Pseudo second level domain DNSSEC - Versionsgeschichte

Thomas.will: /* Optionen */

2026-03-18T07:14:16Z

Optionen

Thomas.will: /* Zonen signieren */

2026-03-17T12:49:05Z

Zonen signieren

Thomas.will: /* DNSSEC Schlüssel erzeugen */

2026-03-17T12:43:58Z

DNSSEC Schlüssel erzeugen

Thomas.will: /* Zonen selbst (unsigniert) */

2026-03-17T12:42:35Z

Zonen selbst (unsigniert)

Thomas.will am 9. März 2026 um 15:10 Uhr

2026-03-09T15:10:59Z

Änderungen zeigen

Thomas.will am 6. März 2026 um 13:33 Uhr

2026-03-06T13:33:42Z

Thomas.will: /* =dnssec-validation auf yes stellen */

2025-03-18T13:57:13Z

=dnssec-validation auf yes stellen

Thomas.will: /* Bind konfigurieren, um die signierten Zonen zu verwenden (auf ns.it113.int) */

2025-03-18T13:57:02Z

Bind konfigurieren, um die signierten Zonen zu verwenden (auf ns.it113.int)

Thomas.will: /* Toplevel-Zone neu signieren (auf dnsgw.gw) */

2025-03-13T19:18:53Z

Toplevel-Zone neu signieren (auf dnsgw.gw)

Thomas.will: /* DS-Records an die Parent-Zonen übergeben */

2025-03-13T19:16:00Z

DS-Records an die Parent-Zonen übergeben

@@ Zeile 21: / Zeile 21: @@
 options {
          directory "/var/cache/bind";
          forwarders { 192.168.X.88; };
          empty-zones-enable no;
+         recursion yes;
-         recursion yes;
+        allow-query { any; };
          dnssec-validation yes;
 </pre>

@@ Zeile 119: / Zeile 119: @@
 </pre>
-*systemctl restart bind9
+*systemctl restart named
 =DS Record für Fake Root erzeugen=

← Nächstältere Version		Version vom 17. März 2026, 12:43 Uhr
Zeile 95:		Zeile 95:

	</pre>		</pre>
		+
		+	==Verzeichnis wechseln==
		+	*cd /var/cache/bind/

	=DNSSEC Schlüssel erzeugen=		=DNSSEC Schlüssel erzeugen=

@@ Zeile 52: / Zeile 52: @@
 $TTL 300
 @           IN SOA  ns.it213.int. technik.xinux.de. (
-                         2011090204
+                         2026031701
@@ Zeile 61: / Zeile 61: @@
          IN MX 10   mail
-ns      IN A       10.88.213.21
+ns        IN A       10.88.213.21
-www     IN A       10.88.213.22
+www       IN A       10.88.213.11
-mail    IN A       10.88.213.23
+mail      IN A       10.88.213.3
-fw      IN A       10.88.213.1
+fw        IN A       10.88.213.1
-db      IN A       10.88.213.24
+proxy     IN A       10.88.213.4
-app     IN A       10.88.213.25
+checkmk   IN A       10.88.213.5
-git     IN A       10.88.213.26
+revproxy  IN A       10.88.213.41
-monitor IN A       10.88.213.27
+nextcloud IN A       10.88.213.8
 </pre>
@@ Zeile 75: / Zeile 76: @@
 $TTL 300
 @           IN SOA  ns.it213.int. technik.xinux.de. (
-                         2011090204
+                         2026031701
@@ Zeile 85: / Zeile 86: @@
        IN PTR     fw.it213.int.
       IN PTR     ns.it213.int.
      IN PTR     www.it213.int.
-      IN PTR     mail.it213.int.
+       IN PTR     mail.it213.int.
-      IN PTR     db.it213.int.
+       IN PTR     proxy.it213.int.
-      IN PTR     app.it213.int.
+       IN PTR     checkmk.it213.int.
-      IN PTR     git.it213.int.
+       IN PTR     nextcloud.it213.int.
-     IN PTR     monitor.it213.int.
+       IN PTR     docker.it213.int.
 </pre>

@@ Zeile 1: / Zeile 1: @@
-= DNSSEC für die Second-Level-Zone it113.int und 113.88.10.in-addr.arpa =
+= DNSSEC für die Second-Level-Zone it213.int und 213.88.10.in-addr.arpa =
 == Übersicht ==
 - Die Toplevel-Domain '''int.''' ist bereits mit '''DNSSEC signiert''' und läuft auf '''dnsgw.gw'''.
-- Die Second-Level-Zone '''it113.int''' wird auf '''ns.it113.int''' gehostet.
+- Die Second-Level-Zone '''it213.int''' wird auf '''ns.it213.int''' gehostet.
-- Die Reverse-Zone '''113.88.10.in-addr.arpa''' wird ebenfalls auf '''ns.it113.int''' verwaltet.
+- Die Reverse-Zone '''213.88.10.in-addr.arpa''' wird ebenfalls auf '''ns.it213.int''' verwaltet.
 - '''Ziel:''' DNSSEC-Signierung beider Zonen und Veröffentlichung der DS-Records in der Parent-Zone.
-== Schlüssel für it113.int generieren (auf ns.it113.int) ==
+== Schlüssel für it213.int generieren (auf ns.it213.int) ==
 '''ZSK erzeugen'''
-*KSK_IT=$(dnssec-keygen -a RSASHA256 -b 4096 -f KSK -n ZONE -K /var/cache/bind it113.int)
+*KSK_IT=$(dnssec-keygen -a RSASHA256 -b 4096 -f KSK -n ZONE -K /var/cache/bind it213.int)
-*ZSK_IT=$(dnssec-keygen -a RSASHA256 -b 2048 -n ZONE -K /var/cache/bind it113.int)
+*ZSK_IT=$(dnssec-keygen -a RSASHA256 -b 2048 -n ZONE -K /var/cache/bind it213.int)
-== Schlüssel für 113.88.10.in-addr.arpa generieren (auf ns.it113.int) ==
+== Schlüssel für 213.88.10.in-addr.arpa generieren (auf ns.it213.int) ==
 '''ZSK erzeugen'''
-*KSK_REV=$(dnssec-keygen -a RSASHA256 -b 4096 -f KSK -n ZONE -K /var/cache/bind 113.88.10.in-addr.arpa)
+*KSK_REV=$(dnssec-keygen -a RSASHA256 -b 4096 -f KSK -n ZONE -K /var/cache/bind 213.88.10.in-addr.arpa)
-*ZSK_REV=$(dnssec-keygen -a RSASHA256 -b 2048 -n ZONE -K /var/cache/bind 113.88.10.in-addr.arpa)
+*ZSK_REV=$(dnssec-keygen -a RSASHA256 -b 2048 -n ZONE -K /var/cache/bind 213.88.10.in-addr.arpa)
-== Schlüssel in die Zonendateien eintragen (auf ns.it113.int) ==
+== Schlüssel in die Zonendateien eintragen (auf ns.it213.int) ==
-'''it113.int'''
+'''it213.int'''
-*echo "\$INCLUDE /var/cache/bind/$KSK_IT.key" >> /var/cache/bind/it113.int
+*echo "\$INCLUDE /var/cache/bind/$KSK_IT.key" >> /var/cache/bind/it213.int
-*echo "\$INCLUDE /var/cache/bind/$ZSK_IT.key" >> /var/cache/bind/it113.int
+*echo "\$INCLUDE /var/cache/bind/$ZSK_IT.key" >> /var/cache/bind/it213.int
-'''113.88.10.in-addr.arpa'''
+'''213.88.10.in-addr.arpa'''
-*echo "\$INCLUDE /var/cache/bind/$KSK_REV.key" >> /var/cache/bind/113.88.10.in-addr.arpa
+*echo "\$INCLUDE /var/cache/bind/$KSK_REV.key" >> /var/cache/bind/213.88.10.in-addr.arpa
-*echo "\$INCLUDE /var/cache/bind/$ZSK_REV.key" >> /var/cache/bind/113.88.10.in-addr.arpa
+*echo "\$INCLUDE /var/cache/bind/$ZSK_REV.key" >> /var/cache/bind/213.88.10.in-addr.arpa
-== Zonen signieren (auf ns.it113.int) ==
+== Zonen signieren (auf ns.it213.int) ==
-'''it113.int'''
+'''it213.int'''
-*dnssec-signzone -A -N INCREMENT -o it113.int -t /var/cache/bind/it113.int
+*dnssec-signzone -A -N INCREMENT -o it213.int -t /var/cache/bind/it213.int
-'''113.88.10.in-addr.arpa'''
+'''213.88.10.in-addr.arpa'''
-*dnssec-signzone -A -N INCREMENT -o 113.88.10.in-addr.arpa -t /var/cache/bind/113.88.10.in-addr.arpa
+*dnssec-signzone -A -N INCREMENT -o 213.88.10.in-addr.arpa -t /var/cache/bind/213.88.10.in-addr.arpa
-== Bind konfigurieren, um die signierten Zonen zu verwenden (auf ns.it113.int) ==
+== Bind konfigurieren, um die signierten Zonen zu verwenden (auf ns.it213.int) ==
 In der Datei '''/etc/bind/named.conf.local''':
 <pre>
-zone "it113.int" {
+zone "it213.int" {
      type master;
-     file "/var/cache/bind/it113.int.signed";
+     file "/var/cache/bind/it213.int.signed";
      allow-transfer { any; };
      allow-query { any; };
 };
-zone "113.88.10.in-addr.arpa" {
+zone "213.88.10.in-addr.arpa" {
      type master;
-     file "/var/cache/bind/113.88.10.in-addr.arpa.signed";
+     file "/var/cache/bind/213.88.10.in-addr.arpa.signed";
      allow-transfer { any; };
      allow-query { any; };
@@ Zeile 64: / Zeile 64: @@
 *systemctl restart bind9
 *rndc reload
-*rndc zonestatus it113.int
+*rndc zonestatus it213.int
-*rndc zonestatus 113.88.10.in-addr.arpa
+*rndc zonestatus 213.88.10.in-addr.arpa
 == DS-Records an die Parent-Zonen übergeben ==
-'''it113.int'''
+'''it213.int'''
 *dnssec-dsfromkey -2 /var/cache/bind/$KSK_IT.key
 Den ausgegebenen DS-Record in die Parent-Zone '''int.''' auf '''dnsgw.gw''' eintragen.
-'''113.88.10.in-addr.arpa'''
+'''213.88.10.in-addr.arpa'''
 *dnssec-dsfromkey -2 /var/cache/bind/$KSK_REV.key
 Den ausgegebenen DS-Record in die übergeordnete Zone '''88.10.in-addr.arpa''' auf '''dnsgw.gw''' eintragen.
@@ Zeile 85: / Zeile 85: @@
 == Überprüfung (auf beliebigem Client) ==
-'''it113.int'''
+'''it213.int'''
-*dig +dnssec it113.int
+*dig +dnssec it213.int
-*dig +dnssec www.it113.int
+*dig +dnssec www.it213.int
-'''113.88.10.in-addr.arpa'''
+'''213.88.10.in-addr.arpa'''
-*dig +dnssec 113.88.10.in-addr.arpa
+*dig +dnssec 213.88.10.in-addr.arpa
 Falls alles korrekt ist, sollte das '''AD-Bit''' (Authentic Data) gesetzt sein.

@@ Zeile 50: / Zeile 50: @@
 };
 </pre>
-==dnssec-validation auf yes stellen=
+==dnssec-validation auf yes stellen==
 *cat  /etc/bind/named.conf.options
   options {

@@ Zeile 68: / Zeile 68: @@
 Den ausgegebenen DS-Record in die übergeordnete Zone '''88.10.in-addr.arpa''' auf '''dnsgw.gw''' eintragen.
-== Toplevel-Zone neu signieren (auf dnsgw.gw) ==
+== Toplevel-Zone neu signieren (auf dnsgw) ==
-*dnssec-signzone -A -N INCREMENT -o int -t /etc/bind/zones/int.zone
+*dnssec-signzone -A -N INCREMENT -o int -t /var/cache/bind/int
-*dnssec-signzone -A -N INCREMENT -o 88.10.in-addr.arpa -t /etc/bind/zones/88.10.in-addr.arpa.zone
+*dnssec-signzone -A -N INCREMENT -o 88.10.in-addr.arpa -t /var/cache/bind/88.10.in-addr.arpa
 Neustart von BIND: