Je documente ici a la va vite mon implementation d’un domaine de test pour dnssec, j’ai utilise entre autre ce document.
Dans la serie simple, on imagine une zone genre: mazone.net. On commence par generer la Zone Signing Key (ZSK) et la Key Signing Key (KSK). Attention, cela prends un peu de temps à generer (faites des trucs sur le serveur pendant ce temps pour generer de l’entropie) :
dnssec-keygen -a RSASHA1 -b 1024 -n ZONE mazone.net
dnssec-keygen -a RSASHA1 -b 1024 -n ZONE -f KSK mazone.net
On ajoute ca a la fin de son fichier de zone :
$include /etc/bind/Kdyn-dnssec.com.+003+38267.key ; ZSK
$include /etc/bind/Kdyn-dnssec.com.+003+23459.key ; KSK
Ensuite il faut signer la zone :
dnssec-signzone -p -t -g -k KSK.key -o domaine.com fichier.zone ZSK.key
Une fois cette etape faite, ajoutez ceci aux options :
dnssec-enable yes;
Changez ensuite votre zone dans /etc/bind/named.conf :
zone "mazone.net" {
type master;
file "/etc/bind/mazone.net.signed";
};
Deux tests pour verifier si cela marche :
dig +dnssec mazone.net a
dig +cd +multi mazone.net dnskey
Si tout va bien vous devriez voir des records de type DNSKEY.
Enfin, il est actuellement recommande de changer la ZSK devrait etre change tous les 3 mois et la KSK tous les ans. Gardez aussi bien en tete que votre TLD doit valider votre zone. C’est bien d’etre valide par le TLD, c’est une question de temps (comme l’IPv6 oui…)