne devrait pas s’agir d’un pseudonyme. **Rien dans cet article n’implique qu’un seul enregistrement PTR soit autorisé pour un nom. Aucune restriction de ce type ne devrait être déduite.** > > > > Notez que même si la valeur d’un enregistrement PTR ne doit pas être un alias, il n’est pas obligatoire que le processus de résolution d’un enregistrement PTR ne rencontre aucun alias. L’étiquette recherchée pour une valeur PTR peut avoir un enregistrement CNAME. Autrement dit, il pourrait s’agir d’un pseudonyme. La valeur de ce RR CNAME, sinon un autre alias, ce qui ne devrait pas être le cas, donnera l’emplacement où se trouve l’enregistrement PTR. Cet enregistrement donne le résultat de la recherche du type PTR. Ce résultat final, la valeur du RR PTR, est le label qui ne doit pas être un alias. > > Salutations, > Romain Bon qui pourrait « instruire » les commerciaux de l’Internet. Par exemple sur mon serveur mail « mail.my\_server.com » je suis bloqué, je ne peut pas configurer les noms des hosts de mes clients, je suis obligé de mettre mon smtp (global), le du serveur. Je ne peut pas leur assigner leur nom de domaine. [smtp.client1.com](http://smtp.client1.com) (certif TLS et rDNS IPv4) correspondant [smtp.client2.com](http://smtp.client2.com) (certif TLS et rDNS IPv4) correspondant. Je ne vais pas acheter/louer une IPv4 par client qui pointerait (en plus) sur la même machine. J’ajoute que sur UNE IPV4, j’ai « généralement » un bloc IPv6::/64 de plus, bien plus d’un million d’adresses IPv6. Il serait tout a fait normal de pouvoir configurer plusieurs rDNS sur l’IPv4 et selon le SNI (Server Name Indicateur), je pourrais alors configurer DANE (TLSA), le certificat des protocoles SMTPs, IMAPs, POP3s.. Parce que là çà fait moche → T’as un mail [monmail@undomain.com](mailto:monmail@undomain.com) et quand t’essaies de configurer dans ton logiciel client, il te sort le certificat de l’hébergeur… Je ne vais pas ajouter au certificat du serveur global, les noms des domaines des clients, en subjectAltName, çà serait bizarre. C’n’est pas très « users friends ». NdMoi-même : pour les webmails tout va bien grâce au reverse proxy web. Romain PS : Je vais passer le mot sur un forum américain et mail. Parlez de ça entre vous s’il vous plaît - cela le semble important ! Sportivement 😉 J’aime bien ma marque, mais bon. Sinon, ils font tous çà les hébergeurs mails ; les mecs qui payent un services domaine/mail chez Google configurent le smtp de google 🤣🤨 C’est « ouf ». PS : Le titre du sujet - être connaisseur. ---
**Author:** ![anon36725218](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/8e8cbc/32.png) [@anon36725218](https://www.debian-fr.org/u/anon36725218)\ **Post date:** [Novembre 30, 2023, 3:54 UTC](https://www.debian-fr.org/t/tlsa-rrset-ipv4-https-smtps-interrogation/89183/9 "2023-11-30T15:54:07Z")
[Test mail lab3w.fr (Internet.nl)](https://internet.nl/mail/lab3w.fr/1081396/) - 97% ![Screenshot_2023-11-30-16-47-32-79_40deb401b9ffe8e1df2f1cc5ba480b12](https://www.debian-fr.org/uploads/default/original/2X/f/f90193e7873c785dba7f3c4c857d593153c69aaf.jpeg) Sur [ssllabs.com](http://ssllabs.com) c’est mauvais → [mail.lab3w.fr](http://mail.lab3w.fr) par contre mail.zw3b.eu c’est OK ! Il manque juste ce petit truc les gars, ISP, mes Seigneurs, nos Seigneurs. Juste çà 😉😊 Sur [lab3w.com](http://lab3w.com) c’est bon (100% valid, conform, security) parce que j’ai configuré le MX sur le [smtp.ISP.net](http://smtp.ISP.net) ---
**Author:** ![anon36725218](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/8e8cbc/32.png) [@anon36725218](https://www.debian-fr.org/u/anon36725218)\ **Post date:** [Novembre 30, 2023, 10:32 UTC](https://www.debian-fr.org/t/tlsa-rrset-ipv4-https-smtps-interrogation/89183/10 "2023-11-30T22:32:27Z")
J’ai peut-être une solution : HA-proxy. > **[Set Up SMTP and IMAP Proxy with HAProxy (Debian, Ubuntu, CentOS)](https://www.linuxbabe.com/mail-server/smtp-imap-proxy-with-haproxy-debian-ubuntu-centos)** > > This tutorial is going to show you how to set up SMTP and IMAP proxy for your mail server with HAProxy. You can run a VPS (Virtual Private Server) at a data center and use it as a proxy for your mail server. Cà m’a fait penser à (et si je pouvais tester une 2ème solution mail, ce serait de la bombe) > [@Gateway/Proxy/Cluster -\> 2 servers Mail](https://www.debian-fr.org/t/gateway-proxy-2-servers-mail/89245): > > Bonjour, Rien à voir avec [ma derniere demande](https://www.debian-fr.org/t/tlsa-rrset-ipv4-https-smtps-interrogation/89183), mais ; Si je souhaitais ajouter un 2ème MX à mon nom de domaine (mail) quelle serait la solution pour avoir mes mails disponibles (envoyés, stockés) sur 2 mes serveurs mail et cela avec qu’une seule et même adresse IPv4. Serveur 1 - « Zimbra » Serveur 2 - « BlueMind » pour essayer cette solution. Si vous cherchez une solution française, open source et que vous êtes sensible aux enjeux de souveraineté numérique, BlueMind est le service mail qui… 😉 Bonne appétit !