☰

托管域的 dnssec-signzone 错误“不在区域顶部”

tag-icon • tag-icon domain-name-system bind dnssec dns-zone
托管域的 dnssec-signzone 错误“不在区域顶部” 
$TTL 86400
$ORIGIN yoda.domain2.com.
@   1D    IN SOA yoda.domain2.com.  admin.domain.com. (
                       2015021601         ; Serial yyyymmddnn
                       3h                ; Refresh After 3 hours
                       1h                ; Retry Retry after 1 hour
                       1w                ; Expire after 1 week 1w
                       1h)             ; Minimum negative caching of 1 hour


                               IN NS   yoda.domain2.com.
                               IN NS   r2d2.domain2.com.
domain.com.               IN TXT  v=spf1 mx a:r2d2.domain2.com ~all
domain.com.               MX 0    r2d2.domain2.com.
domain.com.               IN A    108.61.175.20
www.domain.com.           IN A    108.61.175.20
mail.domain.com.          IN A    107.191.60.48
imap.domain.com.          IN A    107.191.60.48
pop.domain.com.           IN A    107.191.60.48
smtp.domain.com.          IN A    107.191.60.48
yoda.domain.com.          IN A    108.61.190.64
r2d2.domain.com.          IN A    107.191.60.48
vader.domain.com          IN A    108.61.175.20
r2d2.domain.com.          IN AAAA 2001:19f0:7000:8945::64
yoda.domain.com.          IN AAAA 2001:19f0:6c00:8141::64

$include /usr/local/etc/namedb/Kdomain.com.zsk.key ; ZSK
$include /usr/local/etc/namedb/Kdomain.com.ksk.key ; KSK

答案1

记录SOA位于yoda.ex-mailer.com（$ORIGIN yoda.ex-mailer.com.将原点重新定义为该处）。

但是，区域文件的其余部分似乎包含nyctelecomm.com.记录。此外，您将初始原点指定dnssec-signzone为nyctelecomm.com。

这似乎是一种不匹配，会导致这种错误。（SOA和NS记录应该位于区域顶点。）


虽然这个区域文件的问题本身与 DNSSEC 无关，但您可能需要研究auto-dnssec maintain现代 BIND 版本的功能，作为手动签名的替代方案dnssec-signzone。

相关内容