Dotaz: OpenDNSSEC sdílený KSK

[fish]

Zdravím,

potřeboval bych poradit / ověřit, jestli někde nedělám chybu. Před rokem jsem na DNS serveru (bind) nasadil OpenDNSSEC, víceméně podle tohohle článku. Abych nemusel pro každou zónu u registrátora nastavovat KSK, zapnul jsem volbu <ShareKeys/> v kasp.xml (to je předpokládám jediný způsob). Po vygenerování prvních tří domén (A, B, C) všechno vypadalo OK, Keytag KSK byl u všech stejný, automatická rotace ZSK taky probíhala bez problémů a obecně všechno fungovalo jak má. V průběhu roku jsem přidal další dvě zóny (D, E) k podepisování, opět bez problémů.

Nicméně o víkendu nastal čas rotace KSK, když jsem zjistil, že jsem buď udělal něco špatně, nebo sdílení klíčů funguje jinak než jsem čekal. Moje představa byla taková, že ten sdílený klič je globálně jeden, s jednou platností a při jeho rotaci jen umístím novou verzi k registrátorovi, jednou zavolám ds-seen a na rok bude zase klid.

Ve skutečnosti se ale ukázalo, že rotace byla požadovaná jen pro ty tři nejstarší domény a pro každou zvlášť jsem musel zavolat ds-seen. Původní KSK jsem v keysetu u registrátora nechal, jen jsem přidal nový klíč, takže překlad všech domén pořád funguje, ale nevím, jestli je to správný postup. Například netuším, co se stane, až dojde na rotaci u těch dalších dvou domén. Použije se ten právě vytvořený KSK nebo se vygeneruje další?

Takže můj dotaz je: udělal jsem někde chybu, nebo je tohle normální průběh? Díky.

Přikládám výpis existujících klíčů (KSK 29793 byl původně jako KSK i u domén A, B a C):

# ods-ksmutil key list --verbose
Keys:
Zone:                         Keytype:      State:    Date of next transition:  Keytag:
domenaA                       ZSK           retire    2016-06-02 19:38:55       58674
domenaA                       ZSK           active    2016-06-25 06:38:55       25407
domenaA                       KSK           active    2017-05-29 20:55:13       29133
domenaB                       ZSK           retire    2016-06-02 19:38:55       58674
domenaB                       ZSK           active    2016-06-25 06:38:55       25407
domenaB                       KSK           active    2017-05-29 20:55:01       29133
domenaC                       ZSK           retire    2016-06-02 19:38:56       58674
domenaC                       ZSK           active    2016-06-25 06:38:56       25407
domenaC                       KSK           active    2017-05-29 20:52:36       29133
domenaD                       KSK           active    2016-08-14 08:51:22       29793
domenaD                       ZSK           retire    2016-06-02 19:38:56       58674
domenaD                       ZSK           active    2016-06-25 06:38:56       25407
domenaE                       KSK           active    2016-11-13 09:41:35       29793
domenaE                       ZSK           active    2016-06-10 13:41:45       58674

---

---

Odpovědi

[fish]

Pro úplnost přidám výsledek, jak to nakonec dopadlo. Včera expiroval KSK u domény domenaD, tj. ten který už dříve vyexpiroval u prvních tří domén. U domenaD se objevil nový KSK, ale naštěstí ne nějaký nově vygenerovaný, ale 29133, stejně jako u A, B, C. OpenDNSSEC si tudíž hlídá nějakou posloupnost klíčů, nezávisle na tom, v jakých termínech jsou aktivní pro různé domény.

K znefunkčnění domény tedy nakonec nedošlo, jen je trochu škoda, že musím pro každou doménu zvlášť potvrzovat ds-seen, když je ten klíč sdílený a už jsem jednou potvrdil, že je obsažený v nadřazené zóně.

Asi se poohlédnu po jiné alternativě DNS s integrovaným generováním klíčů (novější Bind nebo Knot).