Dotaz: DNSSEC a nepodepsaná zóna

[Sten]

Chci rozběhat DNSSEC s podpisem kořenové zóny. Nicméně se nacházím v CZFree.net a tam je doména „czf“ (a reverzní „10.in-addr.arpa“), která:

• není pod mojí kontrolou (tzn. nemůžu ji podepsat a mohu ji pouze forwardovat)
• není podepsaná (tzn. nemá podpisový klíč pro trusted-keys)
• není v root zóně (tzn. ověření v root zóně selže)

A to s sebou přináší problém, že po zapnutí DNSSEC přestane bind vydávat zónu „czf“

Zkoušel jsem zadat dnssec-must-be-secure "czf" off, ale jak jsem pochopil, tak to Bind ignoruje, pokud je zapnuto dnssec-validation on a bez toho druhého zase přestane validovat kořenovou zónu

Je tedy možné vyjmou určitou zónu z validace DNSSEC? Nebo existuje nějaké jiné řešení než podepsat zónu „czf“?

bind9 1:9.6.ESV.R1+dfsg-0+lenny2

---

---

Odpovědi

[d.c.]

Ale takhle nějak to nefunguje!

DNSSEC samozřejmě lze používat i v prostředí s nepodepsanými zónami. Když nějaká zóna není podepsaná, tak s ní DNSSEC prostě nic nedělá, je to součást problému, se kterou se počítalo (ví se, že spousta domén nebude podepsaná a že to vůbec nebude špatně). Problém jenom je, když nějaká zóna DNSSEC používá, ale podepsání není špatně. Takže řešení je prostě .czf nepodepisovat, tím pádem u ní nebude co validovat a prostě se "pustí dál".

[Sten]

Nepustí se dál, to mám vyzkoušeno. Bind se přes DNSSEC zeptá kořenové zóny, jestli zná NSEC pro zónu „czf“, ta řekne, že tu zónu vůbec nezná (status: NXDOMAIN; cz. 10775 IN NSEC de. NS DS RRSIG NSEC), a na tom to skončí

[xkucf03]

Vyřešeno – viz diskuse a nic.czf.

managed-keys {
    "." initial-key 257 3 8 "AwEAAagAIKlVZrpC6Ia7gEzahOR+9W29euxhJhVVLOyQbSEW0O8gcCjF
    FVQUTf6v58fLjwBd0YI0EzrAcQqBGCzh/RStIoO8g0NfnfL2MTJRkxoX bfDaUeVPQuYEhg37NZWAJQ9VnMVDxP/VHL496M/QZxkjf5/Efucp2gaD 
    X6RS6CXpoY68LsvPVjR0ZSwzz1apAzvN9dlzEheX7ICJBBtuA6G3LQpz W5hOA2hzCTMjJPJ8LbqF6dsV6DoBQzgul0sGIcGOYl7OyQdXfZ57relS 
    Qageu+ipAdTTJ25AsRTAoub8ONGcLmqrAmRLKBP1dfwhYB4N7knNnulq QxA+Uk1ihz0=";
    "10.in-addr.arpa." initial-key 257 3 8 "AwEAAeVA9HtvWdG96GO7FPZMaDNH3mt+rtc40mpCH1k2nLGzmumq/1a3lmwqR+HgYHr7aLWxqbzJzMt5tMVgHONQZPe0970hntfARCPHNfy4ex7rWE47eNlxN8A/X3nLbeM/XLoz+ppGBMYqI5TlaLALh2UyHjMn+9POq1SEUY3CSxWVvbmeOqjHA+WRV40egvjo+6aGxDkUx0dBriM8ylW0YIGzGcRrrQPKb9ycUDwc0sJYVMwGVCp3WmqMj49e86WeuZYNA2qYFOxFs4dSUJrcTLicAMEygmBQew8BK/QlTj6hh+sIgo6Mys9thBc9C7vE5yPg4dKmYnB6taBsTVbKfW8=";
    "czf." initial-key 257 3 8 "AwEAAa4yaNLcWIm19dHN+uaQT8QfWNKwrs2KqCLGBfUBC+DkyU38dip8E3vUTFyWLSkpDmEWf9sX7CdgqwsIRnh+jiAZojS3dGNcsLzdB8Zm62440KVTeNQ/EQ7l7qjQN19AxHkIovK1zN03rzqa7YxoLO7ONyU2k1fByMAcze2mOM/GGaGrYQthWVZO8sPy9T4wouy8ZBUN57YAnFdEtrsA5sxb6wP8TDBmSdKbwcFU2uWfb2Hq47r1zpdc90R2sMXxrz1UNwqRgcK1kLMNcTKqUvSAGEbIBvo7Si6LvWLZPJN4Y6RjlFTSJ8ZnShX3DXe+uMpUiwy23ZeyIWVol2KKxaM=";
};

zone "czf" in {
    type forward;
    forward only;
    forwarders {
        10.253.33.170;
        10.15.0.1;
        10.23.1.67;
        10.11.1.101;
        10.27.0.68;
        10.129.64.127;
        10.24.0.23;
        10.254.0.11;
        10.253.32.129;
        10.152.15.132;
        10.18.0.1;
        10.13.0.1;
        10.136.0.1;
    };
};

zone "10.in-addr.arpa" in {
    type forward;
    forward only;
    forwarders {
        10.253.33.170;
        10.15.0.1;
        10.23.1.67;
        10.11.1.101;
        10.27.0.68;
        10.129.64.127;
        10.24.0.23;
        10.254.0.11;
        10.253.32.129;
        10.152.15.132;
        10.18.0.1;
        10.13.0.1;
        10.136.0.1;
    };
};