Sommaire
Trop Long ; Pas Lu (note aux utilisateurs actuels et pressés)
La nouvelle version de netlibre représente une réécriture complète du service. Points à retenir : bien meilleure stabilité, les domaines peuvent être gérés à plusieurs et même transférés entre utilisateurs, et bien davantage de vérifications sont faites sur les entrées des utilisateurs pour prévenir un maximum d’erreurs.
Pour les utilisateurs actuels : votre compte a été migré. Vous pouvez voir vos domaines depuis la nouvelle interface. Le contenu des zones n’a cependant pas été repris (pour des contraintes techniques), il faudra les re-remplir mais je pourrai vous fournir vos zones sur demande.
Pas d’inquiétude : les zones actuelles sont toujours servies, il n’y a pas eu de coupure du service DNS. Tant que vous ne faites pas de modification de votre zone sur l’interface, l’ancienne zone reste servie.
Une adresse email vous est demandée lors de votre connexion, elle est désormais obligatoire. Elle permet la récupération de mot de passe, de vous tenir informé des interruptions (volontaires ou non) du service ainsi que des mises à jour.
Connectez-vous au moins une fois dans les 6 mois. Pour faire du ménage je supprimerai les comptes qui ne se connectent pas au moins une fois dans les 6 mois suivant la publication de cet article.
Présentation du service
Le service netlibre fournit des noms de domaines (ou noms de SOUS-domaines si vous préférez) gratuitement. Ainsi, n’importe qui peut se réserver un nom de domaine en « *.netlib.re » ou « *.codelib.re ». L’administration du domaine se fait en quelques clics, sans compétences requises. Ce service est donc utile pour n’importe qui souhaitant un nom de domaine, à titre individuel ou pour une association par exemple.
Il est également possible de mettre à jour dynamiquement une adresse IP d’un enregistrement. Avoir une adresse IP dynamique n’est donc pas un frein à l’utilisation du service ; ce qui est courant pour les connexions à Internet chez les particuliers.
Le code source du service est entièrement libre, que ce soit l’interface, le service d’authentification ou le service dnsmanager qui lie l’interface web au serveur de noms. Tout est libre, sous licence ISC.
Histoire
Cela fait désormais plus de 9 ans que le site netlibre permet de réserver et de gérer des noms de domaines, gratuitement (le service est même encore plus vieux que ça, mais c’était beaucoup plus confidentiel). Un article sur LinuxFr.org avait été posté, puis 9 ans se sont écoulés non sans peine.
L’objectif initial était de me permettre de gérer des zones simplement et mettre à jour des adresses IP de manière automatique. De mémoire, selon mes recherches de l’époque, rien n’existait en libre pour faire cela ; les outils s’en approchant étaient trop complexes pour la simple gestion d’une zone. J’ai donc développé un outil permettant de visualiser de manière claire une zone et de modifier les entrées comme on pouvait le voir sur des sites professionnels. C’était à la fois directement utile pour moi, et un petit défi technique qui m’intéressait. Comme cela semblait utile pour d’autres personnes, j’ai partagé avec grand enthousiasme mon petit bricolage.
Malgré l’engouement du début, le site a très peu évolué par la suite, par manque de temps et d’énergie. Il remplissait son rôle pour mon usage, donc pendant des années je n’y ai pas touché du tout. Quand j’ai voulu m’y remettre, avec quelques années d’expérience supplémentaires, le code me semblait trop bancal pour m’y investir davantage. Les problèmes rencontrés demandaient une réécriture complète. La dernière section de l’article donne des détails.
netlibre, c’est désormais 9 ans, 7000+ utilisateurs et 32 000 zones. Qu’on s’entende bien, une bonne partie de ces comptes et de ces zones sont à jeter car des robots sont passés par là. D’ailleurs, le service, avec ses quelques dizaines de milliers de domaines, reste assez modeste. Néanmoins, j’ai été contacté par de nombreux utilisateurs au fil des années. Le site est réellement utilisé, et ça, c’est à la fois une victoire et une vraie surprise.
L’ancienne version
L’ancienne version du site a été modifiée jusqu’à très récemment (quelques mois) pour corriger de gros problèmes, notamment d’infrastructure. Cette version permettait de s’inscrire, demander des zones et les gérer (ajout, suppression, modification) avec une interface simple, comme on peut voir sur OVH ou Gandi. Mais elle n’était pas finie : impossible de se désinscrire ou récupérer son mot de passe, de nombreux enregistrements DNS étaient inaccessibles, etc.
Sauf que voilà, l’architecture logicielle rend la modification assez désagréable. J’ai donc décidé de repartir de 0, avec un meilleur découpage du service et des techno adaptées.
La nouvelle version
Depuis quelques semaines déjà, la nouvelle version est désormais en ligne. Les détails techniques derrière le service (code, langages, infra, sécurité, outils…) feront l’objet d’autres articles. Dans cette section, je vais parler des changements par rapport à l’ancien service.
Le partage de domaines est désormais possible, ce qui est utile pour des associations. Plusieurs personnes pourront donc posséder le même domaine et modifier la zone. Pas d’inquiétude si un membre de l’association n’est pas disponible, vous gardez le contrôle.
Des enregistrements protégés. Certains enregistrements DNS sont désormais en lecture seule pour éviter de supprimer des informations nécessaires au bon fonctionnement des zones. Ainsi, les enregistrements SOA et NS sont maintenant protégés.
De nouveaux enregistrements sont disponibles : SPF, DKIM et DMARC. Comme vous le savez probablement, ce sont des enregistrements qui se traduisent par des entrées textes (« TXT »). Des interfaces dédiées sont maintenant disponibles pour éviter une longue lecture de RFC pour savoir comment formater certaines options. Ces enregistrements sont plutôt complexes, donc aider les utilisateurs (même expérimentés) me semblait nécessaire.
De même, l’enregistrement CAA est désormais disponible. N’hésitez pas à me faire des suggestions pour de futurs enregistrements.
Une adresse email est désormais nécessaire. Les utilisateurs peuvent donc enfin récupérer leur mot de passe perdu. Ils seront également prévenus d’une panne, d’une mise à jour, d’un changement sur le site, etc.
Suppression de compte. Les utilisateurs peuvent désormais supprimer leur compte. Cela supprimera l’ensemble de leurs domaines (et zones) par la même occasion.
Un jeton de mise à jour. Afin de mettre à jour une adresse IP (enregistrement A ou AAAA) pour un serveur avec une IP dynamique, un mécanisme à base de jetons a été implémenté. Ainsi, accéder à une URL telle que https://www.netlib.re/token-update/<jeton> permet au service netlibre d’associer l’adresse IP du client à un enregistrement A ou AAAA (pour lequel on a généré ce jeton).
Par exemple, la zone toto.netlib.re possède un enregistrement A serveur.toto.netlib.re. L’utilisateur génère un jeton (ressemblant à 65b609fc-4a53-4a58-aae3-9824551a0fa5) pour cet enregistrement. Enfin, l’utilisateur lance (depuis son serveur) curl https://www.netlib.re/token-update/65b609fc-4a53-4a58-aae3-9824551a0fa5 pour que l’enregistrement serveur.toto.netlib.re pointe vers son adresse IP.
Je ne pense pas qu’il soit possible de faire plus simple. Un simple wget ou curl dans un crontab suffit pour maintenir à jour l’adresse de son serveur. Ce mécanisme permet probablement beaucoup moins de choses qu’un vrai service DynDNS, mais le cœur du service est là et sans aucune configuration !
Fin du mode « expert » qui permettait d’écrire soi-même le fichier de zone bind9. Entrer soi-même le fichier de zone semblait être une bonne idée, mais cela mène surtout à des problèmes d’infrastructure. Pour bien faire, il aurait fallu que les utilisateurs aient accès aux logs pour apprendre de leurs erreurs et corriger leurs zones, sauf que c’est inutilement complexe. Le mode « expert » devait pallier quelques lacunes de l’interface qui ne gérait qu’une petite partie des enregistrements possibles. Maintenant que l’interface permet de configurer les enregistrements DNS les plus courants, le mode expert perd une grande partie de son intérêt.
Plein de vérifications supplémentaires pour éviter des erreurs (simples et moins simples). Ces vérifications portent sur les adresses IPv4 et IPv6, les adresses email (grammaire décrite dans la RFC 5322), les noms de domaine et les labels (grammaires décrites dans les RFC), ou encore les options SPF, DKIM et DMARC. Cela est utile à tout le monde, y compris à des administrateurs expérimentés mais inattentifs.
Une interface didactique. L’interface se veut agréable à utiliser et rappelle régulièrement les bases aux novices. Par exemple, pas besoin d’aller chercher des informations complémentaires dans des RFC pour manipuler du SPF, DKIM ou DMARC. J’espère apporter à l’avenir ce niveau d’aide à la configuration pour d’autres enregistrements.
Inclusion de netlibre dans la PSL. Le domaine netlibre est désormais dans la Public Suffix List, le domaine codelib.re devrait suivre.
Migration : pourquoi une migration partielle
Comme décrit en début d’article, les comptes sont repris dans la nouvelle version du site. Votre identifiant et votre mot de passe sont toujours valides. De même, les zones sont toujours servies, il n’y a pas eu de coupure de service. En revanche, les zones n’ont pas été traduites dans la nouvelle interface, vous les verrez donc vierges. La raison est simple : le temps et l’énergie. Traduire des zones Bind9 (dans un format non trivial et parfois pleines d’erreurs) est assez long et peu engageant.
Maintenant que le service a été migré, vos domaines sont toujours présents et vous sont toujours réservés. L’ancien contenu des zones peut vous être envoyé pour vous aider à les reconfigurer sur la nouvelle interface, si c’est réellement nécessaire pour vous.
Le futur
Dans cette section je parlerai de propositions d’évolution pour le service, mais rien n’est gravé dans le marbre. J’ai par ailleurs encore du travail à faire sur cette nouvelle version. Tout ce qui est présenté ici viendra après ce qu’il me reste à faire, c’est-à-dire de nombreuses vérifications côté serveur (y compris de la surveillance de l’infra et autres joyeusetés inhérentes au développement de services en ligne) et une bonne pause bien méritée !
Traduire l’application. Contrairement à l’ancienne version, le site est désormais en anglais, pour diverses raisons. J’aimerais donc y apporter une traduction en Français, puis d’autres langues si des gens veulent bien s’y atteler.
Gérer vos zones. netlibre pourrait permettre de gérer des zones venant d’ailleurs. Par exemple, vous possédez « toto.fr » et vous souhaitez utiliser l’interface de gestion de netlibre. L’interface a été pensée pour être agréable à utiliser, ce serait dommage de ne pas en profiter pour d’autres domaines.
Déléguer des zones. À l’inverse, il serait également intéressant de permettre la délégation des zones netlibre. Cela reviendrait à prendre un nom de domaine de chez netlib.re sans utiliser l’interface de gestion.
Ouverture d’une API. La création de comptes, la réservation de noms de domaines et la modification de zones pourraient être automatisées. Cela pourrait être utile par exemple à une association qui souhaiterait automatiser la procédure pour ses membres. Cela était déjà prévu il y a 9 ans, et maintenant que le code est un peu plus sérieux, il est désormais pertinent de se re-poser la question.
De nouveaux enregistrements DNS. Divers enregistrements pourraient être implémentés pour offrir une interface toujours plus complète, y compris pour des utilisateurs avancés. Ainsi, des enregistrements tels que LOC, RP ou HINFO pourraient voir le jour. DNSSec pourrait être de la partie également. Je n’utilise pas personnellement ces fonctionnalités donc je ne me sens pas non plus pressé de les implémenter. Si cela vous tient à cœur, merci de m’en informer, ça pourrait me motiver.
De nouveaux domaines ? Le service propose actuellement des noms de domaines en « .netlib.re » ou « .codelib.re ». Je suis ouvert à la discussion si des gens veulent financer d’autres noms de domaines ou céder les leurs.
Le retour du mode « expert » ? Pour des personnes expérimentées, cela a du sens. En lieu et place de l’écriture d’un réel fichier de zone Bind9, une entrée libre avec un format proche d’un fichier de zone Bind9 serait envisageable. Les enregistrements seraient compris et vérifiés par l’interface puis traduits dans la représentation intermédiaire utilisée par netlibre. Le meilleur des deux mondes. Pas de fausse joie cependant, comme cela nécessiterait pas mal de code, ce n’est pas au programme pour tout de suite.
Alternatives à netlib.re
J’ai vu de nombreux sites proposant des services autour du DNS. Pour citer quelques exemples :
-
eu.org n’est pas pour des novices, et visiblement tout est géré à la main sans interface pour s’inscrire… difficile de faire plus éloigné des objectifs de netlib.re ;
-
freedns.afraid.org ne fournit pas le code source et n’est pas très ouvert aux novices, mais à part ça le service semble assez complet ;
-
ydns.io ne fournit pas le code source et ne propose pas une gestion d’un domaine qu’ils offrent, seulement un enregistrement A ou AAAA ;
-
nsupdate.info les inscriptions sont fermées ;
Ces services sont sans doute très bien. J’envie même certaines de leurs fonctionnalités, que j’implémenterai peut-être plus tard pour netlibre. Mais il manque systématiquement le code source, ou l’interface n’est pas faite pour un novice, ou le service ne propose pas tout à fait les mêmes fonctionnalités.
Je pense donc sincèrement que netlibre a sa place au milieu de tous les autres. Il se démarque ne serait-ce que par son code libre et son interface simple. À l’avenir, j’espère qu’il se démarquera par sa complétude.
Bonus : les problèmes survenus ces 9 dernières années (pour les curieux)
De nombreux problèmes sont survenus au fil du temps. Le site a été instable pendant longtemps, pour de multiples raisons :
- une des bibliothèques utilisées gère mal les enregistrements sur plusieurs lignes, menant à des boucles infinies.
Cela a été corrigé il y a quelques mois à peine (!) et seulement en local car je n’ai pas pris le temps d’envoyer mes corrections (!!).
Pour cette raison, il n’était même pas possible d’avoir un enregistrement DKIM via l’interface de
netlibre ;
- une maintenance quasi-absente pendant longtemps, par manque de temps et d’énergie ;
- des plantages à répétition à cause de l’infrastructure (bind9 qui redémarre en boucle à cause d’une erreur de configuration en crachant des tonnes de logs qui saturent le disque) ;
- des mises à jour qui cassent tout (à cause d’un déploiement un peu bancal) ;
- une architecture logicielle en mode bricolage avec des lancements de commandes lorsque l’utilisateur appuie sur certains boutons ;
- des lancements de commandes qui ne libèrent pas correctement leur descripteur de fichier (je n’ai pas trouvé pourquoi ni comment corriger) ;
- un manque de vérifications (notamment à cause du mode expert), menant à des erreurs côté Bind9 sans que l’utilisateur en soit informé.
Le plus gros problème a surtout été un manque de vérifications. Les bénéficiaires du service ont régulièrement innové pour détruire leurs zones. Entre la suppression des entrées NS et SOA (merci le mode expert) et les nombreuses valeurs invalides (auxquelles il fallait s’attendre, bien entendu), beaucoup de zones sont invalides sans même que les utilisateurs ne le sachent (autrement qu’en faisant des requêtes DNS).
Et j’en oublie sans doute bien d’autres. Tout ça parce que… netlibre à la base, c’est un projet perso, vite-fait, pour moi. J’avais espoir qu’il serve à quelques dizaines d’autres personnes, max. Le service netlibre s’est beaucoup plus développé que prévu et j’ai bon espoir que le service soit désormais un peu plus à la hauteur.
Connexion
