Khi thiết lập DNSSEC trên Bind, bản ghi DNSKEY nào thuộc tệp vùng?

Tất cả các.

Bởi vì cha mẹ có một ĐS bản ghi, tóm lại, là hàm băm của KSK. Do đó, khi tuân theo chuỗi tin cậy, giải pháp đệ quy sẽ tìm nạp chuỗi đó ĐS bản ghi từ cha mẹ và sẽ tìm nạp DNSKEY bản ghi từ con và sẽ kiểm tra xem có ít nhất một khóa trong DNSKEY kỷ lục phù hợp với ĐS ghi lại và sau đó tiếp tục xác thực (nếu không sẽ thất bại ngay tại đó).

Theo §2.1.1. của RFC4034, mỗi DNSKEY bản ghi có thuộc tính flags sẽ cho phép trình phân giải biết liệu tài liệu mật mã đã cho này dành cho khóa vùng hay khóa ký khóa.

Lưu ý rằng việc phân tách KSK/ZSK là phổ biến, nhưng không phải là trường hợp duy nhất. Bạn cũng gặp tình huống CSK với C=Common khi bạn có một khóa duy nhất, cả hai đều ký trực tiếp vào tất cả các bản ghi khác và cũng có một khóa khớp ĐS ghi ở cha.

Cả hai đều là thiết lập hợp lệ, với những lợi ích và hạn chế khác nhau.

Cũng lưu ý rằng DNSKEY bộ bản ghi thậm chí có thể chứa các khóa chưa được sử dụng để ký cũng như không phải là cha mẹ trong một ĐS bản ghi, ví dụ như xảy ra trong quá trình xoay vòng (trước tiên, bạn cần đưa khóa vào vùng và để trình phân giải lưu vào bộ nhớ đệm, sau một thời gian, bạn có thể bắt đầu ký với nó và sau đó, sau một thời gian, bạn có thể kích hoạt bản ghi có liên quan ĐS ghi lại nếu cần).