BIND DNS 服务器搭建完全教程 / 第 06 章：DNSSEC 签名与验证

# Ubuntu/Debian
sudo apt install -y bind9utils dnsutils

# RHEL/CentOS
sudo dnf install -y bind-utils

# 进入区域文件目录
cd /var/cache/bind/primary
# 或 RHEL: cd /var/named/primary

# 生成 ZSK（1024 位，推荐）
dnssec-keygen -a ECDSAP256SHA256 -n ZONE example.com

# 输出示例：Kexample.com.+013+12345
# 生成两个文件：
# Kexample.com.+013+12345.key    （公钥）
# Kexample.com.+013+12345.private（私钥）

# 生成 KSK（2048 位，推荐使用 ECDSA）
dnssec-keygen -a ECDSAP256SHA256 -n ZONE -f KSK example.com

# 输出示例：Kexample.com.+013+67890

# 密钥文件权限（非常重要！）
sudo chmod 600 Kexample.com.+013+*.private
sudo chmod 644 Kexample.com.+013+*.key
sudo chown bind:bind Kexample.com.+013+*

// named.conf
zone "example.com" {
    type primary;
    file "primary/example.com.zone";
    
    // 启用 DNSSEC 自动签名
    inline-signing yes;
    auto-dnssec maintain;    // 自动维护密钥轮转
    
    // 密钥目录
    key-directory "primary/keys";
};

# 创建密钥目录
sudo mkdir -p /var/cache/bind/primary/keys

# 将密钥文件放入目录
sudo mv Kexample.com.* /var/cache/bind/primary/keys/

# 设置权限
sudo chown -R bind:bind /var/cache/bind/primary/keys
sudo chmod 700 /var/cache/bind/primary/keys

# 重载配置
sudo rndc reload example.com

# 验证签名状态
sudo rndc signing -list example.com

# 1. 生成区域签名用的临时文件
cd /var/cache/bind/primary

# 2. 签名区域文件
dnssec-signzone -A -3 $(head -c 1024 /dev/urandom | sha1sum | cut -b 1-16) \
    -N INCREMENT -o example.com -t \
    -K keys/ \
    example.com.zone

# 参数说明：
# -A          区域签名时包含所有记录
# -3 <salt>   使用 NSEC3（替代 NSEC，隐藏区域内容）
# -N INCREMENT 自动递增 Serial
# -o example.com  区域名称
# -t          显示统计信息
# -K keys/    密钥文件目录

# 3. 输出文件
# example.com.zone.signed   → 签名后的区域文件
# dsset-example.com.        → DS 记录（需提交给父区域）
# keyset-example.com.       → 密钥集

// 修改 named.conf
zone "example.com" {
    type primary;
    file "primary/example.com.zone.signed";  // 使用签名文件
    // 不需要手动更新，rndc reload 后 BIND 自动读取
};

# 从签名输出中获取
cat dsset-example.com.

# 或者从 DNSKEY 记录生成
dnssec-dsfromkey -2 Kexample.com.+013+67890.key

# 输出示例：
# example.com. IN DS 12345 13 2 AABBCCDDEEFF...

; 父区域（.com）文件中添加
example.com.  IN DS  12345 13 2 AABBCCDDEEFF00112233...

options {
    // 自动 DNSSEC 验证（推荐）
    dnssec-validation auto;
    
    // 信任锚文件
    bindkeys-file "/etc/bind/bind.keys";
    managed-keys-directory "/var/cache/bind/managed-keys";
};

// 如果自动更新不可用，手动指定根区信任锚
options {
    dnssec-validation yes;
};

// 根区 KSK 信任锚（需要定期更新）
trust-anchors {
    . initial-key 257 3 8 "
        AwEAAaz/tAm8yTn4Mfeh5eyI96WSVexTBAvkMgJzkKTO
        iH7vDe3CRnJjTGMKRQFOxyzKhF6j8M0t7RpU6N7LCK8Y
        d8D5lL9Lf7Gt5v2Lb27pZ5H8y8R5G3Zh2OF3Ei0CZ7pCR
        ... (完整密钥)
    ";
};

# 从 IANA 获取根区信任锚
wget https://data.iana.org/root-anchors/root-anchors.xml

# 查看内容
cat root-anchors.xml

# 查看区域签名状态
sudo rndc signing -list example.com

# 预期输出示例：
# Done signing with key 12345/ECDSAP256SHA256
# Done signing with key 67890/ECDSAP256SHA256

# 使用 dig 验证签名
dig @127.0.0.1 example.com A +dnssec

# 预期输出：
# ;; flags: qr aa rd ra; QUERY: 1, ANSWER: 2
# ;; ANSWER SECTION:
# example.com.    3600  IN  A      93.184.216.34
# example.com.    3600  IN  RRSIG  A 13 2 3600 (
#                 20260610120000 20260510120000 12345 example.com.
#                 AABBCCDD...)

# 查看 DNSKEY
dig @127.0.0.1 example.com DNSKEY +dnssec +multiline

# 验证 DS 记录
dig @127.0.0.1 example.com DS

# 使用 delv 工具验证 DNSSEC 链
delv @127.0.0.1 example.com A +rtrace

# 检查 ad 标志（DNSSEC 验证成功）
dig @127.0.0.1 example.com A | grep "flags:"
# ;; flags: qr rd ra ad; QUERY: 1, ANSWER: 1
#                               ^^ ad = 验证通过

# 检查未签名域名（无 ad 标志）
dig @127.0.0.1 unsigned-domain.com A | grep "flags:"
# ;; flags: qr rd ra; QUERY: 1, ANSWER: 1
#                               没有 ad = 未签名

# 1. 生成新 ZSK
cd /var/cache/bind/primary/keys
dnssec-keygen -a ECDSAP256SHA256 -n ZONE example.com

# 2. BIND 自动轮转（auto-dnssec maintain 模式下）
# BIND 会在适当时间激活新密钥、停用旧密钥

# 手动触发轮转
sudo rndc dnssec -status example.com

# 1. 生成新 KSK
dnssec-keygen -a ECDSAP256SHA256 -n ZONE -f KSK example.com

# 2. 获取新 DS 记录
dnssec-dsfromkey -2 Kexample.com.+013+NEWKEYID.key

# 3. 向父区域添加新 DS（保留旧 DS）

# 4. 等待 DNS 缓存过期（通常 24-48 小时）

# 5. 从父区域删除旧 DS

# 6. 删除旧 KSK 密钥文件

# 手动签名时使用 -3 参数
dnssec-signzone -A -3 $(head -c 1024 /dev/urandom | sha1sum | cut -b 1-16) \
    -N INCREMENT -o example.com -t \
    -K keys/ \
    example.com.zone

# 1. 检查区域签名状态
sudo rndc signing -list example.com

# 2. 使用 delv 验证
delv @127.0.0.1 example.com A +rtrace

# 3. 在线验证工具
# https://dnsviz.net/d/example.com/dnssec/
# https://dnssec-analyzer.verisignlabs.com/example.com

# 4. 检查 RRSIG 过期时间
dig @127.0.0.1 example.com RRSIG +dnssec | grep "RRSIG"
# 查看最后一行的过期时间

# 5. 检查密钥状态
sudo rndc dnssec -status example.com

// /etc/bind/named.conf —— 带 DNSSEC 的权威服务器

options {
    directory "/var/cache/bind";
    listen-on port 53 { any; };
    listen-on-v6 port 53 { any; };
    
    recursion no;
    allow-query { any; };
    
    // DNSSEC 验证（权威服务器通常不需要）
    dnssec-validation no;
    
    pid-file "/run/named/named.pid";
};

zone "example.com" {
    type primary;
    file "primary/example.com.zone";
    
    // 自动 DNSSEC 签名
    inline-signing yes;
    auto-dnssec maintain;
    key-directory "primary/keys";
    
    // 允许区域传输
    allow-transfer { key transfer-key; };
};