Aktuelle Version vom 18. März 2026, 07:14 Uhr

Klonen des Templates

Erstellen eines Nameservers laut Plan
Name ns.it213.int
Vorläufiger DNS ist der 192.168.X.88
Der Server ist autoritativ UND rekursiv validierend

Installation

apt update
apt install bind9 bind9-utils

Auf den Nameservern

Trust Anker einfügen

cd /etc/bind/
wget http://192.168.X.88/trust-anchors.conf
echo 'include "/etc/bind/trust-anchors.conf";' >> named.conf

Optionen

cat /etc/bind/named.conf.options

options {
        directory "/var/cache/bind";
        forwarders { 192.168.X.88; };
        empty-zones-enable no;
        recursion yes;        
        allow-query { any; };
        allow-transfer { 127.0.0.1; };
        dnssec-validation yes;
};

Zonenfestlegung

cat /etc/bind/named.conf.local

zone "it213.int" IN {
     type master;
     file "it213.int.signed";
};

zone "213.88.10.in-addr.arpa" IN {
     type master;
     file "213.88.10.in-addr.arpa";
};

Zonen selbst (unsigniert)

cat /var/cache/bind/it213.int

$TTL 300
@           IN SOA  ns.it213.int. technik.xinux.de. (
                        2026031701
                        14400
                        3600
                        3600000
                        86400
                    )
        IN NS      ns
        IN MX 10   mail

ns        IN A       10.88.213.21
www       IN A       10.88.213.11
mail      IN A       10.88.213.3
fw        IN A       10.88.213.1
proxy     IN A       10.88.213.4
checkmk   IN A       10.88.213.5
revproxy  IN A       10.88.213.41
nextcloud IN A       10.88.213.8
docker    IN A       10.88.213.9

cat /var/cache/bind/213.88.10.in-addr.arpa

$TTL 300
@           IN SOA  ns.it213.int. technik.xinux.de. (
                        2026031701
                        14400
                        3600
                        3600000
                        86400
                    )
        IN NS      ns.it213.int.

1       IN PTR     fw.it213.int.
21      IN PTR     ns.it213.int.
11      IN PTR     www.it213.int.
3       IN PTR     mail.it213.int.
4       IN PTR     proxy.it213.int.
5       IN PTR     checkmk.it213.int.
8       IN PTR     nextcloud.it213.int.
9       IN PTR     docker.it213.int.
41      IN PTR     revproxy.it213.int.

Verzeichnis wechseln

cd /var/cache/bind/

DNSSEC Schlüssel erzeugen

Forward Zone

dnssec-keygen -a RSASHA256 -b 2048 -n ZONE it213.int
dnssec-keygen -a RSASHA256 -b 4096 -f KSK -n ZONE it213.int

DNSKEY einbinden

Forward

for k in Kit213.int.+*.key ; do echo "\$INCLUDE $k" >> /var/cache/bind/it213.int; done

Zonen signieren

dnssec-signzone -A -N INCREMENT -o it213.int -t /var/cache/bind/it213.int

Erzeugt

/var/cache/bind/it213.int.signed

systemctl restart named

DS Record für Fake Root erzeugen

DS aus signierter Zone erzeugen

dnssec-dsfromkey -f /var/cache/bind/it213.int.signed it213.int

DS Eintrag an Fake Root weitergeben
Im Fake Root in Zone int einfügen

Beispiel
it213 IN NS ns.it213.int.
ns.it213.int. IN A 10.88.213.21
it213.int. IN DS 12345 8 2 ABCDEF123456....

Danach Fake Root neu signieren

cd /var/cache/bind
dnssec-signzone -A -N INCREMENT -o int int
rndc reload

Handling und Logging

systemctl restart bind9
journalctl -fu bind9
journalctl -u bind9 -g it213.int

Validierungstest

Forward Validierung

dig www.it213.int +dnssec

Antwort muss AD-Flag enthalten

@@ Zeile 1: / Zeile 1: @@
-*cat /etc/bind/named.conf.options
+=Klonen des Templates=
+;Erstellen eines Nameservers laut Plan
+;Name ns.it213.int
+;Vorläufiger DNS ist der 192.168.X.88
+;Der Server ist autoritativ UND rekursiv validierend
+=Installation=
+*apt update
+*apt install bind9 bind9-utils
+=Auf den Nameservern=
+==Trust Anker einfügen==
+*cd /etc/bind/
+*wget http://192.168.X.88/trust-anchors.conf
+*echo 'include "/etc/bind/trust-anchors.conf";' >> named.conf
+==Optionen==
+*cat /etc/bind/named.conf.options
 <pre>
 options {
-	directory "/var/cache/bind";
+        directory "/var/cache/bind";
-	 forwarders {
+        forwarders { 192.168.X.88; };
-.168.178.88;
+        empty-zones-enable no;
-	 };
+        recursion yes;
-	empty-zones-enable no;
+        allow-query { any; };
-	dnssec-validation auto;
+        allow-transfer { 127.0.0.1; };
-	listen-on-v6 { none; };
+        dnssec-validation yes;
 };
 </pre>
+==Zonenfestlegung==
+*cat /etc/bind/named.conf.local
 <pre>
+zone "it213.int" IN {
-*cat /etc/bind/named.conf.local
-zone it113.int IN {
       type master;
-      file "it113.int";
+      file "it213.int.signed";
 };
-zone 113.88.10.in-addr.arpa IN {
+zone "213.88.10.in-addr.arpa" IN {
       type master;
-      file "113.88.10.in-addr.arpa";
+      file "213.88.10.in-addr.arpa";
 };
 </pre>
-*cat it113.int
+=Zonen selbst (unsigniert)=
+*cat /var/cache/bind/it213.int
 <pre>
 $TTL 300
-@ 		  IN SOA  ns technik.xinux.de. (
+@           IN SOA  ns.it213.int. technik.xinux.de. (
-                         2011090204  ;
+                         2026031701
-  ;
-   ;
-                         3600000 ;
+                         3600000
-  ;
                      )
          IN NS      ns
-ns      IN A       10.88.113.2
+        IN MX 10   mail
-www     IN A       10.88.113.22
+ns        IN A       10.88.213.21
+www       IN A       10.88.213.11
+mail      IN A       10.88.213.3
+fw        IN A       10.88.213.1
+proxy     IN A       10.88.213.4
+checkmk   IN A       10.88.213.5
+revproxy  IN A       10.88.213.41
+nextcloud IN A       10.88.213.8
+docker    IN A       10.88.213.9
 </pre>
-*cat 113.88.10.in-addr.arpa
+*cat /var/cache/bind/213.88.10.in-addr.arpa
 <pre>
 $TTL 300
-@ 		  IN SOA  ns.it113.int. technik.xinux.de. (
+@           IN SOA  ns.it213.int. technik.xinux.de. (
-                         2011090204  ;
+                         2026031701
-  ;
-   ;
-                         3600000 ;
+                         3600000
-  ;
                      )
-         IN NS      ns.it113.int.
+         IN NS      ns.it213.int.
-	IN	PTR ns.it113.int.
-	IN	PTR www.it113.int.
+       IN PTR     fw.it213.int.
+      IN PTR     ns.it213.int.
+      IN PTR     www.it213.int.
+       IN PTR     mail.it213.int.
+       IN PTR     proxy.it213.int.
+       IN PTR     checkmk.it213.int.
+       IN PTR     nextcloud.it213.int.
+       IN PTR     docker.it213.int.
+      IN PTR     revproxy.it213.int.
+</pre>
+==Verzeichnis wechseln==
+*cd /var/cache/bind/
+=DNSSEC Schlüssel erzeugen=
+;Forward Zone
+*dnssec-keygen -a RSASHA256 -b 2048 -n ZONE it213.int
+*dnssec-keygen -a RSASHA256 -b 4096 -f KSK -n ZONE it213.int
+=DNSKEY einbinden=
+;Forward
+*for k in Kit213.int.+*.key ; do echo "\$INCLUDE $k" >> /var/cache/bind/it213.int; done
+=Zonen signieren=
+*dnssec-signzone -A -N INCREMENT -o it213.int -t /var/cache/bind/it213.int
+;Erzeugt
+<pre>
+/var/cache/bind/it213.int.signed
 </pre>
+*systemctl restart named
+=DS Record für Fake Root erzeugen=
+;DS aus signierter Zone erzeugen
+*dnssec-dsfromkey -f /var/cache/bind/it213.int.signed it213.int
+;DS Eintrag an Fake Root weitergeben
+;Im Fake Root in Zone int einfügen
+;Beispiel:
+;it213      IN NS ns.it213.int.
+;ns.it213.int. IN A 10.88.213.21
+;it213.int. IN DS 12345 8 2 ABCDEF123456....
+;Danach Fake Root neu signieren
+*cd /var/cache/bind
+*dnssec-signzone -A -N INCREMENT -o int int
+*rndc reload
+=Handling und Logging=
+*systemctl restart bind9
+*journalctl -fu bind9
+*journalctl -u bind9 -g it213.int
+=Validierungstest=
+;Forward Validierung
+*dig www.it213.int +dnssec
+;Antwort muss AD-Flag enthalten

Pseudo second level domain DNSSEC: Unterschied zwischen den Versionen

Aktuelle Version vom 18. März 2026, 07:14 Uhr

Inhaltsverzeichnis

Klonen des Templates

Installation

Auf den Nameservern

Trust Anker einfügen

Optionen

Zonenfestlegung

Zonen selbst (unsigniert)

Verzeichnis wechseln

DNSSEC Schlüssel erzeugen

DNSKEY einbinden

Zonen signieren

DS Record für Fake Root erzeugen

Handling und Logging

Validierungstest

Navigationsmenü

Suche