Pseudo top level domain von Basics zu DNSSEC: Unterschied zwischen den Versionen
Zur Navigation springen
Zur Suche springen
| Zeile 1: | Zeile 1: | ||
==Die Zonenfestlegung== | ==Die Zonenfestlegung== | ||
*cat /etc/bind/named.conf.local | *cat /etc/bind/named.conf.local | ||
| − | + | <pre> | |
| − | + | zone "int" { | |
| − | + | type master; | |
| − | + | forwarders {}; | |
| − | + | file "int.signed"; | |
| − | + | }; | |
| − | + | ||
| − | + | zone "88.10.in-addr.arpa" { | |
| − | + | type master; | |
| − | + | forwarders {}; | |
| − | + | file "88.10.in-addr.arpa"; | |
| + | }; | ||
| + | </pre> | ||
==DNSSEC Schlüssel erzeugen== | ==DNSSEC Schlüssel erzeugen== | ||
| − | |||
;Für die Zone int | ;Für die Zone int | ||
| − | *dnssec-keygen -a | + | *dnssec-keygen -a ECDSAP256SHA256 -n ZONE int |
| − | *dnssec-keygen -a | + | *dnssec-keygen -a ECDSAP256SHA256 -f KSK -n ZONE int |
| − | |||
==DNSKEY in die Zonen einbinden== | ==DNSKEY in die Zonen einbinden== | ||
| − | |||
;int | ;int | ||
*for k in Kint*.key ; do echo "\$INCLUDE /var/cache/bind/$k" >> /var/cache/bind/int; done | *for k in Kint*.key ; do echo "\$INCLUDE /var/cache/bind/$k" >> /var/cache/bind/int; done | ||
| − | |||
==Zonen signieren== | ==Zonen signieren== | ||
| − | |||
*dnssec-signzone -A -N INCREMENT -o int -t /var/cache/bind/int | *dnssec-signzone -A -N INCREMENT -o int -t /var/cache/bind/int | ||
| − | |||
| − | |||
;Erzeugt | ;Erzeugt | ||
<pre> | <pre> | ||
/var/cache/bind/int.signed | /var/cache/bind/int.signed | ||
</pre> | </pre> | ||
| − | |||
==Dienst neu starten== | ==Dienst neu starten== | ||
*systemctl restart bind9 | *systemctl restart bind9 | ||
| − | |||
==Überprüfung== | ==Überprüfung== | ||
*dig @192.168.6.88 int DNSKEY +dnssec | *dig @192.168.6.88 int DNSKEY +dnssec | ||
| − | |||
;DNSKEY und RRSIG Einträge müssen sichtbar sein | ;DNSKEY und RRSIG Einträge müssen sichtbar sein | ||
| − | |||
=Trust-Anker auf einem validierenden Resolver= | =Trust-Anker auf einem validierenden Resolver= | ||
| − | |||
;KSK ermitteln | ;KSK ermitteln | ||
*dig DNSKEY int @192.168.6.88 +short | *dig DNSKEY int @192.168.6.88 +short | ||
| − | + | ;Nur der Key mit Flags 257 (KSK) wird verwendet | |
| − | ;Nur der Key mit | ||
| − | |||
;Auf dem Resolver eintragen | ;Auf dem Resolver eintragen | ||
*cat /etc/bind/named.conf.options | *cat /etc/bind/named.conf.options | ||
| Zeile 55: | Zeile 43: | ||
}; | }; | ||
</pre> | </pre> | ||
| − | |||
*systemctl restart bind9 | *systemctl restart bind9 | ||
| − | |||
=Ergebnis= | =Ergebnis= | ||
*Der Fake Root .int ist signiert | *Der Fake Root .int ist signiert | ||
*Delegationen funktionieren wie zuvor | *Delegationen funktionieren wie zuvor | ||
*DNSSEC beginnt beim Resolver durch expliziten Trust-Anker | *DNSSEC beginnt beim Resolver durch expliziten Trust-Anker | ||
Version vom 2. Juni 2026, 14:19 Uhr
Die Zonenfestlegung
- cat /etc/bind/named.conf.local
zone "int" {
type master;
forwarders {};
file "int.signed";
};
zone "88.10.in-addr.arpa" {
type master;
forwarders {};
file "88.10.in-addr.arpa";
};
DNSSEC Schlüssel erzeugen
- Für die Zone int
- dnssec-keygen -a ECDSAP256SHA256 -n ZONE int
- dnssec-keygen -a ECDSAP256SHA256 -f KSK -n ZONE int
DNSKEY in die Zonen einbinden
- int
- for k in Kint*.key ; do echo "\$INCLUDE /var/cache/bind/$k" >> /var/cache/bind/int; done
Zonen signieren
- dnssec-signzone -A -N INCREMENT -o int -t /var/cache/bind/int
- Erzeugt
/var/cache/bind/int.signed
Dienst neu starten
- systemctl restart bind9
Überprüfung
- dig @192.168.6.88 int DNSKEY +dnssec
- DNSKEY und RRSIG Einträge müssen sichtbar sein
Trust-Anker auf einem validierenden Resolver
- KSK ermitteln
- dig DNSKEY int @192.168.6.88 +short
- Nur der Key mit Flags 257 (KSK) wird verwendet
- Auf dem Resolver eintragen
- cat /etc/bind/named.conf.options
managed-keys {
int. initial-key 257 3 13 "BASE64-KSK-HIER-EINFÜGEN";
};
- systemctl restart bind9
Ergebnis
- Der Fake Root .int ist signiert
- Delegationen funktionieren wie zuvor
- DNSSEC beginnt beim Resolver durch expliziten Trust-Anker