PowerDNS 开启 DNSSEC

环境

• PowerDNS:4.0.1
• 后端:PosrgreSQL

Pdnsutil

PowerDNS 提供了 pdnsutil 这一工具来配置 DNSSEC。

生成

• 自动生成：pdnsutil secure-zone a.com
• a.com：需要 DNSSEC 的域名
• 手动生成：pdnsutil add-zone-key a.com 384 ecdsa384
• a.com：需要 DNSSEC 的域名
• 384：表示位数，例如：384,256...
• ecdsa384：表示算法。

列举 Keys

pdnsutil list-keys 域名

列出该域名所有的 Keys，如下，

激活 Key

pdnsutil activate-zone-key 域名 ID

• ID：需要激活的 Key 的 ID，可以用pdnsutil list-keys查看

显示

pdnsutil show-zone 域名

能显示 DNSSEC 有关的信息，如下

删除 Key

• 删除所有

  pdnsutil disable-dnssec 域名

删除该域名所有 Keys

• 删除指定

  pdnsutil remove-zone-key 域名 ID

删除该域名的指定 ID 的 Key

#添加到域名注册商

先获得 DNSSEC 信息，如下

域名注册商以 NameSilo 为例，在后台找到这个页面 Aligorithm：DNSSEC 信息中红色框的数字，数字和算法的对应列表
Digest Type:DNSSEC 信息中蓝色框的数字，有多种，任选其一，建议选最高的
Digest：DNSSEC 信息中打马赛克的字符串，有多种，要和Digest Type保持一致
Key Tag：DNSSEC 信息中也可找到，应该可以随意输入，我没尝试过

#验证

要保证能使用 DNSSEC，前提是域名注册商、权威 DNS、递归 DNS，都支持且正确配置 DNSSEC。

完成上面这些步骤后，域名注册商、权威 DNS 以准备就绪。支持 DNSSEC 的递归 DNS 有这些

• 8.8.8.8
• 4.2.2.4

##使用 DIG 来验证

dig @8.8.8.8 +dnssec 域名

如图，如果返回值有RRSIG，则配置成功