将子域名的 DS 记录添加到父域名的区域文件时出错 - 使用绑定

Question

我有一个域名 example.company.com，该域名受 DNSSEC 保护，并已将其 DS 记录发送到父域名 company.com。我想创建另外 2 个子域名，均受 DNSSEC 保护，即 sub1.example.company.com 和 sub2.example.company.com。但是这里的父域名是 example.company.com 而不是 company.com，所以我想将子域名的 DS 记录包含在 example.company.com 的区域文件中。

但是，当我手动添加 DS 记录并尝试使用与之前相同的密钥（未过期）重新签署 example.company.com 时，我收到以下错误

dnssec-signzone: fatal: dnssec-signzone: fatal: 'sub1.example.company.com': found DS RRset without NS RRset

我在这里做错了什么，或者如何在给定我现有的主域名（example.company.com）的情况下确保子域名的 DNSSEC 保护？

Answer 1

DSNS记录仅用作区域之间委派的一部分，即与定义此类委派的记录并行。

例如，如果您有一个区域example.com，并且只是为这个区域添加记录foo.example.com或foo.bar.example.com向这个区域添加记录，那么由于它是同一区域的一部分，所以该区域已经被覆盖。

但是，如果您委托例如sub.example.com这样一个单独的区域，那么您将拥有该区域中的NS和DS记录。sub.example.comexample.com

我不确定这个问题描述的是上述哪种情况，但要么您缺少NS新区域委派的记录，要么您试图DS在区域“内”添加多余的记录。

此外，我强烈建议使用在 BIND 中集成 DNSSEC 签名支持（auto-dnssec maintain如果需要inline-signing配置选项）而不是旧的外部dnssec-signzone工具。