我使用绑定9.9.2作为验证Internet DMZ中的递归解析器的DNSSEC.我想将我的内部DNS服务器指向存根区域(理想情况下)或除了从属区域之外的任何区域(以避免非常大的区域传输).我们使用可路由的ip空间进行内部寻址.很抱歉,如果我在我的示例中使用您拥有的IP空间,但167.x.x.x是我发现的第一个适合我的问题的区域.
例如
dnssec-enable yes;
dnssec-validation yes;
dnssec-accept-expired no;
zone "16.172.in-addr.arpa" {
type stub;
masters { 167.255.1.53; }
}
zone "myzone.com" in {
type stub;
masters { 167.255.1.53; }
}
当查询到达DNS服务器时,它们会尝试进行验证,然后失败,因为167.in-addr.arpa有一个RRSIG记录,但子区域没有(也不应该！).谷歌dns在这个例子中使用,但实际上它将是我的递归解析器.
@8.8.8.8 -x 167.255.1.53 +dnssec ; (1 server found) ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY,status: NXDOMAIN,id: 17488 ;; flags: qr rd ra ad; QUERY: 1,ANSWER: 0,AUTHORITY: 6,ADDITIONAL: 1 ;; OPT PSEUDOSECTION: ; EDNS: version: 0,flags: do; udp: 512 ;; QUESTION SECTION: ;53.1.255.167.in-addr.arpa. IN PTR ;; AUTHORITY SECTION: 167.in-addr.arpa. 1800 IN SOA z.arin.net. dns-ops.arin.net. 2013100713 1800 900 691200 10800 167.in-addr.arpa. 1800 IN RRSIG SOA 5 3 86400 20131017160124 20131007160124 812 167.in-addr.arpa. Lcl8sCps7LapnAj4n403KXx7A3GO7+2z/9Q2R2mwkh9FL26iDx7GlU4+ NufGd92IEJCdBu9IgcZP4I9QcKi8DI28og27WrfKd5moSl/STj02GliS qPTfNiewmTTIDw5++IlhITbp+CoJuZCRCdDbyWKmd5NSLcbskAwbCVlO vVA= 167.in-addr.arpa. 10800 IN NSEC 1.167.in-addr.arpa. NS SOA TXT RRSIG NSEC DNSKEY 167.in-addr.arpa. 10800 IN RRSIG NSEC 5 3 10800 20131017160124 20131007160124 812 167.in-addr.arpa. XALsd59i+XGvCIzjhTUFXcr11/M8prcaaPQ5yFSbvP9TzqjJ3wpizvH6 202MdrIWbsT1Dndri49lHKAXgBQ5OOsUmOh+eoRYR5okxRO4VLc5Tkze Gh0fQLcwGXPuv9A4SFNIrNyi3XU4Qvq0cViKXIuEGTa3C+zMPuvc0her oKk= 254.167.in-addr.arpa. 10800 IN NSEC 26.167.in-addr.arpa. NS RRSIG NSEC 254.167.in-addr.arpa. 10800 IN RRSIG NSEC 5 4 10800 20131017160124 20131007160124 812 167.in-addr.arpa. xnsLBTnPhdyABdvqtEHPxa6Y6NASfYAWfW1yYlNliTyV8TFeNOqewjwj nY43CWD77ftFDDQTLFEOPpV5vwmnUGYTRztK+kB5UrlflhPgiqYiBaBD RQaFQ8DIKaof8/snusZjK7aNmfe09t9gRcaX/pXn3liKz7m/ggxZi0f9 xo0= ;; Query time: 31 msec ;; SERVER: 8.8.8.8#53(8.8.8.8) ;; WHEN: Mon Oct 7 16:52:59 2013 ;; MSG SIZE rcvd: 722
有没有办法绕过特定区域的DNSSEC验证？我在内部托管的任何区域,我不希望执行DNSSEC验证.我只看到这个干扰w /某些反向区域,其中顶层有DS / RRSIG记录.
谢谢.
解决方法
我还没有找到一个使用bind执行此操作的好方法,但可以使用缓存解析程序“unboud”来完成.未绑定的选项是域不安全的：使用绑定最好的我可以想出它签署你的区域和做dnssec-lookaside 16.172.in-addr.arpa dlv.examle.org或那种性质的东西.
