; Kandidatenzone fuer lukasrosier.com, noch nicht delegiert.
; Inhalt am 12.09.2026 aus der Cloudflare-API uebernommen -- bewusst aus der
; API und nicht aus oeffentlichen Abfragen: alle A-Eintraege stehen dort auf
; proxied=true, eine oeffentliche Abfrage liefert also Cloudflares
; Edge-Adressen (188.114.x, 2606:4700:x) und nicht den Origin. Ein Snapshot
; aus dem Public View haette die Zone auf Cloudflares Proxy gezeigt.
;
; Die Delegation liegt weiter bei Cloudflare (chin/sevki.ns.cloudflare.com).
; 0ff.space bleibt vollstaendig dort und auf blunix, siehe docs/pinix-bind.md.
;
; Nicht uebernommen: die beiden NS-Eintraege auf dns1/dns2.registrar-servers.com,
; die in der Cloudflare-Zone noch stehen. Sie sind Altlast aus der Zeit vor
; dem Cloudflare-Umzug und widersprechen der tatsaechlichen Delegation.
$ORIGIN lukasrosier.com.
$TTL 300
@ IN SOA ns1.lukasrosier.com. hostmaster.lukasrosier.com. (
  2026091301 ; serial, Datum + Zaehler
  3600       ; refresh
  600        ; retry
  604800     ; expire
  300        ; negative cache TTL
)
@         IN NS   ns1.lukasrosier.com.

; Bootstrap-Adresse des Nameservers. Das ist die oeffentliche Adresse des
; Mango, und die rotiert beim Nokia-Reconnect -- der mango-dns-Timer fuehrt
; bisher nur ipv6-test.0ff.space nach, nicht diese Zone. Vor einer Delegation
; muss diese Adresse nachgefuehrt werden *und* als Glue beim Registrar
; stehen; eine Zone kann ihre eigene unerreichbare Bootstrap-Adresse nicht
; durch einen Eintrag in sich selbst reparieren.
ns1       IN AAAA 2a01:598:ec1e:ce00:5c9e:99ff:fe13:5330

; Origin ist blunix. Ohne Cloudflare-Proxy loest der Name direkt dorthin
; auf; blunix' Traefik hat fuer diese Namen ein eigenes
; Let's-Encrypt-Zertifikat, holt es aber per DNS-01 ueber die
; Cloudflare-API -- das bricht mit der Delegation und muss vorher auf
; HTTP-01 oder RFC2136 gegen diesen Server umgestellt werden.
@         IN A    23.88.33.137
www       IN A    23.88.33.137
data      IN A    23.88.33.137

; Der Wildcard deckt heute u.a. cal.lukasrosier.com ab, fuer das es keinen
; eigenen Eintrag gibt. Achtung fuer den neuen Stack auf pinix: ein
; expliziter Name schlaegt den Wildcard, head. und dex. brauchen also eigene
; Eintraege auf pinix -- ohne die zeigt der Wildcard sie auf blunix.
; These aliases follow the existing dynamic AAAA for ipv6-test.0ff.space,
; so this candidate zone does not copy Mango's rotating public address.
head      IN CNAME ipv6-test.0ff.space.
dex       IN CNAME ipv6-test.0ff.space.
lldap     IN CNAME ipv6-test.0ff.space.
*         IN A    23.88.33.137

; Mail laeuft ueber Zoho. Diese drei Eintraege plus SPF und DKIM sind der
; Grund, diese Zone nicht als folgenlos zu behandeln: faellt der
; autoritative Server aus, scheitert die Zustellung eingehender Mail.
@         IN MX   10 mx.zoho.eu.
@         IN MX   20 mx2.zoho.eu.
@         IN MX   50 mx3.zoho.eu.
@         IN TXT  "v=spf1 include:zohomail.eu include:spf.efwd.registrar-servers.com ~all"
zmail._domainkey IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCmMcg95rw/8gTZHHoS50p+7PY/EOFe2rteP8r/KbEdMi+Whw1LLsahBNRnQFuUzP48O5GchIzcei5CW7EHogGP/9mDdjJZnXTrYG7JnnBRRLZqZ6RISRNqCD5v0V1Lfw/IqUs8JywEzHTOjXDtVpB7AsWnugQsG9UI/QSupi8xVwIDAQAB"

; Delegation des Challenge-Namens an diesen Server selbst. Damit kann
; Traefik Wildcard-Zertifikate per DNS-01 holen, ohne dass die ganze Domain
; delegiert werden muss -- MX, SPF und DKIM bleiben bei Cloudflare und die
; Mailzustellung damit unabhaengig von pinix.
;
; NS-Ziel ist absichtlich ein Name aus der *anderen* Zone: ipv6-test hat
; seinen AAAA vom mango-dns-Timer minuetlich nachgefuehrt, die Delegation
; erbt diese Nachfuehrung also, statt einen zweiten Updater zu brauchen.
; Ein NS-Ziel darf ausserhalb der Zone liegen; es kostet den Resolver nur
; eine zusaetzliche Abfrage, weil es keinen Glue gibt.
_acme-challenge IN NS ipv6-test.0ff.space.