Linuxhotel Wiki

Wie ging das nochmal?

Benutzer-Werkzeuge

Webseiten-Werkzeuge


lpi2:bind-dnssec

Dies ist eine alte Version des Dokuments!


dig

Aktuelle root-keys herunterladen:

dig . DNSKEY | egrep -v '^($|;)' > root.keys

Nameserver abfragen:

dig +sigchase +trusted-key=./root.keys www.isc.org A @127.0.0.1

Eigenen Resolver testen

dig org. SOA +dnssec

→ flags: ad

dig test.dnssec-or-not.net TXT @localhost

→ „Yes, you are using DNSSEC“

Eigene Zone signieren

von Hand signieren

Debian:

cd /var/lib/named

Centos:

cd /var/named
mkdir keys
chown named keys

zone-signing key erzeugen: 1)

dnssec-keygen -a RSASHA512 -b 1536 -n ZONE example.com -K keys
ls keys/Kexample.com.*
less keys/Kexample.com.*.key

key-signing key erzeugen:

dnssec-keygen -a RSASHA256 -b 4096 -f KSK -n ZONE example.com -K keys
ls keys/Kexample.com.*

Öffentliche Schlüssel zu Zone hinzufügen:

cat keys/Kexample.com.+008+*.key >> example.com

Signierte Zonendatei erzeugen: (30 Tage gültig)

dnssec-signzone -o example.com -k keys/Kexample.com.+008+52216.private example.com keys/Kexample.com.+008+12678.private
less example.com.signed

Todo:

  • Diesen Server als hidden primary konfigurieren
  • wöchentlichen cron-job zum Signieren anlegen

bind automatisch ZSK signieren lassen

Debian:

cd /var/lib/named

Centos: 2)

cd /var/named
setenforce Permissive
mkdir keys
chown named keys master

zone-signing key erzeugen: 3)

dnssec-keygen -a RSASHA512 -b 1536 -n ZONE example.com -K keys
ls keys/Kexample.com.*
less keys/Kexample.com.*.key

key-signing key erzeugen:

dnssec-keygen -a RSASHA256 -b 4096 -f KSK -n ZONE example.com -K keys
ls keys/Kexample.com.*

Zone signieren:

rndc sign
dig dnskey @127.0.0.1 test +short
dig rrsig @127.0.0.1 test +short

inline:

/etc/bind/named.conf.local
zone "linuxhotel.de" {
  type master;
  file "master/linuxhotel.de";
  key-directory "keys";
  inline-signing yes;
  auto-dnssec maintain;
}

Doku und Links

1) , 3)
Kann auf einer virtuellen Maschine recht lange dauern. Stichwort: Entropie. Tip: haveged
2)
möglicherweise kann man das
setenforce Permissive
mit
restorecon -rv /var/named 
vermeiden. Noch nicht gestestet
lpi2/bind-dnssec.1480286735.txt.gz · Zuletzt geändert: 2016/11/27 22:45 von ingo_wichmann