ldns-signzone - En ligne dans le Cloud

PROGRAMME:

Nom

ldns-signzone - signer un fichier de zone avec les données DNSSEC

SYNOPSIS

ldns-signzone [ OPTIONS ] FICHIER ZONE TOUCHE [TOUCHE [TOUCHE] ... ]

DESCRIPTION

ldns-signzone est utilisé pour générer une zone signée DNSSEC. Une fois exécuté, il créera un nouveau
zonefile qui contient les enregistrements de ressources RRSIG et NSEC, comme spécifié dans les RFC 4033, RFC 4034
et RFC 4035.

Les clés doivent être spécifiées par leur nom de base (c'est-à-dire sans .private). Si le DNSKEY qui
appartient à la clé dans le fichier .private n'est pas présent dans la zone, il sera lu depuis
le fichier .clé. Si ce fichier n'existe pas, la valeur DNSKEY sera générée
à partir de la clé privée.

Plusieurs clés peuvent être spécifiées, les clés de signature de clé sont utilisées comme telles lorsqu'elles sont soit
déjà présents dans la zone, ou spécifiés dans un fichier .key, et avoir le bit KSK activé.

OPTIONS

-b Augmente la zone et les RR avec des textes de commentaires supplémentaires pour une mise en page plus lisible,
plus facile à déboguer. Les enregistrements DS auront une version bubblebabble des données dans le
texte du commentaire, les enregistrements NSEC3 auront le NSEC3 d'origine dans le texte du commentaire.

Sans cette option, seuls les DNSKEY RR auront leur Key Tag annoté dans le
texte de commentaire.

-d Normalement, si le DNSKEY RR d'une clé utilisée pour signer la zone est introuvable dans
le fichier de zone, il sera lu à partir de .key, ou dérivé de la clé privée (dans ce
ordre). Cette option désactive cette fonctionnalité, de sorte que seules les signatures sont ajoutées
à la zone.

-e données
Fixez la date d'expiration des signatures à cette date, le format peut être
AAAAMMJJ[hhmmss], ou un horodatage.

-f filet
Utilisez ce fichier pour stocker la zone signée (par défaut .signé)

-i données
Fixez la date de création des signatures à cette date, le format peut être
AAAAMMJJ[hhmmss], ou un horodatage.

-o origine
Utilisez ceci comme origine de la zone

-v Imprimer la version et quitter

-A Signez l'enregistrement DNSKEY avec toutes les clés. Par défaut, il est signé avec un minimum
nombre de clés, pour garder la taille de réponse pour la requête DNSKEY petite, et seulement le
Les clés SEP transmises sont utilisées. S'il n'y a pas de clés SEP, le DNSKEY RRset est
signé avec les clés non SEP. Cette option désactive la valeur par défaut et toutes les touches sont
utilisé pour signer le DNSKEY RRset.

-E prénom
Utilisez le moteur cryptographique EVP avec le nom donné pour la signature. Cela peut avoir
quelques options supplémentaires ; voir OPTIONS DE MOTEUR pour plus d'informations.

-k identifiant, entier
Utilisez la clé avec l'identifiant donné comme clé de signature pour l'algorithme int en tant que zone
clé de signature. Cette option est utilisée lorsque vous utilisez un moteur OpenSSL, voir OPTIONS DU MOTEUR
pour plus d'informations.

-K identifiant, entier

Utilisez la clé avec l'identifiant donné comme clé de signature pour l'algorithme int en tant que signature de clé
clé. Cette option est utilisée lorsque vous utilisez un moteur OpenSSL, voir OPTIONS DU MOTEUR pour
pour en savoir davantage.

-n Utilisez NSEC3 au lieu de NSEC.

Si vous utilisez NSEC3, vous pouvez spécifier les options supplémentaires suivantes :

-a algorithme
Algorithme utilisé pour créer les noms de propriétaire NSEC3 hachés

-p Se désengager. Tous les enregistrements NSEC3 dans la zone auront l'indicateur d'exclusion défini. Après
signature, vous pouvez ajouter des délégations non sécurisées à la zone signée.

-s un magnifique
Le sel

-t nombre
Nombre d'itérations de hachage

ENGINE OPTIONS

Vous pouvez modifier les moteurs possibles, si pris en charge, en définissant une configuration OpenSSL
déposer. Cela se fait via la variable d'environnement OPENSSL_CONF. Si vous utilisez -E avec un
nom de moteur inexistant, ldns-signzone imprimera une liste des moteurs pris en charge par votre
configuration.

Les options clés (-k et -K) fonctionnent comme suit ; vous spécifiez un identifiant de clé et un algorithme DNSSEC
nombre (par exemple, 5 pour RSASHA1). L'ID de clé peut être l'un des suivants :


:
identifiant_
insérer_ -identifiant_
étiqueter_
insérer_ -étiqueter_

Où ' ' est l'identifiant de clé PKCS #11 en notation hexadécimale, ' ' est le PKCS
#11 étiquette lisible par l'homme, et ' ' est le numéro d'emplacement où le jeton est présent.

S'il n'est pas déjà présent, un DNSKEY RR est généré à partir des données de clé et ajouté à la zone.

EXEMPLES

ldns-signzone nlnetlabs.nl Knlnetlabs.nl.+005+12273
Signez la zone dans le fichier 'nlnetlabs.nl' avec la clé dans les fichiers
'Knlnetlabs.nl.+005+12273.private'. Si le DNSKEY n'est pas présent dans la zone, utilisez
la clé dans le fichier 'Knlnetlabs.nl.+005+12273.key'. S'il n'est pas présent,
générer un avec les valeurs par défaut de 'Knlnetlabs.nl.+005+12273.private'.

Utiliser ldns-signzone en ligne à l'aide des services onworks.net