F5 DNS : DNS Express et transferts de zone

DNS Express charge une zone à partir d’un serveur primaire et répond à grande vitesse aux requêtes sur cette zone. Ce n’est pas un cache de récursion. Le nom de zone, l’objet nameserver, le profil DNS et le listener doivent former un ensemble cohérent.

NOTIFY signale qu’une version plus récente peut être disponible ; le transfert apporte les données. Le serial SOA aide à vérifier quelle version est chargée. Sans transfert initial réussi, un listener joignable n’assure pas que la zone soit servie.

Restreignez les clients autorisés aux transferts et vérifiez les règles réseau. TSIG authentifie les échanges configurés ; DNSSEC signe les données DNS. Ces deux protections ont des rôles différents et TSIG ne chiffre pas la zone.

Si DNS Express doit à son tour servir des transferts à des secondaires, configurez explicitement ce rôle et les clients admis. Une autorisation de recevoir la zone ne signifie pas automatiquement que n’importe quel serveur peut la récupérer.

Ces repères permettent de relier le besoin à la configuration et aux observations. Comparer les objets réellement attachés au service avant de modifier un réglage.

Le primaire connaît une nouvelle adresse mais DNS Express annonce l’ancienne. Comparez les serials SOA, l’état du transfert, les permissions et TSIG. Un test de résolution seul ne distingue pas un cache client d’une zone qui n’a pas été mise à jour.

Expliquez la décision du schéma, puis recherchez dans la référence les objets qui la produisent. Pour DNS, justifiez aussi ce qui changerait si un prérequis échouait : une réponse DNS, une décision WAF et une autorisation d’accès ne se vérifient pas au même endroit.

Revenir au parcours F5 DNS pour lire les guides voisins et leurs exemples.