BIND 9.7 下的基本 DNSSEC 配置？

Question

使用 BIND 启用 DNSSEC 的最简单方法是自动签名，下面是分步教程：

先决条件： 我假设你的区域文件是/var/lib/bind/example.net/db。区域文件和文件夹应该是可写用于绑定过程！您可能需要调整权限，和/或编辑您的/etc/apparmor.d/usr.sbin.named。

步骤 1：生成 DNSSEC 密钥：

dnssec-keygen -K /var/lib/bind/example.net example.net

-K 指定新生成的密钥的输出文件夹，第二个参数是区域名称。此命令可能需要很长时间才能完成，因为它会等到您的系统上有足够的熵。如果您只想尝试配置，并且您没有为生产系统生成密钥，您可以添加-r /dev/urandom- 它将快速生成不太安全的密钥。还请注意，如果您多次运行此命令，每次它都会生成一组新密钥，并且所有密钥集都将用于签署您的区域。

第 2 步：配置 BIND 以启用区域的自动签名：

zone example.net {
    type master;
    file "/var/lib/bind/example.net/db";        
    auto-dnssec maintain;
//Enable The Magic
    key-directory "/var/lib/bind/example.net";
//Look for DNSSEC keys in "/etc/bind/example.net" folder
    update-policy local;
//Enable dynamic updates (required for auto-dnssec)
};

auto-dnssec maintain告诉 bind 定期搜索中指定的文件夹key-directory，查找新的 DNSSEC 密钥，将这些密钥添加到区域并签署区域。所有操作均自动完成，无需您的交互。核心 DNSSEC 支持本身已默认启用。您的 named.conf 可能仅包含此区域部分。

步骤 3：重新加载绑定

rndc reload将加载新的配置并绑定将加载您的 DNSSEC 密钥并签署区域。

完毕。 确认它与兼容dig +dnssec @localhost example.net DNSKEY。您应该会获得 DNSKEY 和 RRSIG 记录。

安全委派

如果您将 DNNSEC 添加到真实域，为了完全启用 DNNSEC 验证，您需要通过域名注册商将 DS 记录添加到您的父区域 - 这与 NS 记录的添加方式相同。

为了验证一切是否正常，您可以使用以下在线工具：dnsviz.net和dnssec-debugger.verisignlabs.com

添加：

有些人可能会问：ZSK 和 KSK 呢？- 此过程将使用单个 ZSK 签署整个区域，这里没有 KSK。我试图做的是提供最简单的“指南”，这将导致 DNSSEC 正常工作。我没有尝试涵盖所有可能的细节。而且没有需要为了大家关心所有可能的细节。依我之见。

Answer 1