# Updates IPFire DNSSEC

**URL:** <https://ask.linuxmuster.net/t/updates-ipfire-dnssec/198>\
**Category:** Firewall\
**Created:** [12. Januar 2017 um 06:53 UTC](https://ask.linuxmuster.net/t/updates-ipfire-dnssec/198 "2017-01-12T06:53:12Z")\
**Posts on this page:** 1\
**Showing post:** 8

<div class="post-metadata">

**Author:** ![foer](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/f/ac8455/32.png) [@foer](https://ask.linuxmuster.net/u/foer)\
**Post date:** [21. März 2017 um 20:01 UTC](https://ask.linuxmuster.net/t/updates-ipfire-dnssec/198/8 "2017-03-21T20:01:30Z")

</div>

Hallo,

ja OpenDNS funktioniert schon seit IPFire 106 nicht mehr. Wenn das  
weiter funktionieren soll, dann muss man an der unbound-Konfiguration  
des IPFire rumschrauben…Jens Baumgärtner hat das herausgefunden…ich  
zitiere hier nur nochmal seine Lösung, die bei mir schon seit einem  
halben Jahr gut läuft:

—Schnipp—

ich habe jetzt in den Tiefen von unbound gestochert.  
Laut

[https://www.unbound.net/documentation/howto\_turnoff\_dnssec.html](https://www.unbound.net/documentation/howto_turnoff_dnssec.html)

Kann man das ganze dnssec-Gedöns ausschalten. Leider bringt das  
zunächst mal nichts, da der ipfire in seinem Startscript bereits vorab  
die DNS-Server, die nicht qualifiziert sind, rausfiltert. Ich habe dann  
mal dem Startscript das raussfiltern abgewöhnt:

/etc/init.d/unbound

`
test_name_server() {
local ns=3D${1}
# Return codes:
# 0 DNSSEC validating
# 1 Error: unreachable, etc.
# 2 DNSSEC aware
# 3 NOT DNSSEC-aware
*** return 2*
(…)
# Is DNSSEC-aware
return 2
}
`

In der /etc/unbound/unbound.conf habe ich dann noch ipsec abgeschaltet.

Ich habe gerade keine Lust mehr auf weiteres Testen - wer will schaue mal -  
nach, welche der zwei Optionen minimal geändert werden müssen, damit  
das jetzt mal tut:

`(...)`  
`# DNSSEC`  
`auto-trust-anchor-file: "/var/lib/unbound/root.key"`  
`# geaendert 2016/12/15: von no auf yes`  
`val-permissive-mode: yes`  
`val-clean-additional: yes`  
`val-log-level: 1`  
`# Hardening Options`  
`harden-glue: yes`  
`harden-short-bufsize: no`  
`harden-large-queries: yes`  
`# geaendet 2016/12/14: yes auf no`  
`harden-dnssec-stripped: no`  
`(...)`

Danach habe ich von den OpenDNS-Servern wieder antwort auf dem  
ipFire bekommen 🙂

Gruß  
Dominik

---

_[View the full topic](https://ask.linuxmuster.net/t/updates-ipfire-dnssec/198)._