Aktuelle root-keys herunterladen:

dig . DNSKEY | egrep -v '^($|;)' > root.keys

Nameserver abfragen:

dig +sigchase +trusted-key=./root.keys www.isc.org A @127.0.0.1

dig org. SOA +dnssec

→ flags: ad

dig test.dnssec-or-not.net TXT @localhost

→ „Yes, you are using DNSSEC“

cd /var/lib/named

zone-signing key erzeugen: ¹⁾

dnssec-keygen -a RSASHA256 -b 1024 -n ZONE example.com
ls Kexample.com.*
less Kexample.com.*.key

key-signing key erzeugen:

dnssec-keygen -a RSASHA256 -b 4096 -f KSK -n ZONE example.com
ls Kexample.com.*

Öffentliche Schlüssen zu Zone hinzufügen:

cat Kexample.com.+008+*.key >> example.com

Signierte Zonendatei erzeugen: (30 Tage gültig)

dnssec-signzone -o example.com -k Kexample.com.+008+52216.private example.com Kexample.com.+008+12678.private
less example.com.signed

Todo:

• Diesen Server als hidden primary konfigurieren
• wöchentlichen cron-job zum Signieren anlegen
• Bind 9.9 kann seine Zonen selbst signieren.

• http://dnssectest.sidnlabs.nl/
• http://test.dnssec-or-not.org/
• file:/usr/share/doc/bind9-doc/arm/Bv9ARM.ch04.html#DNSSEC