差異處
這裏顯示兩個版本的差異處。
| 兩邊的前次修訂版前次修改 下次修改 | 前次修改 | ||
| dns:dnssec [2015/03/07 08:54] – jal | dns:dnssec [2021/11/14 17:26] (目前版本) – jal | ||
|---|---|---|---|
| 行 4: | 行 4: | ||
| ===== 實作步驟 ===== | ===== 實作步驟 ===== | ||
| - 產生 DNSKEY | - 產生 DNSKEY | ||
| - | - 產生 KSK (Key Signing Key) | + | |
| - | * dnssec-keygen -r / | + | |
| - | * 同樣會產生二個檔案(檔名請勿修改) | + | * dnssec-keygen -r / |
| - | * Kjal.tw.+005+46449.key | + | * 同樣會產生二個檔案(檔名請勿修改) |
| - | * Kjal.tw.+005+46449.private | + | * Kjal.tw.+005+46449.key |
| - | - 產生 ZSK (Zone Signing Key) | + | * Kjal.tw.+005+46449.private |
| - | * dnssec-keygen -r / | + | - 產生 ZSK (Zone Signing Key) |
| - | * 會產生二個檔案(檔名請勿修改) | + | * dnssec-keygen -r / |
| - | * Kjal.tw.+005+30233.key | + | * 會產生二個檔案(檔名請勿修改) |
| - | * Kjal.tw.+005+30233.private | + | * Kjal.tw.+005+30233.key |
| - | * 005 是代表 RSASHA1，[[http:// | + | * Kjal.tw.+005+30233.private |
| - | * 30258 代表 Key ID | + | * 005 是代表 RSASHA1，[[http:// |
| - | - 使用 | + | * 30258 代表 Key ID |
| + | - 使用 | ||
| * dnssec-keygen -r / | * dnssec-keygen -r / | ||
| * Kjal.tw.+008+33567.key | * Kjal.tw.+008+33567.key | ||
| 行 23: | 行 24: | ||
| * Kjal.tw.+008+42644.key | * Kjal.tw.+008+42644.key | ||
| * Kjal.tw.+008+42644.private | * Kjal.tw.+008+42644.private | ||
| - | * 這時你會發現演算法變成 8 = RSASHA256 | + | * 這時你會發現演算法變成 8 = RSA/ |
| + | * Tips: 產生出來之後常常會混亂哪個是 KSK 哪個是 ZSK，簡單的判斷法，由於 KSK 是 2048 bits，所以檔案大小會比較大，這樣看最快了～ | ||
| - 將 DNSKEY 放入 zone file | - 將 DNSKEY 放入 zone file | ||
| * cat *.key >> / | * cat *.key >> / | ||
| 行 40: | 行 42: | ||
| - reload named | - reload named | ||
| * named.reload | * named.reload | ||
| + | - 因為常常會忘記每個重新簽發，所以寫了個 php 小程式直接丟 crontab 處理。[[https:// | ||
| ===== 完成後檢查 ===== | ===== 完成後檢查 ===== | ||
| * dig any trace jal.tw | * dig any trace jal.tw | ||
| 行 61: | 行 64: | ||
| * 重點在於那個 4 跟 1 之間的空格請刪除，它就會變成長度 64 的 DS 紀錄 | * 重點在於那個 4 跟 1 之間的空格請刪除，它就會變成長度 64 的 DS 紀錄 | ||
| * TFN 可支援不同的 Algorithm 所產生的紀錄 | * TFN 可支援不同的 Algorithm 所產生的紀錄 | ||
| + | * 但是都只支援輸入 Digest type 2 (SHA-256) 的紀錄，也就是上述紀錄第 6 個欄位為 2 的紀錄。 | ||
| + | * Digest type 1 為 SHA-1 紀錄 | ||
| + | * Cloudflare 註冊方式 | ||
| + | * 重點是 Alg 是 13 ECDSA，原先 tw 各家註冊商都不支援，不過再反應給 TWNIC 後，聽說都支援了。 | ||
| ^ Key ID ^ Algorithm Number ^ DS紀錄 ^ | ^ Key ID ^ Algorithm Number ^ DS紀錄 ^ | ||
| 行 68: | 行 75: | ||
| * HiNet DS 註冊方式 | * HiNet DS 註冊方式 | ||
| * 個人沒有 HiNet 的，但是從 GSN 的文件看的話，我猜輸入格式如下 | * 個人沒有 HiNet 的，但是從 GSN 的文件看的話，我猜輸入格式如下 | ||
| - | * 另外，HiNet 直接寫明僅接受 | + | * 另外，HiNet 直接寫明僅接受 |
| ^ Keytag ^ DS 設定 ^ | ^ Keytag ^ DS 設定 ^ | ||
| 行 76: | 行 83: | ||
| - [[http:// | - [[http:// | ||
| - [[http:// | - [[http:// | ||
| - | - [[http:// | + | - [[http:// |
| - | - [[http:// | + | - [[http:// |
| + | - [[http:// | ||
| ===== 結論 ===== | ===== 結論 ===== | ||