BIND 9.16 mặc định chính sách dnssec không tự động gia hạn khóa

Ba tháng trước, tôi đã nâng cấp máy chủ DNS của mình lên BIND 9.16 (hiện đang chạy 9.16.25) để tận dụng lợi thế của phiên bản mới. mặc định chính sách dnssec tùy chọn cho phép tôi dễ dàng chạy DNSSEC cho các miền của mình. Tài liệu chỉ ra rằng việc quản lý khóa sẽ diễn ra tự động. Tôi đã triển khai điều này, đã thử nghiệm cục bộ, có vẻ như mọi thứ đã được ký kết ổn thỏa và tất cả dường như phù hợp với thế giới. Trước đây tôi chưa triển khai DNSSEC dưới bất kỳ hình thức nào cho các vùng này.

Sau đó, tôi biết rằng lẽ ra tôi nên tải các bản ghi DS của mình lên công ty đăng ký tên miền của mình để báo cáo với TLD rằng các vùng của tôi đã được ký và điều đó sẽ hoàn thành mạch để cho phép DNSSEC thực sự xảy ra... vì vậy tôi đã bắt đầu làm điều đó trong tháng này. Tuy nhiên, khi làm như vậy, mọi thứ bắt đầu thất bại và tôi nhanh chóng biết được rằng tất cả chữ ký của mình đã hết hạn sau 15 ngày kể từ khi tôi triển khai DNSSEC.

Tôi đã thử thực hiện chuyển đổi thủ công các phím cho một vùng. Điều đó đã thay đổi sigs cho một số bản ghi, nhưng không phải tất cả (ví dụ: không có bản ghi A, AAAA, CNAME). Tôi đã xem tài liệu để biết chi tiết về cách mặc định chính sách dnssec được triển khai và nhận thấy rằng các khóa được đặt thành không hết hạn, nhưng chữ ký được đặt hết hạn sau 15 ngày hoặc lâu hơn... và nếu các khóa không hết hạn, sẽ không có chuyển đổi nào được lên lịch. Vì vậy, những gì tôi phải làm về sigs hết hạn?

Liệu mặc định chính sách dnssec thực sự hoạt động như quảng cáo và tôi đang thiếu thứ gì đó quan trọng, hay tôi thực sự nên lăn bánh của mình ở đây?

Cài đặt có liên quan trong tên.conf.options:

tùy chọn {
[..]
        tự động xác thực dnssec;
        mặc định chính sách dnssec;
        dnssec-dnskey-ksko chỉ có;
        quản lý khóa-thư mục "/var/lib/bind";
[..]
};

Xem ví dụ trong https://bind9.readthedocs.io/en/v9_16_26/dnssec-guide.html điều đó nói:

Kích hoạt bảo trì vùng DNSSEC tự động và tạo khóa

Để ký một vùng, hãy thêm câu lệnh sau vào mệnh đề vùng của nó trong Tệp cấu hình BIND 9:

tùy chọn {
    thư mục "/etc/bind";
    đệ quy không;
    ...
};

vùng "example.com" trong {
    ...
    mặc định chính sách dnssec;
    ...
};

Tuyên bố chính sách dnssec làm cho vùng được ký và bật bảo trì tự động cho khu vực. Điều này bao gồm ký lại khu vực khi chữ ký hết hạn và thay thế khóa định kỳ. Giá trị default chọn chính sách mặc định chứa các giá trị phù hợp với hầu hết các tình huống.

Không phải cái đó chính sách dnssec có thể ở trong một vùng tuyên bố, hoặc trong tùy chọn nhưng sau đó nó được áp dụng ở mọi nơi. Đặc biệt khi bắt đầu, để kiểm tra mọi thứ, bạn có thể muốn hạn chế mọi thứ trên mỗi vùng. Nhưng ngoài ra, nó sẽ hoạt động tốt với cấu hình đó.

Nếu không phải là trường hợp của bạn, bạn cần cung cấp thêm chi tiết dựa trên tệp nhật ký của mình.

Sau đó trong cùng một trang, bạn có thể xem các dòng nhật ký dự kiến ​​với cấu hình trên:

07-Apr-2020 16:02:55.045 zone example.com/IN (đã ký): định cấu hình lại các khóa vùng
07-Apr-2020 16:02:55.045 tải lại cấu hình thành công
07-Apr-2020 16:02:55.046 keymgr: DNSKEY example.com/ECDSAP256SHA256/10376 (CSK) được tạo cho mặc định chính sách
07-Apr-2020 16:02:55.046 Đang tìm nạp example.com/ECDSAP256SHA256/10376 (CSK) từ kho lưu trữ khóa.
07-Apr-2020 16:02:55.046 DNSKEY example.com/ECDSAP256SHA256/10376 (CSK) hiện đã được xuất bản
07-Apr-2020 16:02:55.046 DNSKEY example.com/ECDSAP256SHA256/10376 (CSK) hiện đang hoạt động
07-Apr-2020 16:02:55.048 zone example.com/IN (đã ký): sự kiện quan trọng tiếp theo: 07-Apr-2020 18:07:55.045

xem đã ký ở dòng cuối cùng và dấu thời gian được cung cấp khi có điều gì đó (có thể là chữ ký mới) sẽ xảy ra. Đối với:

Tôi cần sửa lỗi hết hạn chữ ký trước khi có thể tải lên các bản ghi DS để giữ cho mọi thứ không bị hỏng khi tôi làm.

Ngay cả khi không có sự cố, KHÔNG BAO GIỜ tải lên DS mà không kiểm tra cục bộ, quá trình xác thực sẽ hoạt động từ đầu đến cuối. Bạn có thể làm điều đó với một công cụ trực tuyến như DNSViz, chỉ định rõ ràng DS mới mà bạn sắp thêm và công cụ sẽ kiểm tra mọi thứ nếu DS đã ổn. Lưu ý rằng thông thường KSK (trong đó ĐS bản ghi về cơ bản là một hàm băm) được cho là thay đổi "thường xuyên" theo giai điệu từ một lần mỗi năm thành 2 năm một lần hoặc những thứ tương tự. Tại thời điểm đó bạn cần xoay ĐS cũng vậy, nhưng hãy thận trọng nếu bạn không muốn phá vỡ độ phân giải.