Iata solutia:
Bind9 este configurat cu „dns-policy default”, așa cum este descris în secțiunea de opțiuni de mai sus. Acest lucru este important și foarte cool. Majoritatea ajutorului și a documentației nu abordează „dns-policy default”, ci abordează „dns-policy default” în termeni de metode anterioare, mai vechi și chiar depreciate.
1.Comentați toate configurațiile zonelor în named.conf, cu excepția uneia, de exemplu example.com.
zona „example.com” {
tip master;
fișierul „/.../example.com.outsideView/example.com.outside”;
directorul-cheie „/.../zoneFiles/outsideView/example.com.outside”;
};
A) fişier este locația fișierului zone example.com.Separ vederile din interior și din exterior și clarific ce vedere reprezintă fișierul de zonă, deci example.com.outside.
b) directorul-chei este locația în care vor fi scrise cheile DNSSEC și unde un copie de example.com este plasat. Este important să păstrați separat fișierul de zonă, example.com, în configurația bind9, name.conf adică. fișier și fișierul de zonă, example.com, copiat în directorul-cheie, așa cum este dat ca opțiunea name.conf. Veți modifica fișierul de zonă, example.com, în fișier după cum este necesar. Este copia de lucru. Copia fișierului de zonă, example.com, din directorul-cheie va fi modificată sau „semnată” de DNSSEC „dnssec-policy default”.
2.Odată ce opțiunile bind9 pentru fișierul de configurare a zonei sunt setate cu fișier și cheie-directoy, atunci,
a) Reporniți bind cu „systemctl restart bind9” sau „rndc reload”. „rndc reload” va reîncărca fișierele și zonele de configurare. Când interacțiunea DNSSEC cu configurațiile de legătură și zonă nu a fost înțeleasă, am folosit „rndc reload”. Pe măsură ce lucrurile au devenit clare, „systemctl restart bind9” a fost suficient.
b) Odată ce bind9 a fost repornit cu succes, cd în directorul cheie. Va fi fișierul de zonă example.com.outside, .jnl și K.(cheie|stat|privat) fișier ca acesta:
exemplu.com.afară
exemplu.com.in afara.jnl
Kexample.com.+013+12345.cheie
Kexample.com.+013+12345.state
Kexample.com.+013+12345.privat
(013 - numărul algoritmului, 12345 - cheie)
3)Extrageți înregistrarea DS din cheie folosind următoarea comandă și salvați rezultatul
a) dnssec-dsfromkey Kexample.com.outside+013+12345.key > DSkeyexample.com.outside.
b) DSkeyexample.com.outside va conține înregistrarea DS pentru zona example.com în fișierul example.com.outside, de exemplu, cat DSkeyexample.com.outside produce:
exemplu.com. ÎN DS 12345 13 2
1234adb69784efc7528746dab15432abfd78764cd543cccd5432123abcdef123
c) Trimiteți înregistrarea DS către ISP sau introduceți această înregistrare DS în interfața DNSSEC a ISP-ului.
4)Semnând zona, example.com (nume fișier example.com.outside).
Rețineți, zona example.com este situată în două locuri: fișier și copiat în directorul-cheie. example.com situat în „fișier” de configurare a legăturii este pentru modificări și modificări. Fișierul de zonă example.com copiat pentru a lega configurația „key-directory” este semnat de DNSSEC.
a) Inițial, ambele fișiere de zonă vor avea aceeași dimensiune mică, adică identice, desigur, de exemplu 8KB. Când are loc semnarea, fișierul de zonă din directorul cheie se va dubla de patru ori, de exemplu, de la 8KB la 24KB. De asemenea, folosind un editor, deschideți fișierul de zonă situat în directorul cheie. Observați datele de semnare. Semnarea zonei este atunci când DNSSEC rescrie fișierul zonei în directorul cheie. „dnssec-policy default” semnează și menține zona.
b) Semnarea zonei nu are întotdeauna loc imediat. Utilizați „systemctl status bind9” pentru a observa următoarea actualizare a cheii pentru a obține o indicație când zona ar putea fi semnată.
5)Efectuarea de modificări/corecții la fișierul de zonă
a) Nu modificați sau modificați fișierul de zonă semnat sau nesemnat din directorul cheie. Schimbați și modificați fișierul de zonă în fișier și salvați-l și amintiți-vă să creșteți numărul de serie. Apoi copiați sau salvați ca modificările în directorul de chei. Da, fișierul de zonă semnat sau nesemnat va fi suprascris.
b) restart bind9: systemctl restart bind9.
6)Forțarea zonei să semneze. Când bind9 rulează și nu există erori, dar zona nu va semna.
a) ștergeți/ștergeți fișierul *.jnl și incrementați seria fișierului de zonă aflat în fișier. Apoi copiați/salvați ca în directorul de chei. Apoi systemctl reporniți bind9.
b) Utilizarea comenzii rndc pentru a forța semnarea. Vezi man rndc
rndc flush - Șterge memoria cache a serverului.
rndc flushname name [vizualizare] - Șterge numele dat din memoria cache DNS a vizualizării și, dacă este cazul, din baza de date cu adrese de server de nume a vizualizării, cache-ul serverului defect și cache-ul SERVFAIL.
rndc flushtree name [vizualizare] - Șterge numele dat și toate subdomeniile sale din memoria cache DNS a vizualizării, baza de date cu adrese, cache-ul serverului defect și cache-ul SERVFAIL.
chei gestionate (stare | reîmprospătare) [clasa [vizualizare]]
c) Comenzile de mai sus par să funcționeze mai bine împreună cu rndc freeze și rndc thaw. Mai întâi utilizați rndc freeze, lansați comenzile de mai sus, apoi rndc thaw. După dezghețarea rndc, eliberez în mod redundant systemctl restart bind9. Pentru că pare să funcționeze mai bine.
7)Verificați DNSSEC folosind https://dnsviz.net/ și https://dnssec-analyzer.verisignlabs.com/
Când prima zonă este DNSSEC, anulați comentariile altei zone și parcurgeți pașii. Scrierea este mult mai lungă și mai grea decât a parcurge pașii pentru ca DNSSEC să funcționeze.
