Vlákno názorů k článku DNSSEC snadno a rychle s automatickou správou v serveru BIND od lp - Na nameserveru spravuji a podepisuji nadřízenou a podřízenou...

Na nameserveru spravuji a podepisuji nadřízenou a podřízenou zónu, např. example.cz a net.example.cz. Je možné nastavit BIND tak, aby klíč z podřízené zóny automaticky vkládal do nadřízené zóny example.cz jako záznam DS?

Dá se na to použít utilita `dnssec-ds` bez ohledu na to, jestli je zóna na stejném serveru nebo není.

Myslíš jistě utilitu dnssec-cds. Ta skutečně dokáže hledat CDS záznamy v podřízených zónách a když je nalezne, buď zapíše DS záznamy do zoneletu, který je možné vložit do nadřazené zóny, nebo vygeneruje skript pro utilitu nsupdate, která změny v nadřazené zóně provede.

Trochu nepříjemné je, že je potřeba tuhle utilitu spouštět pravidelně, aby provedla změnu, která bude potřeba třeba jednou za rok. Knot DNS proti tomu dokáže přímo poslat zprávu UPDATE do nadřazené zóny v době, kdy je to potřeba.

Ondro, díky. Řeším stejný případ, doporučujete tedy použít spíše Knot DNS místo Bindu?

Oba programy jsou více méně srovnatelné a celkem robustní. Použijte ten, se kterým máte zkušenosti. Klíče v podřízených zónách neměňte. Je to nejjednodušší a dostatečně bezpečné pro naprostou většinu případů.

Ondro, nechceš prosím napsat feature request? ;-) Připadá mi to jako dobrý nápad, ale mám toho teď tolik, že si nejsem jistý, že zvládnu dobře naformulovat myšlenku jak by to mělo fungovat.