2.5. 自動鍵生成およびゾーン保守機能を使用した DNSSEC ゾーン署名

手順

1. ゾーンの DNSSEC を有効にするために、/etc/named.conf ファイルに dnssec-policy default; と inline-signing yes; を追加します。

   zone "example.com" {
       ...
       dnssec-policy default;
       inline-signing yes;
   };

2. BIND をリロードします。

   # systemctl reload named

   change-root 環境で BIND を実行する場合は、systemctl reload named-chroot コマンドを使用してサービスをリロードします。

3. BIND は公開鍵を /var/named/K<zone_name>.+<algorithm>+<key_ID>.key ファイルに保存します。このファイルを使用して、親ゾーンが必要とする形式でゾーンの公開鍵を表示します。

   • DS レコード形式:

     # dnssec-dsfromkey /var/named/Kexample.com.+013+61141.key

     example.com. IN DS 61141 13 2 3E184188CF6D2521EDFDC3F07CFEE8D0195AACBD85E68BAE0620F638B4B1B027

   • DNSKEY 形式:

     # grep DNSKEY /var/named/Kexample.com.+013+61141.key

     example.com. 3600 IN DNSKEY 257 3 13 sjzT3jNEp120aSO4mPEHHSkReHUf7AABNnT8hNRTzD5cKMQSjDJin2I3 5CaKVcWO1pm+HltxUEt+X9dfp8OZkg==

4. ゾーンの公開鍵を親ゾーンに追加するように要求します。詳しい手順については、お使いのドメインプロバイダーまたはレジストリーにお問い合わせください。

検証

1. DNSSEC 署名を有効にしたゾーンのレコードについて、独自の DNS サーバーにクエリーを実行します。

   # dig +dnssec +short @localhost A www.example.com

   192.0.2.30
   A 13 3 28800 20220718081258 20220705120353 61141 example.com. e7Cfh6GuOBMAWsgsHSVTPh+JJSOI/Y6zctzIuqIU1JqEgOOAfL/Qz474 M0sgi54m1Kmnr2ANBKJN9uvOs5eXYw==

   この例では、BIND が同じホスト上で稼働しており、localhost インターフェイスでクエリーに応答することを前提としています。

2. 公開鍵が親ゾーンに追加され、他のサーバーに伝播された後、署名済みゾーンへのクエリーに対してサーバーが認証済みデータ (ad) フラグを設定していることを確認します。

   # dig @localhost example.com +dnssec

   ...
   ;; flags: qr rd ra **ad**; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1
   ...