Algemeen

Controles DNScheck

De volgende controles worden op dit moment door de DNScheck uitgevoerd:

• minimaal twee nameservers
• nameservers moeten allen een uniek IP hebben
• nameservers moeten functioneren
• nameservers moeten authorative zijn
• de MNAME in de SOA moet overeenkomen met de opgegeven primaire namesever
• de RNAME moet een geldig e-mail adres zijn (MX check)
• voor elke nameserver moet er een NS record zijn
• controle A records behorend bij opgegeven nameservers en NS records
• secondaire nameservers mogen niet hogere serial hebben dan primary
• SOA, NS, MX en CNAME moeten verwijzen naar A record (niet rechtstreeks naar IP, CNAME of niet bestaand record)
• waarschuwing bij records waar men vermoedelijk een punt is vergeten (met als resultaat naamvandomein.nl.naamvandomein.nl)
• er mogen alleen geldige tekens [a-z0-9-] in een domeinnaam onderdeel zitten, en het domein mag niet met een - beginnen of eindigen.
• indien er een CNAME record is mogen er geen andere records met dezelfde naam bestaan
• waarschuwing bij exteem hoge of lage TTL
• waarschuwing bij velden met dezelfde naam en type maar andere TTL
• waarschuwing indien de SOA velden waarden bevatten die buiten het door DENIC (.de) vereiste bereik liggen
• waarschuwing indien nameservers in hetzelfde (class-C IP block) netwerk zitten

Beperkingen:

• forward zones en AAAA records worden op dit moment niet onderteund.

Eisen Nic.at (.at)

Inleiding

Nic.at voert bij elke nameserver wijziging een nameserver controle uit.
De controle is niet webbased, bij fouten wordt een aanvraag afgewezen en een e-mail teruggestuurd met de waargenomen problemen.

Bron: Nic.at

All name servers entered in the template are checked using all the IP addresses indicated. If glue records have been entered, the IP address is used for the query instead of the host name. The following queries must return answers that are correct and aa-flagged (authoritative answer) :
The entire set of name server host names must be returned after an ns query for the domain.
The IP addresses of the ns hosts must match the IP addresses of the template check.
No CNAME record is allowed for an ns host (it must have a direct A record).
No CNAME record is allowed for the zone name.
The SOA record for the zones must be returned. The MNAME of the SOA record must match one of the template's MNAMEs. Otherwise, the host must pass the same tests as those stipulated for the name server check, while the MNAME must tally with the host name (hidden master).
If a glue record is required for the MNAME, the entered name servers must execute a proper address resolution. All entered name servers must return matching addresses. These addresses are used to check the hidden master name servers.

All entered name servers and hidden master name servers must be accessible via any address, UDP port 53, and via TPC port 53.

Eisen SWITCH (.ch en .li)

Inleiding

Nic.ch voert bij elke domein registratie en nameserverwijziging een nameserver controle uit.
Elke nameserver die door een .ch of .li domein wordt gebruikt, dient eerst bij SWITCH apart aangemeld te worden.

Bron: SWITCH

Each of the nameservers has to be configured properly for the domain name concerned. The nameserver test expects the following configuration:

• a SOA (start of authority) resource record of the domain name concerned,
• at least two NS (nameserver) resource records for the domain name concerned.
• CNAMEs for nameservers or domain names are not allowed (see also RFC 1912 "Common DNS Operational and Configuration Errors").
• If the nameserver name contains the domain name to be activated, at least one A (address) resource record for the nameserver is also required. This record has do be identical to the IP address found in that nameserver's database entries.

Eisen DENIC (.de)

Inleiding

DENIC voert bij elke nameserver wijziging een nameserver controle uit.
De controle is niet webbased, bij fouten wordt een aanvraag afgewezen en een e-mail teruggestuurd met de waargenomen problemen.

Van belang is dat de nameservers in verschillende (class-C) netwerken moeten staan, en dat de SOA waarden binnen het door DENIC aanbevolen bereik vallen.

Bron: DENIC

All the authoritative name servers for the new zone must be indicated. Also, all the matching SOA records (SOA = Start Of Authority) must be uniform and must fall within the following guidance values (indicated in seconds):

refresh : 10000 - 86400

retry: 1800 -28800

expire: 604800 - 3600000

Eisen DNS-LU (.lu)

Inleiding

DNS-LU voert bij elke nameserver wijziging een nameserver controle uit.

Bron: DNS-LU

1. the nameserver must answer authoritatively for the requested domain,
2. the supplied name of the nameserver must not be an alias (i.e. the label of a CNAME record),
3. the hostname of the nameserver must match the supplied IP address,
4. the nameserver must be listed as nameserver (IN NS record) for the requested domain,
5. the hostnames of the nameserver must be RFC compliant.

Eisen SIDN (.nl)

Inleiding

SIDN voert bij elke registratie, nameserver wijziging, verhuizing en overdracht een nameserver controle uit.
Hierbij wordt een rapport gegenereerd waarbij onderscheid gemaakt wordt tussen Errors (E), Warnings (W) en Informationals (I). Een registratie/mutatie wordt uitsluitend verwerkt indien er geen (0) Errors zijn.

De hieronder opgenomen lijst met controles is slechts indicatief. De controles die uitgevoerd worden door de huidige versies van de nameserver controle kunnen afwijken.

Zone controle

• Heeft elk RR een geldig type? (E)
• Zijn alle RRs van de IN-klasse? (W)
• Zijn er out-of-bound resources? (E)
• Heeft een RR een eigen TTL waarde? (W voor SOA en NS records, anders I)
• Heeft elk RR het juiste aantal velden, heeft de waarde het juiste aantal componenten en heeft elke component een geldige waarde (E)
• Zijn er geen verouderde RR typen aanwezig? (W)
• Zijn er tenminste twee (verschillende) NS records? (E)
• Zijn alle nameservers canonieke namen? (E)
• Heeft het domein zelf een MX record of een A record? (E)
• Hebben alle opgegeven nameservers een NS record? (E)
• Geven de nameservers die wel in enige zone file voorkomen, maar niet zijn opgegeven zelf geen extra nameservers op? (W)
• Adventeren alle nameservers tenminste de opgegeven nameservers? (E)
• Komen er geen duplicaat RRs voor? (I)

SOA record controle

• Bevat de zone precies 1 SOA record en is dit een SOA record voor het domein zelf? (E)
• Heeft de origin (primary) zelf een NS record? (E)
• Heeft het host-deel van het contact-adres een MX of een A record en geen CNAME record? (E)
• Is het contact-adres een geldig adres volgens RFC2822? (E)
• Heeft de zone een geldig serienummer (numeriek, groter dan nul)? (E)
• Is Minimum kleiner dan Expire? (E)

Aanbevolen waarden SOA (W):

NS records controle

• Zijn alle noodzakelijke glue-records aanwezig? (E)
• Zijn er geen nameservers met de naam www? (W)

A records controle

• Is er een A record voor localhost (als als er ook andere A records zijn)? (W)
• Heeft localhost alleen 127.0.0.1 als adres? (W)
• Heeft de zone A records? (W)

CNAME records controle

• Heeft elk cname record geen andere RR? (E)
• Is de waarde van elke CNAME record een canonieke naam? (E)

MX records controle

• Heeft elke MX server een IP-adres? (E)
• Zijn er geen duplicaat MX records met verschillende preferenties? (E)
• Geeft de nameserver een antwoord op de vraag of er wildcard MX records zijn? (E)