BIND 9.16 ค่าเริ่มต้นของนโยบาย dnssec ไม่ได้ต่ออายุคีย์โดยอัตโนมัติ

เมื่อสามเดือนก่อน ฉันได้อัปเกรดเซิร์ฟเวอร์ DNS เป็น BIND 9.16 (ปัจจุบันใช้เวอร์ชัน 9.16.25) เพื่อใช้ประโยชน์จากเวอร์ชันใหม่ ค่าเริ่มต้นของนโยบาย DNSsec ตัวเลือกที่จะทำให้ฉันเรียกใช้ DNSSEC สำหรับโดเมนของฉันได้อย่างง่ายดาย เอกสารระบุว่าการจัดการคีย์จะเกิดขึ้นโดยอัตโนมัติ ฉันนำสิ่งนี้ไปใช้ ทดสอบในพื้นที่ ดูเหมือนว่าทุกอย่างได้รับการเซ็นชื่อเรียบร้อยดี และทุกอย่างก็ดูเข้ากับโลก ฉันไม่เคยติดตั้ง DNSSEC ในรูปแบบใดๆ มาก่อนสำหรับโซนเหล่านี้

ฉันมารู้ทีหลังว่าฉันควรอัปโหลดบันทึก DS ของฉันไปยังผู้รับจดทะเบียนเพื่อรายงานต่อ TLD ว่าโซนของฉันได้รับการเซ็นชื่อแล้ว และนั่นจะทำให้วงจรสมบูรณ์เพื่อให้ DNSSEC เกิดขึ้นได้จริง... ดังนั้นฉันจึงเริ่มทำในเดือนนี้ อย่างไรก็ตาม เมื่อทำเช่นนั้น สิ่งต่างๆ เริ่มล้มเหลว และฉันเรียนรู้อย่างรวดเร็วว่าลายเซ็นทั้งหมดของฉันหมดอายุแล้ว 15 วันหลังจากที่ฉันใช้ DNSSEC

ฉันพยายามทำการโรลโอเวอร์คีย์ด้วยตนเองสำหรับโซนหนึ่ง ซึ่งเปลี่ยนเครื่องหมายสำหรับบางระเบียน แต่ไม่ใช่ทั้งหมด (ไม่มีระเบียน A, AAAA, CNAME เป็นต้น) ฉันดูเอกสารเพื่อดูรายละเอียดวิธีการ ค่าเริ่มต้นของนโยบาย DNSsec ถูกนำไปใช้งาน และพบว่าคีย์ถูกตั้งค่าให้ไม่หมดอายุ แต่ลายเซ็นถูกตั้งค่าให้หมดอายุหลังจากผ่านไป 15 วันหรือมากกว่านั้น... และถ้าคีย์ไม่หมดอายุ ก็จะไม่มีการกำหนดเวลาแบบโรลโอเวอร์ แล้วฉันควรทำอย่างไรกับซิกที่หมดอายุแล้ว?

ไม่ ค่าเริ่มต้นของนโยบาย DNSsec ใช้งานได้จริงตามที่โฆษณาไว้ และฉันขาดสิ่งสำคัญไป หรือฉันควรจะม้วนเองที่นี่จริงๆ?

การตั้งค่าที่เกี่ยวข้องใน named.conf.options:

ตัวเลือก {
[..]
        การตรวจสอบ DNSsec อัตโนมัติ;
        ค่าเริ่มต้นของนโยบาย DNSsec;
        dnssec-dnskey-kskonly ใช่;
        คีย์ไดเร็กทอรีที่มีการจัดการ "/var/lib/bind";
[..]
};

ดูตัวอย่างใน https://bind9.readthedocs.io/en/v9_16_26/dnssec-guide.html ที่กล่าวว่า:

การเปิดใช้งานการบำรุงรักษาโซน DNSSEC อัตโนมัติและการสร้างคีย์

ในการลงนามโซน ให้เพิ่มข้อความต่อไปนี้ในส่วนคำสั่งโซนใน ไฟล์คอนฟิกูเรชัน BIND 9:

ตัวเลือก {
    ไดเร็กทอรี "/etc/bind";
    เรียกซ้ำไม่;
    ...
};

โซน "example.com" ใน {
    ...
    ค่าเริ่มต้นของนโยบาย DNSsec;
    ...
};

คำแถลงนโยบาย dnssec ทำให้โซนได้รับการลงนามและเปิดใช้งาน การบำรุงรักษาอัตโนมัติสำหรับโซน ซึ่งรวมถึงการลงนามในโซนอีกครั้ง เนื่องจากลายเซ็นหมดอายุและเปลี่ยนคีย์เป็นระยะ มูลค่า ค่าเริ่มต้น เลือกนโยบายเริ่มต้นซึ่งมีค่าที่เหมาะสมสำหรับ สถานการณ์ส่วนใหญ่

ไม่ว่า นโยบาย DNSsec สามารถอยู่ใน โซน คำชี้แจงหรือใน ตัวเลือก แต่ก็นำไปใช้ได้ทุกที่ โดยเฉพาะอย่างยิ่งในตอนเริ่มต้น เพื่อทดสอบสิ่งต่างๆ คุณอาจต้องการจำกัดสิ่งต่างๆ ต่อโซน แต่นอกเหนือจากนั้น มันควรจะทำงานนอกกรอบด้วยการกำหนดค่านั้น

หากไม่ใช่กรณีของคุณ คุณต้องให้รายละเอียดเพิ่มเติมตามไฟล์บันทึกของคุณ

ในภายหลังในหน้าเดียวกัน คุณสามารถดูบรรทัดบันทึกที่คาดหวังด้วยการกำหนดค่าด้านบน:

07-เม.ย.-2020 16:02:55.045 โซน example.com/IN (ลงชื่อ): กำหนดค่าคีย์โซนใหม่
07-Apr-2020 16:02:55.045 การโหลดการกำหนดค่าใหม่สำเร็จ
07-เม.ย.-2020 16:02:55.046 keymgr: DNSKEY example.com/ECDSAP256SHA256/10376 (CSK) สร้างขึ้นสำหรับค่าเริ่มต้นของนโยบาย
07-เม.ย.-2020 16:02:55.046 กำลังดึงไฟล์ example.com/ECDSAP256SHA256/10376 (CSK) จากที่เก็บคีย์
07-เม.ย.-2020 16:02:55.046 DNSKEY example.com/ECDSAP256SHA256/10376 (CSK) เผยแพร่แล้ว
07-เม.ย.-2020 16:02:55.046 DNSKEY example.com/ECDSAP256SHA256/10376 (CSK) เปิดใช้งานแล้ว
07-เม.ย.-2020 16:02:55.048 โซน example.com/IN (ลงชื่อ): เหตุการณ์สำคัญถัดไป: 07-เม.ย.-2020 18:07:55.045

ดู ลงนาม ในบรรทัดสุดท้ายและการประทับเวลาที่กำหนดเมื่อบางสิ่ง (อาจเป็นลายเซ็นใหม่) จะเกิดขึ้น ส่วน:

ฉันต้องแก้ไขการหมดอายุของลายเซ็นก่อนที่ฉันจะสามารถอัปโหลดระเบียน DS เพื่อป้องกันไม่ให้สิ่งต่างๆ เสียหายเมื่อฉันทำ

แม้จะไม่มีปัญหา อย่าอัปโหลด DS โดยไม่ตรวจสอบในเครื่อง การตรวจสอบความถูกต้องจะทำงานตั้งแต่ต้นจนจบ คุณสามารถทำได้ด้วยเครื่องมือออนไลน์อย่าง DNSViz โดยระบุ DS ใหม่ที่คุณกำลังจะเพิ่มอย่างชัดเจน และเครื่องมือจะทดสอบสิ่งต่างๆ ราวกับว่า DS นั้นใช้ได้อยู่แล้ว โปรดทราบว่าโดยปกติแล้ว KSK (ซึ่ง ดีเอส บันทึกเป็นแฮชโดยพื้นฐาน) ควรจะเปลี่ยน "เป็นประจำ" เป็นเพลงปีละครั้งทุกๆ 2 ปีหรืออะไรทำนองนั้น เมื่อถึงจุดที่คุณต้องหมุน ดีเอส เช่นกัน แต่ด้วยความระมัดระวังหากคุณไม่ต้องการทำลายความละเอียด