Dnssec Praxis - Versionsgeschichte

Thomas.will: /* Schlüsselerzeugung */

2025-03-03T16:55:36Z

Schlüsselerzeugung

Thomas.will am 3. März 2025 um 16:54 Uhr

2025-03-03T16:54:17Z

Thomas.will am 3. März 2025 um 16:51 Uhr

2025-03-03T16:51:17Z

Thomas.will: Die Seite wurde neu angelegt: „==== Aktivierung von DNSSEC für die Zone 88.10.in-addr.arpa ==== Um DNSSEC für die Reverse-Zone '''88.10.in-addr.arpa''' unter BIND zu aktivieren, sind folg…“

2025-03-03T16:50:24Z

Die Seite wurde neu angelegt: „==== Aktivierung von DNSSEC für die Zone 88.10.in-addr.arpa ==== Um DNSSEC für die Reverse-Zone '''88.10.in-addr.arpa''' unter BIND zu aktivieren, sind folg…“

Neue Seite

==== Aktivierung von DNSSEC für die Zone 88.10.in-addr.arpa ====

Um DNSSEC für die Reverse-Zone '''88.10.in-addr.arpa''' unter BIND zu aktivieren, sind folgende Schritte notwendig.

==== Voraussetzungen ====
* Der BIND-Server muss mit DNSSEC-Unterstützung kompiliert sein.
* Die benötigten Werkzeuge wie '''dnssec-keygen''' und '''dnssec-signzone''' müssen vorhanden sein.

==== Schlüsselerzeugung ====
Zunächst werden ein Key Signing Key (KSK) und ein Zone Signing Key (ZSK) erzeugt.

'''Erzeugen des KSK'''
<pre>
dnssec-keygen -a RSASHA256 -b 2048 -f KSK -r /dev/urandom 88.10.in-addr.arpa
</pre>

'''Erzeugen des ZSK'''
<pre>
dnssec-keygen -a RSASHA256 -b 1024 -r /dev/urandom 88.10.in-addr.arpa
</pre>

Dies generiert mehrere Dateien, darunter die öffentlichen Schlüssel '''K88.10.in-addr.arpa.+008+xxxxx.key''' und die privaten Schlüssel '''K88.10.in-addr.arpa.+008+xxxxx.private'''.

==== Schlüssel in die Zone einfügen ====
Die öffentlichen Schlüssel müssen in die Zonendatei '''88.10.in-addr.arpa''' eingefügt werden.

<pre>
cat K88.10.in-addr.arpa.+008+*.key >> /var/cache/bind/88.10.in-addr.arpa
</pre>

==== Signieren der Zone ====
Nun wird die Zone signiert:

<pre>
dnssec-signzone -A -o 88.10.in-addr.arpa -t /var/cache/bind/88.10.in-addr.arpa
</pre>

Dabei wird eine neue signierte Datei '''88.10.in-addr.arpa.signed''' erzeugt.

==== Konfiguration von BIND ====
Die Konfigurationsdatei '''named.conf''' muss angepasst werden, damit BIND die signierte Zonendatei nutzt:

<pre>
zone "88.10.in-addr.arpa" {
type master;
file "/var/cache/bind/88.10.in-addr.arpa.signed";
allow-query { any; };
};
</pre>

==== Neustart von BIND ====
Nach den Änderungen muss BIND neu gestartet werden:

<pre>
systemctl restart bind9
</pre>

==== Eintragen des DS-Records ====
Der DS-Record für die übergeordnete Zone wird extrahiert:

<pre>
dnssec-dsfromkey -f K88.10.in-addr.arpa.+008+xxxxx.key 88.10.in-addr.arpa
</pre>

Falls die Zone delegiert ist, muss dieser DS-Record an die zuständige übergeordnete Instanz weitergegeben werden.

==== Überprüfung von DNSSEC ====
Die Konfiguration kann mit folgendem Befehl überprüft werden:

<pre>
dig +dnssec @127.0.0.1 88.10.in-addr.arpa SOA
</pre>

Falls die Signatur gültig ist, sollte ein '''RRSIG'''-Eintrag in der Ausgabe erscheinen.

Damit ist DNSSEC für die Zone '''88.10.in-addr.arpa''' erfolgreich eingerichtet.

@@ Zeile 1: / Zeile 1: @@
 ==== Aktivierung von DNSSEC für die Zone int ====
-Um DNSSEC für die Zone '''int''' unter BIND zu aktivieren, sind folgende Schritte notwendig.
+Diese Anleitung beschreibt die vollständige Einrichtung von DNSSEC für die Zone '''int''' unter BIND.
 ==== Voraussetzungen ====
 * Der BIND-Server muss mit DNSSEC-Unterstützung kompiliert sein.
-* Die Werkzeuge '''dnssec-keygen''' und '''dnssec-signzone''' müssen installiert sein.
+* Die Tools '''dnssec-keygen''' und '''dnssec-signzone''' müssen installiert sein.
 ==== Schlüsselerzeugung ====
-Zunächst werden ein Key Signing Key (KSK) und ein Zone Signing Key (ZSK) erstellt.
+Es werden zwei Schlüssel benötigt: ein Key Signing Key (KSK) und ein Zone Signing Key (ZSK).
 '''Erzeugen des KSK'''
@@ Zeile 21: / Zeile 28: @@
 </pre>
-Dies generiert mehrere Dateien, darunter die öffentlichen Schlüssel '''Kint.+008+xxxxx.key''' und die privaten Schlüssel '''Kint.+008+xxxxx.private'''.
+Nach der Ausführung dieser Befehle befinden sich mehrere Dateien im Verzeichnis '''/var/cache/bind/keys'''. Die relevanten Schlüsseldateien haben das Format:
-==== Schlüssel in die Zone int einfügen ====
+==== Einfügen der Schlüssel in die Zonendatei ====
-Die öffentlichen Schlüssel müssen in die Zonendatei '''int''' eingefügt werden.
+Die öffentlichen Schlüssel müssen in die Zonendatei '''/var/cache/bind/int''' aufgenommen werden:
 <pre>
-cat Kint.+008+*.key >> /var/cache/bind/int
+cat /var/cache/bind/keys/Kint.+008+*.key >> /var/cache/bind/int
 </pre>
@@ Zeile 61: / Zeile 70: @@
 <pre>
-dnssec-dsfromkey -f Kint.+008+xxxxx.key int
+dnssec-dsfromkey -f /var/cache/bind/keys/Kint.+008+XXXXX.key int
 </pre>

@@ Zeile 20: / Zeile 20: @@
 '''Erzeugen des KSK'''
 <pre>
-dnssec-keygen -a RSASHA256 -b 2048 -f KSK -r /dev/urandom int
+dnssec-keygen -a RSASHA256 -b 2048 -f KSK int
 </pre>
 '''Erzeugen des ZSK'''
 <pre>
-dnssec-keygen -a RSASHA256 -b 1024 -r /dev/urandom int
+dnssec-keygen -a RSASHA256 -b 1024  int
 </pre>

@@ Zeile 1: / Zeile 1: @@
-Um DNSSEC für die Reverse-Zone '''88.10.in-addr.arpa''' unter BIND zu aktivieren, sind folgende Schritte notwendig.
+==== Aktivierung von DNSSEC für die Zone int ====
 ==== Voraussetzungen ====
 * Der BIND-Server muss mit DNSSEC-Unterstützung kompiliert sein.
-* Die benötigten Werkzeuge wie '''dnssec-keygen''' und '''dnssec-signzone''' müssen vorhanden sein.
+* Die Werkzeuge '''dnssec-keygen''' und '''dnssec-signzone''' müssen installiert sein.
 ==== Schlüsselerzeugung ====
-Zunächst werden ein Key Signing Key (KSK) und ein Zone Signing Key (ZSK) erzeugt.
+Zunächst werden ein Key Signing Key (KSK) und ein Zone Signing Key (ZSK) erstellt.
 '''Erzeugen des KSK'''
 <pre>
-dnssec-keygen -a RSASHA256 -b 2048 -f KSK -r /dev/urandom 88.10.in-addr.arpa
+dnssec-keygen -a RSASHA256 -b 2048 -f KSK -r /dev/urandom int
 </pre>
 '''Erzeugen des ZSK'''
 <pre>
-dnssec-keygen -a RSASHA256 -b 1024 -r /dev/urandom 88.10.in-addr.arpa
+dnssec-keygen -a RSASHA256 -b 1024 -r /dev/urandom int
 </pre>
-Dies generiert mehrere Dateien, darunter die öffentlichen Schlüssel '''K88.10.in-addr.arpa.+008+xxxxx.key''' und die privaten Schlüssel '''K88.10.in-addr.arpa.+008+xxxxx.private'''.
+Dies generiert mehrere Dateien, darunter die öffentlichen Schlüssel '''Kint.+008+xxxxx.key''' und die privaten Schlüssel '''Kint.+008+xxxxx.private'''.
-==== Schlüssel in die Zone einfügen ====
+==== Schlüssel in die Zone int einfügen ====
-Die öffentlichen Schlüssel müssen in die Zonendatei '''88.10.in-addr.arpa''' eingefügt werden.
+Die öffentlichen Schlüssel müssen in die Zonendatei '''int''' eingefügt werden.
 <pre>
-cat K88.10.in-addr.arpa.+008+*.key >> /var/cache/bind/88.10.in-addr.arpa
+cat Kint.+008+*.key >> /var/cache/bind/int
 </pre>
@@ Zeile 33: / Zeile 34: @@
 <pre>
-dnssec-signzone -A -o 88.10.in-addr.arpa -t /var/cache/bind/88.10.in-addr.arpa
+dnssec-signzone -A -o int -t /var/cache/bind/int
 </pre>
-Dabei wird eine neue signierte Datei '''88.10.in-addr.arpa.signed''' erzeugt.
+Dabei wird eine neue signierte Datei '''int.signed''' erzeugt.
 ==== Konfiguration von BIND ====
@@ Zeile 42: / Zeile 43: @@
 <pre>
-zone "88.10.in-addr.arpa" {
+zone "int" {
      type master;
-     file "/var/cache/bind/88.10.in-addr.arpa.signed";
+     file "/var/cache/bind/int.signed";
      allow-query { any; };
 };
@@ Zeile 57: / Zeile 58: @@
 ==== Eintragen des DS-Records ====
-Der DS-Record für die übergeordnete Zone wird extrahiert:
+Falls die Zone '''int''' delegiert ist, muss der DS-Record an die übergeordnete Instanz weitergegeben werden. Dieser kann mit folgendem Befehl extrahiert werden:
 <pre>
-dnssec-dsfromkey -f K88.10.in-addr.arpa.+008+xxxxx.key 88.10.in-addr.arpa
+dnssec-dsfromkey -f Kint.+008+xxxxx.key int
 </pre>
 ==== Überprüfung von DNSSEC ====
@@ Zeile 69: / Zeile 68: @@
 <pre>
-dig +dnssec @127.0.0.1 88.10.in-addr.arpa SOA
+dig +dnssec @127.0.0.1 int SOA
 </pre>
 Falls die Signatur gültig ist, sollte ein '''RRSIG'''-Eintrag in der Ausgabe erscheinen.
-Damit ist DNSSEC für die Zone '''88.10.in-addr.arpa''' erfolgreich eingerichtet.
+Damit ist DNSSEC für die Zone '''int''' erfolgreich eingerichtet.