70、DNS安全问题与BIND调试指南

DNS安全问题与BIND调试指南

1. DNS安全工具

1.1 相关工具介绍

• mapper ：用于映射区域文件，显示安全和不安全部分。
• rollerd、rollctl和rollinit ：通过使用ZSK的预发布方案和KSK的双重签名方法自动进行密钥滚动。
• trustman ：管理信任锚，包含RFC5011密钥滚动的实现。
• validate ：从命令行验证签名。
• zonesigner ：生成密钥并对区域进行签名。

这些工具的网站提供了良好的文档和教程，源代码可下载，遵循BSD许可证。

1.2 其他工具

• RIPE工具（ripe.net） ：作为BIND的DNSSEC工具的前端，专注于密钥管理。它将许多参数和命令打包成更直观的形式，消息更友好。
• OpenDNSSEC（opendnssec.org） ：一套工具，可对未签名的区域添加DNSSEC签名和其他记录，并传递给该区域的权威名称服务器，大大简化了DNSSEC的初始设置。

2. DNSSEC调试

2.1 调试概述

DNSSEC可与签名和未签名区域以及支持和不支持DNSSEC的名称服务器互