Pseudo second level domain von Basics zu DNSEC - Versionsgeschichte

Thomas.will: /* DNSSEC Schlüssel erzeugen */

2026-06-03T07:52:53Z

DNSSEC Schlüssel erzeugen

Thomas.will: /* Trust Anker einfügen */

2026-06-03T07:10:27Z

Trust Anker einfügen

Thomas.will: /* Validierungstest */

2026-06-02T15:04:50Z

Validierungstest

Thomas.will: /* /etc/bind/named.conf.local */

2026-06-02T14:38:52Z

/etc/bind/named.conf.local

Thomas.will: /* /etc/bind/named.conf.local */

2026-06-02T14:38:06Z

/etc/bind/named.conf.local

Thomas.will: /* /etc/bind/named.conf.options */

2026-06-02T14:36:59Z

/etc/bind/named.conf.options

Thomas.will: /* Handling und Logging */

2026-06-02T14:34:56Z

Handling und Logging

Thomas.will: /* DS Record für Fake Root erzeugen */

2026-06-02T14:34:11Z

DS Record für Fake Root erzeugen

Thomas.will am 2. Juni 2026 um 14:32 Uhr

2026-06-02T14:32:21Z

Thomas.will: /* Zonen signieren */

2026-06-02T14:30:06Z

Zonen signieren

@@ Zeile 30: / Zeile 30: @@
 =DNSSEC Schlüssel erzeugen=
 ;Forward Zone
 *dnssec-keygen -a ECDSAP256SHA256 -n ZONE it2XX.int
 *dnssec-keygen -a ECDSAP256SHA256 -f KSK -n ZONE it2XX.int
 =DNSKEY einbinden=
 ;Forward

@@ Zeile 1: / Zeile 1: @@
 ==Trust Anker einfügen==
 *cd /etc/bind/
-*wget http://192.168.X.88/trust-anchors.conf
+*wget http://192.168.HS.88/trust-anchors.conf
 *echo 'include "/etc/bind/trust-anchors.conf";' >> named.conf
 ==/etc/bind/named.conf.options==
 ===Berechtigungen und Einschränkungen===

@@ Zeile 62: / Zeile 62: @@
 =Validierungstest=
-;Forward Validierung
+==Eigene Domain anfragen (autoritativ)==
-*dig www.it2XX.int +dnssec
+*dig @127.0.0.1 www.it2XX.int +dnssec
-;Antwort muss AD-Flag enthalten
+;AA (Authoritative Answer)
 =Status=
 *systemctl status named

@@ Zeile 20: / Zeile 20: @@
    zone "it2XX.int" {
           type master;
-          <span style="color:red">'''file "it2XX.int.signed";'''</śpan>
+          <span style="color:red">'''file "it2XX.int.signed";'''</span>
           };
     zone "2XX.88.10.in-addr.arpa" {

@@ Zeile 18: / Zeile 18: @@
 ==/etc/bind/named.conf.local==
-<pre>
+  zone "it2XX.int" {
- //Standardmässig leer
+         type master;
- //Hier werden die sogenanten Zonen angelegt.
+         <span style="color:red">'''file "it2XX.int.signed";'''</śpan>
- zone "it2XX.int" {
+         };
-        type master;
+   zone "2XX.88.10.in-addr.arpa" {
-        file "it2XX.int.signed";
+         type master;
-        };
+         file "2XX.88.10.in-addr.arpa";
-  zone "2XX.88.10.in-addr.arpa" {
+       };
-        type master;
 =DNSSEC Schlüssel erzeugen=
 ;Forward Zone

@@ Zeile 5: / Zeile 5: @@
 ==/etc/bind/named.conf.options==
 ===Berechtigungen und Einschränkungen===
-<pre>
+ options {
-options {
+   directory "/var/cache/bind";
-  directory "/var/cache/bind";
+   forwarders { <DNSGW>; };
-  forwarders { <DNSGW>; };
+   allow-query { 0.0.0.0/0; };
-  allow-query { 0.0.0.0/0; };
+   allow-recursion { 10.88.2XX.0/24; 172.26.2XX.0/24; 10.2XX.1.0/24; 172.20.2XX.0; 127.0.0.1; };
-  allow-recursion { 10.88.2XX.0/24; 172.26.2XX.0/24; 10.2XX.1.0/24; 172.20.2XX.0; 127.0.0.1; };
+   allow-transfer {127.0.0.1; };
-  allow-transfer {127.0.0.1; };
+   <span style="color:red">'''dnssec-validation yes;'''</span>
-  dnssec-validation yes;
+   empty-zones-enable no;
-  empty-zones-enable no;
+   listen-on-v6 { none; };
-  listen-on-v6 { none; };
+   listen-on { any; };
-  listen-on { any; };
+ };
 };
 ==/etc/bind/named.conf.local==
 <pre>

@@ Zeile 61: / Zeile 61: @@
 =Handling und Logging=
-*systemctl restart bind9
+*systemctl restart named
-*journalctl -fu bind9
+*journalctl -fu named
 *journalctl -u bind9 -g it2XX.int
 =Validierungstest=
 ;Forward Validierung

@@ Zeile 58: / Zeile 58: @@
 *dnssec-signzone -A -N INCREMENT -o int int
 *rndc reload
 =Handling und Logging=
 *systemctl restart bind9

@@ Zeile 32: / Zeile 32: @@
 </pre>
 =DNSSEC Schlüssel erzeugen=
 ;Forward Zone
-*dnssec-keygen -a RSASHA256 -b 2048 -n ZONE it2XX.int
+*dnssec-keygen -a ECDSAP256SHA256 -n ZONE it2XX.int
-*dnssec-keygen -a RSASHA256 -b 4096 -f KSK -n ZONE it2XX.int
+*dnssec-keygen -a ECDSAP256SHA256 -f KSK -n ZONE it2XX.int
 =DNSKEY einbinden=
 ;Forward
 *for k in Kit2XX.int.+*.key ; do echo "\$INCLUDE $k" >> /var/cache/bind/it2XX.int; done
 =Zonen signieren=
 *dnssec-signzone -A -N INCREMENT -o it2XX.int -t /var/cache/bind/it2XX.int
 ;Erzeugt
 <pre>
 /var/cache/bind/it2XX.int.signed
 </pre>
 *systemctl restart named
 =DS Record für Fake Root erzeugen=
 ;DS aus signierter Zone erzeugen
 *dnssec-dsfromkey -f /var/cache/bind/it2XX.int.signed it2XX.int
 ;DS Eintrag an Fake Root weitergeben
 ;Im Fake Root in Zone int einfügen
 ;Beispiel:
 ;it2XX      IN NS ns.it2XX.int.
 ;ns.it2XX.int. IN A 10.88.2XX.21
-;it2XX.int. IN DS 12345 8 2 ABCDEF123456....
+;it2XX.int. IN DS 12345 13 2 ABCDEF123456....
 ;Danach Fake Root neu signieren
 *cd /var/cache/bind
 *dnssec-signzone -A -N INCREMENT -o int int
 *rndc reload
 =Handling und Logging=
 *systemctl restart bind9
 *journalctl -fu bind9
 *journalctl -u bind9 -g it2XX.int
 =Validierungstest=
 ;Forward Validierung
 *dig www.it2XX.int +dnssec
 ;Antwort muss AD-Flag enthalten
 =Status=
 *systemctl status named
 =Logs=
 ;Aktualisierte Log von named
@@ Zeile 91: / Zeile 75: @@
 ;Aktualisierte Log von named plus grepen nach it2XX
 *journalctl -fu named -g it2XX
 =Sind die Ports geöffnet=
 *ss -lntpu | grep named
 =Tests=
 *[[host]]
 *[[dig]]
 *[[nslookup]]

← Nächstältere Version		Version vom 2. Juni 2026, 14:30 Uhr
Zeile 51:		Zeile 51:

	*systemctl restart named		*systemctl restart named
		+	=DS Record für Fake Root erzeugen=
		+
		+	;DS aus signierter Zone erzeugen
		+	*dnssec-dsfromkey -f /var/cache/bind/it2XX.int.signed it2XX.int
		+
		+	;DS Eintrag an Fake Root weitergeben
		+	;Im Fake Root in Zone int einfügen
		+
		+	;Beispiel:
		+	;it2XX IN NS ns.it2XX.int.
		+	;ns.it2XX.int. IN A 10.88.2XX.21
		+	;it2XX.int. IN DS 12345 8 2 ABCDEF123456....
		+
		+	;Danach Fake Root neu signieren
		+	*cd /var/cache/bind
		+	*dnssec-signzone -A -N INCREMENT -o int int
		+	*rndc reload
		+
		+	=Handling und Logging=
		+	*systemctl restart bind9
		+	*journalctl -fu bind9
		+	*journalctl -u bind9 -g it2XX.int
		+
		+	=Validierungstest=
		+
		+	;Forward Validierung
		+	*dig www.it2XX.int +dnssec
		+
		+	;Antwort muss AD-Flag enthalten
		+
		+	=Status=
		+	*systemctl status named
		+
		+	=Logs=
		+	;Aktualisierte Log von named
		+	*journalctl -fu named
		+	;Die letzten 20 Log Zeilen vom named
		+	*journalctl -n 20 -u named
		+	;Aktualisierte Log von named plus grepen nach it2XX
		+	*journalctl -fu named -g it2XX
		+
		+	=Sind die Ports geöffnet=
		+	*ss -lntpu \| grep named
		+
		+	=Tests=
		+	*[[host]]
		+	*[[dig]]
		+	*[[nslookup]]