如何配置我的缓存名称服务器以验证 DNSSEC？

Question

由于 DNS 树的根已签名，我该如何更改缓存 DNS 服务器以开始验证DNSSEC签名？

Answer 1

正常安装和设置您的名称服务器（bind9包），然后只需将以下节添加到/etc/bind/named.conf.options：

managed-keys {
  "." initial-key 257 3 8
    "AwEAAagAIKlVZrpC6Ia7gEzahOR+9W29euxhJhVVLOyQbSEW0O8gcCjF
     FVQUTf6v58fLjwBd0YI0EzrAcQqBGCzh/RStIoO8g0NfnfL2MTJRkxoX
     bfDaUeVPQuYEhg37NZWAJQ9VnMVDxP/VHL496M/QZxkjf5/Efucp2gaD
     X6RS6CXpoY68LsvPVjR0ZSwzz1apAzvN9dlzEheX7ICJBBtuA6G3LQpz
     W5hOA2hzCTMjJPJ8LbqF6dsV6DoBQzgul0sGIcGOYl7OyQdXfZ57relS
     Qageu+ipAdTTJ25AsRTAoub8ONGcLmqrAmRLKBP1dfwhYB4N7knNnulq
     QxA+Uk1ihz0=";
};

然后重新启动服务 ( sudo service bind9 restart)。

为了确保它正常工作，请尝试解析“ www.dnssec-failed.org ”，它应该会失败：

$ host www.dnssec-failed.org
Host www.dnssec-failed.org not found: 3(NXDOMAIN)

如果它提供了 IP 地址，则 DNSSEC 验证不起作用。