*SOLVED* CAA DNS Records

[hec_tech]

Ich wollte die CAA Records für eine Testdomain erstellen und habe nun folgendes Problem:

wenn ich nur für die Domain den CAA Record setze funktioniert dieser für die ganzen Subdomains nicht.
Gibt es eine Möglichkeit CAA Records Domainweit zu implementieren? Wenn ja wie?

Sobald ich den Record für einen A bzw AAAA Record in der Domain setze funktioniert alles wie es soll:
also beispielsweise webmail.domain.com

[bluestar]

wenn ich nur für die Domain den CAA Record setze funktioniert dieser für die ganzen Subdomains nicht.

Poste doch mal die komplette DNS Zone deiner Testdomain.

[hec_tech]

Das Zonefile ist etwas groß bzw kann ich das nur über axfr exportieren.

Reichen dir die relevanten Einträge? Also CAA/SOA/NS

Code: Alles auswählen

vector-its.at.          3464    IN      SOA     ns1.vector-its.at. hostmaster.vector-its.at. 2022121905 10800 3600 604800 3600
vector-its.at.          3600    IN      NS      ns2.vector-its.at.
vector-its.at.          3600    IN      NS      ns3.vector-its.at.
vector-its.at.          3600    IN      NS      ns1.vector-its.at.
vector-its.at.          2794    IN      CAA     0 issue "letsencypt.org"
vector-its.at.          2794    IN      CAA     0 issuewild "letsencrypt.org"
webmail.vector-its.at.  3600    IN      CAA     0 issue "letsencrypt.org"

[bluestar]

Das Zonefile ist etwas groß bzw kann ich das nur über axfr exportieren.

Reichen dir die relevanten Einträge? Also CAA/SOA/NS

Ja das genügt vollkommen.

Ich habe CAA noch nicht umgesetzt und getestet, würde aber vermuten das du nur folgende Einträge brauchst:

Code: Alles auswählen

vector-its.at.          2794    IN      CAA     0 issuewild "letsencrypt.org"
*.vector-its.at.  3600    IN      CAA     0 issuewild "letsencrypt.org"

Am Range noch die Frage mit welcher CA machst du den Fail-Test? Zero-SSL oder einer andern? Ich würde das dann nämlich auch mal testen

[bluestar]

Ich hab meine Domain gerade mal dem Schema wie von mir skizziert angepasst und getest: https://caatest.co.uk/

Das sieht für mich soweit gut aus.

[hec_tech]

Sobald ich den CAA Record für Webmail wegnehme funktioniert keine Zertifikatsaustellung mehr.

Ich hätte das zumindest so verstanden dass der Domain Records auf alle A/AAAA/CNAME Records vererbt wird. Dem ist aber leider nicht so.

Ich teste das mit Certbot - der verweigert aber die Austellung.
Habe deswegen Testweise eben auch einen CAA Record für Webmail erstellt - hier funktioniert die Austellung sofort.

[hec_tech]

Wir haben wohl beide den Fehler übersehen

0 issue "letsencypt.org" - das kann ja nicht funktionieren.