1

全部（我的英语不好抱歉。）

让我们开始...

我使用 BIND9 创建了自己的 DNS 服务器。

已安装： 绑定 bind-utils bind-chroot

我的服务器 IP 是（示例 IP）：123.456.789.123

一切正常。（没有 cpu 超过 100%）但我每天都收到这个错误。

named[17203]: error (chase DS servers) resolving 'example.com/DS/IN': 123.456.789.123#53

我认为这意味着它在我的 example.com 中找不到 DS 记录。我尝试搜索此错误，有人说我必须关闭 dnssec，但为什么呢？所以，我试图找到如何解决这个错误，我在这里得到了一些非常好的解释网站。

https://www.os3.nl/2011-2012/students/maikel_de_boer/cia/dnssec

https://www.crc.id.au/configuring-dnssec-on-el6-and-bind-9/

我按照上面网站的所有说明进行操作，并且有效！对我来说，我签署了 DNSSEC！我得到了 DNSKEY 和 RRSIG 记录。

zone example.com/IN/internal: loaded serial 31125225 (DNSSEC signed)

但是我遇到了新问题！新问题是....当我使用这个命令时（示例）

dnssec-signzone -N INCREMENT example.com

它将创建类似于“example.com.signed”和“dsset-example.com”的签名文件。

在文件“dsset-example.com”中。有我的 example.com 的 DS 记录。但是当我尝试使用“dsset-example.com”中的 DS 记录时。（看起来像这样）

example.com.       IN DS 64621 5 1 AFF...................FF
example.com.       IN DS 64621 5 2 333EFBC.................5FC5 AG....54S

并插入到我的“example.com.zone”文件中，当我再次尝试（辞职）dnssec-signzone时，我收到如下错误消息：

dnssec-signzone: fatal: 'example.com': found DS RRset without NS RRset

我不知道如何在没有 dnssec-signzone 错误的情况下将DS 记录添加到 example.com.zone 文件中。我想如果我能做到这一点，错误消息：解析“example.com/DS/IN”的错误（追逐 DS 服务器）可能会消失。

我必须为 DS 记录创建 subdimain.example.com 吗？我不确定。所以，如果你们知道如何解决这个问题，请告诉我。

太感谢了。

我的：/etc/named.conf

acl "trusted" {
        127.0.0.1;
        123.456.789.123;
};

options {
        listen-on port 53 { any; };
        listen-on-v6 port 53 { none; }; # I don't have IPv6
        directory       "/var/named";
        dump-file       "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";

        auth-nxdomain no;
        allow-query { localhost; any; };
        recursion no;

        dnssec-enable yes;
        dnssec-validation yes;
        dnssec-lookaside auto;

        /* Path to ISC DLV key */
        bindkeys-file "/etc/named.iscdlv.key";

        managed-keys-directory "/var/named/dynamic";

        check-names master ignore;
};

logging {
        channel default_debug {
                file "data/named.run" size 5m;
                severity dynamic;
                print-time yes;
        };

        category default { default_debug; };
};

include "/etc/rndc.key";

controls {
        inet 127.0.0.1 allow { localhost; }
        keys { "rndc-key"; };
};

view "localhost_resolver" {
        match-clients { localhost; };
        match-destinations { localhost; };
        recursion yes;
        empty-zones-enable yes;

        // all views must contain the root hints zone
        include "/etc/named.root.hints";
        include "/etc/named.rfc1912.zones";
};

view "internal" {
        match-clients { trusted; };     # match hosts in acl "trusted" above
        recursion yes;                  # allow recursive queries
        allow-recursion { trusted; };
        allow-transfer { trusted; };
        notify no;                      # disable AA notifies
        empty-zones-enable yes;

        // all views must contain the root hints zone
        include "/etc/named.root.hints";
        include "/etc/named.domains";
};

view "external" {
        match-clients { any; };
        recursion no;
        allow-transfer { none; };

        // all views must contain the root hints zone
        include "/etc/named.root.hints";
        include "/etc/named.domains";
};

文件 /etc/named.root.hints 是：

// all views must contain the root hints zone
zone "." IN {
        type hint;
        file "named.ca";
};

我的 /etc/named.domains 文件：（替换为签名文件“example.com.signed”）

zone "example.com" IN {
        type master;
        file "example.com.signed";
        allow-update { none; };
};

我的 example.com 区域文件（如下所示）：

$TTL    3h
$ORIGIN example.com.
@  1D                     IN SOA  ns1.example.com.    hostmaster.example.com. (
                                        2011051202      ; serial (d. adams)
                                        3H              ; refresh
                                        15M             ; retry
                                        1W              ; expiry
                                        1H )            ; minimum
@  3600                   IN NS           ns1.example.com.
; Domain Keys
default._domainkey        IN TXT         ( "v=DKIM1; k=rsa; "
                                           "p=A0GCSq................G/o+Q" )
; NS
example.com.              IN NS           ns1.example.com.
; DNS Records
example.com.              IN A            123.456.789.123
localhost                 IN A            127.0.0.1
ns1                       IN A            123.456.789.123
www                       IN A            123.456.789.123
; DNSSEC KEY FROM Kexample.com.+....key
example.com. IN DNSKEY 256 3 5 CH....................bYd+mARYse.................VCb
example.com. IN DNSKEY 257 3 5 qX....................TYPDIsfso.................cEers

这个应该有标签 dnssec 但这个站点需要超过 1500 的声誉才能创建一个新标签。:(

4

1 回答 1

2

答案是，我认为：你不能。你不应该。DS 记录应该提供给您的域注册商，并且应该由他们发布。这个想法是 DS 记录建立了一个信任链，从最顶层的根域服务器，通过您的注册商，到您。如果没有信任链，您可能会......谁知道......一些劫持者发布了一个恰好是 dnssec 签名的假区域（因此看起来“合法”）。

于 2015-01-29T19:23:16.213 回答