Linux - Netzwerk und Serveradminstration DNS DNSEC - Versionsgeschichte

Thomas.will am 24. April 2026 um 14:17 Uhr

2026-04-24T14:17:00Z

Thomas.will am 24. April 2026 um 14:15 Uhr

2026-04-24T14:15:26Z

Thomas.will am 24. April 2026 um 14:12 Uhr

2026-04-24T14:12:30Z

Thomas.will: /* Restart */

2026-04-24T14:10:22Z

Restart

Thomas.will: /* Testen */

2026-04-24T14:09:25Z

Testen

Thomas.will: Die Seite wurde neu angelegt: „=Vorab Theorie= * DNS Grundlagen * DNS Records * DNS Master - Slave - Forward =Pseudo Top-Level-Domain= {{#drawio:Pseudo Top-Level-Domain}} = Ps…“

2026-04-24T14:06:28Z

Die Seite wurde neu angelegt: „=Vorab Theorie= * DNS Grundlagen * DNS Records * DNS Master - Slave - Forward =Pseudo Top-Level-Domain= {{#drawio:Pseudo Top-Level-Domain}} = Ps…“

Neue Seite

=Vorab Theorie=
* [[DNS Grundlagen]]
* [[DNS Records]]
* [[DNS Master - Slave - Forward]]

=Pseudo Top-Level-Domain=
{{#drawio:Pseudo Top-Level-Domain}}

= Pseudo-Top-Level Domäne =
* Um die Domänen der anderen Labore aufzulösen ist ein Forwarder nötig
* Dieser zeigt auf den entsprechenden DNS-Server der Domäne, sodass die Zonen nur einmal definiert werden müssen
== Vorbereitungen ==
* VirtualBox Server-Vorlage klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* statische IP-Adresse nach dem Netzwerkplan setzen (''/etc/network/interfaces'')
* SSH-Schlüssel des Kit Hosts für User ''kit'' hinterlegen
=== Netzkonfiguration DNS-Server (DMZ) ===

{| class="wikitable" style="background-color: #f2f2f2;"
! Parameter !! Wert !! Erläuterung
|-
| '''Netzwerk (NIC)''' || DMZ || Interface-Zuweisung in VirtualBox
|-
| '''IP''' || 10.88.2XX.21 || Statische IP
|-
| '''CIDR''' || 24 || Classless Inter-Domain Routing Präfixlänge
|-
| '''GW''' || 10.88.2XX.1 || GATEWAY
|-
| '''NS''' || 192.168.HS.88 || Resolver
|-
| '''FQDN''' || ns.it2XX.int || Fully Qualified Domain Name
|-
| '''SHORT''' || ns || Short Name
|-
| '''DOM''' || it2XX.int|| Domain Name
|}
;Anpassen des Templates
*[[Anpassen des Debian Templates]]

=DNS Umsetzung=
==Installation==
*apt install bind9

==Stop==
*systemctl stop named
==Start==
*systemctl start named
==Restart==
*systemctl restart named
==Status==
*systemctl status named

==Hauptkonfiguration==
Standardmäßig ist die Konfiguration von bind9 auf mehrere Dateien aufgeteilt:
===/etc/bind/named.conf===
#Diese Datei inkludiert einfach nur die anderen 3 Dateien
===Allgemeine Option zum Nameserver===
include "/etc/bind/named.conf.options";

===Hier kommen die eignen Zonen rein===
include "/etc/bind/named.conf.local";
===Hier werden die Root Nameserver konfigurtiert===
include "/etc/bind/named.conf.root-hints";

==Trust Anker einfügen==
*cd /etc/bind/
*wget http://192.168.X.88/trust-anchors.conf
*echo 'include "/etc/bind/trust-anchors.conf";' >> named.conf

==/etc/bind/named.conf.options==
===Berechtigungen und Einschränkungen===
<pre>
options {
directory "/var/cache/bind";
forwarders { <DNSGW>; };
empty-zones-enable no;
allow-query { 0.0.0.0/0; };
allow-recursion { 10.88.2XX.0/24; 172.26.2XX.0/24; 10.2XX.1.0/24; 127.0.0.1; };
allow-transfer {127.0.0.1; };
dnssec-validation yes;
listen-on-v6 { none; };
listen-on { any; };
};
</pre>
====Erklärungen====
;directory "/var/cache/bind";
*Das ist das Basisverzeichnis der Zonen-Datein
;forwarders { <DNSGW>; };
*Wir richten alle Anfragen die wir nicht selbst beantworten können and er Forwarder
;empty-zones-enable no;
*Deaktiviert die eingebauten leeren Zonen für private IP-Bereiche (RFC 1918), damit PTR-Anfragen an den Forwarder weitergeleitet werden anstatt lokal mit NXDOMAIN beantwortet zu werden.
;allow-query { 0.0.0.0/0; };
*Diese Rechner dürfen den Nameserver nach dem von ihm verwalteten Zonen befragen.
;allow-recursion { 10.88.2XX.0/24; 172.26.2XX.0/24; 10.2XX.1.0/24; 127.0.0.1; };
*Diese Rechner dürfen den Nameserver nach Einträgen befragen die er nicht selbst beantworten kann.
;allow-transfer {127.0.0.1; };
*Diese Rechner dürfen einen axfr Abfrage durchführen.
;listen-on-v6 { none; };
*Wir schalten IPv6 ab
;listen-on { any; };
*Wir lauschen an allen Schnittstellen
;dnssec-validation yes;
*DNSSEC Validierung ist aktiviert

=Testen=
*named-checkconf
=Restart=
*systemctl restart named

=Konfigurations=
==/etc/bind/named.conf.root-hints==
<pre>
// prime the server with knowledge of the root servers
zone "." {
type hint;
file "/usr/share/dns/root.hints";
};
</pre>

==/etc/bind/named.conf.local==
<pre>
//Standardmässig leer
//Hier werden die sogenanten Zonen angelegt.
zone "it2xx.int" {
type master;
file "it2xx.int.signed";
};
zone "2xx.88.10.in-addr.arpa" {
type master;
file "2xx.88.10.in-addr.arpa";
};
</pre>
====Erklärungen====
;zone "it2xx.int" {
*Die beschreibt den authoritiven Bereich den ihr verwaltet
;type master;
*Wir befinden uns auf primären Nameserver
;file "it2xx.int.signed";
*In dieser Datei werden die signierten Zonendaten konfiguriert. Der Pfad ist relativ zur '''directory''' Direktive.
;};
*Abschluss des authoritiven Bereich.

=Konfigurationsverzeichnis=
/var/cache/bind

=Forward Zonen Datei ohne Secundary DNS=
*Die Zonendatei enthält die Informationen zu den Adressen, und sieht folgendermaßen aus:
*vi /var/cache/bind/it2xx.int
<pre>
$TTL 1 ; 1 Sekunde
@ IN SOA ns.it2XX.int. technik.it2XX.int. (
2025062501 ; serial
14400 ; refresh (4 hours)
3600 ; retry (1 hour)
3600000 ; expire (5 weeks 6 days 16 hours)
300 ; minimum (5 min)
)
NS ns.it2xx.int.
MX 10 mail.it2xx.int.
fw IN A 10.88.2XX.1
ns IN A 10.88.2XX.21
sftp IN A 10.88.2XX.15
proxy IN A 10.88.2XX.4
mail IN A 10.88.2XX.3
www IN A 10.88.2XX.11
revproxy IN A 10.88.2XX.41
checkmk IN A 10.88.2XX.5
ntp IN A 10.88.2XX.17
nextcloud IN A 10.88.2XX.8
docker IN A 10.88.2XX.9
dhcp IN A 172.26.2XX.2
smb IN A 10.2XX.1.2
ldap IN A 10.2XX.1.3
</pre>

=Check=
*named-checkzone it213.int /var/cache/bind/it213.int
zone it213.int/IN: loaded serial 2011090204
OK

=Reverse Zonen Datei=
*vi /var/cache/bind/2XX.88.10.in-addr.arpa
$TTL 1
@ IN SOA ns.it2XX.int. technik.it2XX.int. (
2025062501 ; serial
14400 ; refresh (4 hours)
3600 ; retry (1 hour)
3600000 ; expire (5 weeks 6 days 16 hours)
300 ; minimum (5 min)
)
IN NS ns.it2XX.int.
1 IN PTR fw.it2XX.int.
21 IN PTR ns.it2XX.int.
3 IN PTR mail.it2XX.int.
4 IN PTR proxy.it2XX.int.
17 IN PTR ntp.it2XX.int.
11 IN PTR www.it2XX.int.
15 IN PTR sftp.it2XX.int.
41 IN PTR revproxy.it2XX.int.
5 IN PTR checkmk.it2XX.int.
8 IN PTR docker.it2XX.int.
9 IN PTR nexcloud.it2XX.int.

=Check=
*named-checkzone 213.88.10.in-addr.arpa /var/cache/bind/213.88.10.in-addr.arpa
zone 213.88.10.in-addr.arpa/IN: loaded serial 2011090204
OK

=Restart=
*systemctl restart named

=Finaler Check=
Asynchronous Full Zone Transfer
;Zone
*dig @127.0.0.1 it213.int -t axfr
;Reverse Zone
*dig @127.0.0.1 213.88.10.in-addr.arpa -t axfr

=DNSSEC Schlüssel erzeugen=
*cd /var/cache/bind/
;Forward Zone
*dnssec-keygen -a RSASHA256 -b 2048 -n ZONE it2XX.int
*dnssec-keygen -a RSASHA256 -b 4096 -f KSK -n ZONE it2XX.int

=DNSKEY einbinden=
;Forward
*for k in Kit2XX.int.+*.key ; do echo "\$INCLUDE $k" >> /var/cache/bind/it2XX.int; done

=Zonen signieren=
*dnssec-signzone -A -N INCREMENT -o it2XX.int -t /var/cache/bind/it2XX.int
;Erzeugt
<pre>
/var/cache/bind/it2XX.int.signed
</pre>
*systemctl restart named

=DS Record für Fake Root erzeugen=
;DS aus signierter Zone erzeugen
*dnssec-dsfromkey -f /var/cache/bind/it2XX.int.signed it2XX.int
;DS Eintrag an Fake Root weitergeben
;Im Fake Root in Zone int einfügen
;Beispiel:
;it2XX IN NS ns.it2XX.int.
;ns.it2XX.int. IN A 10.88.2XX.21
;it2XX.int. IN DS 12345 8 2 ABCDEF123456....
;Danach Fake Root neu signieren
*cd /var/cache/bind
*dnssec-signzone -A -N INCREMENT -o int int
*rndc reload

=ändern der /etc/network/interfaces=
dns-nameserver '''127.0.0.1'''
;Danach aktivieren
*ifdown enp0s3 && ifup enp0s3
;Kontrolle
*cat /etc/resolv.conf
# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
# DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 127.0.0.1
search it213.int

=Handling und Logging=
*systemctl restart bind9
*journalctl -fu bind9
*journalctl -u bind9 -g it2XX.int

=Validierungstest=
;Forward Validierung
*dig www.it2XX.int +dnssec
;Antwort muss AD-Flag enthalten

=Status=
*systemctl status named

=Logs=
;Aktualisierte Log von named
*journalctl -fu named
;Die letzten 20 Log Zeilen vom named
*journalctl -n 20 -u named
;Aktualisierte Log von named plus grepen nach it213
*journalctl -fu named -g it213

=Sind die Ports geöffnet=
*ss -lntpu | grep named

=Tests=
*[[host]]
*[[dig]]
*[[nslookup]]

@@ Zeile 220: / Zeile 220: @@
 ;Forward
-*for k in Kit2Xx.int.+*.key ; do echo "\$INCLUDE $k" >> /var/cache/bind/it2XX.int; done
+*for k in Kit2XX.int.+*.key ; do echo "\$INCLUDE $k" >> /var/cache/bind/it2XX.int; done
 =Zonen signieren=
-*dnssec-signzone -A -N INCREMENT -o it213.int -t /var/cache/bind/it213.int
+*dnssec-signzone -A -N INCREMENT -o it2XX.int -t /var/cache/bind/it2XX.int
 ;Erzeugt

@@ Zeile 204: / Zeile 204: @@
 =Check=
-*named-checkzone  213.88.10.in-addr.arpa /var/cache/bind/213.88.10.in-addr.arpa
+*named-checkzone  2XX.88.10.in-addr.arpa /var/cache/bind/2XX.88.10.in-addr.arpa
-  zone 213.88.10.in-addr.arpa/IN: loaded serial 2011090204
+  zone 2XX.88.10.in-addr.arpa/IN: loaded serial 2011090204
   OK
@@ Zeile 214: / Zeile 214: @@
 ;Forward Zone
-*dnssec-keygen -a RSASHA256 -b 2048 -n ZONE it213.int
+*dnssec-keygen -a RSASHA256 -b 2048 -n ZONE it2XX.int
-*dnssec-keygen -a RSASHA256 -b 4096 -f KSK -n ZONE it213.int
+*dnssec-keygen -a RSASHA256 -b 4096 -f KSK -n ZONE it2XX.int
 =DNSKEY einbinden=
 ;Forward
-*for k in Kit213.int.+*.key ; do echo "\$INCLUDE $k" >> /var/cache/bind/it213.int; done
+*for k in Kit2Xx.int.+*.key ; do echo "\$INCLUDE $k" >> /var/cache/bind/it2XX.int; done
 =Zonen signieren=
@@ Zeile 228: / Zeile 228: @@
 ;Erzeugt
 <pre>
-/var/cache/bind/it213.int.signed
+/var/cache/bind/it2XX.int.signed
 </pre>
@@ Zeile 236: / Zeile 236: @@
 ;DS aus signierter Zone erzeugen
-*dnssec-dsfromkey -f /var/cache/bind/it213.int.signed it213.int
+*dnssec-dsfromkey -f /var/cache/bind/it2XX.int.signed it2XX.int
 ;DS Eintrag an Fake Root weitergeben
@@ Zeile 242: / Zeile 242: @@
 ;Beispiel:
-;it213      IN NS ns.it213.int.
+;it2XX      IN NS ns.it2XX.int.
-;ns.it213.int. IN A 10.88.213.21
+;ns.it2XX.int. IN A 10.88.2XX.21
-;it213.int. IN DS 12345 8 2 ABCDEF123456....
+;it2XX.int. IN DS 12345 8 2 ABCDEF123456....
 ;Danach Fake Root neu signieren
@@ Zeile 254: / Zeile 254: @@
 *systemctl restart bind9
 *journalctl -fu bind9
-*journalctl -u bind9 -g it213.int
+*journalctl -u bind9 -g it2XX.int
 =Validierungstest=
 ;Forward Validierung
-*dig www.it213.int +dnssec
+*dig www.it2XX.int +dnssec
 ;Antwort muss AD-Flag enthalten
@@ Zeile 271: / Zeile 271: @@
 ;Die letzten 20 Log Zeilen vom named
 *journalctl -n 20 -u named
-;Aktualisierte Log von named plus grepen nach it213
+;Aktualisierte Log von named plus grepen nach it2XX
-*journalctl -fu named -g it213
+*journalctl -fu named -g it2XX
 =Sind die Ports geöffnet=

@@ Zeile 207: / Zeile 207: @@
   zone 213.88.10.in-addr.arpa/IN: loaded serial 2011090204
   OK
 =Finaler Check=

@@ Zeile 106: / Zeile 106: @@
 *DNSSEC Validierung ist aktiviert
 =Restart=
 *systemctl restart named