Mazgas DNS#
Mazgas DNS yra atvirojo kodo autoritetingasis DNS serveris, kurį galima naudoti DNSSEC. Norėdami naudoti KnotDNS su NetHSM, įdiekite ir sukonfigūruokite PKCS#11 modulį, kaip aprašyta čia ` <./pkcs11-setup.html>`__.
Rankinis režimas#
Naudojant rankinį režimą raktus reikia generuoti ir valdyti rankiniu būdu.
PKCS#11 modulio konfigūracijos faile reikalingas tik operatoriaus naudotojas. Slaptažodį galima nurodyti naudojant pin-value
PKCS#11 URI knot.conf.
Į KnotDNS konfigūracijos failą /etc/knot/knot.conf
įtraukite šias eilutes:
keystore:
- id: nethsm_keystore
backend: pkcs11
config: "pkcs11:token=localnethsm /usr/local/lib/libnethsm_pkcs11.so"
policy:
- id: manual_policy
keystore: nethsm_keystore
manual: on
zone:
- domain: example.com
storage: "/var/lib/knot"
file: "example.com.zone"
dnssec-signing: on
dnssec-policy: manual_policy
token
reikšmė PKCS#11 URI yra label
iš p11nethsm.conf
. Prireikus pakoreguokite kelią iki libnethsm_pkcs11.so
.
Norėdami sugeneruoti raktus, vykdykite šias komandas:
nitropy nethsm \
--host "localhost:8443" --no-verify-tls \
--username "admin" \
generate-key \
--type "EC_P256" --mechanism "ECDSA_Signature" --length "256" --key-id "myKSK"
# knot's keymgr expects the binary key id in hex format
# myKSK in ascii-binary is 0x6d794b534b, e.g. echo -n "myKSK" | xxd -ps
keymgr "example.com" import-pkcs11 "6d794b534b" "algorithm=ECDSAP256SHA256" "ksk=yes"
nitropy nethsm \
--host "localhost:8443" --no-verify-tls \
--username "admin" \
generate-key \
--type "EC_P256" --mechanism "ECDSA_Signature" --length "256" --key-id "myZSK"
# myZSK in ascii-binary is 0x6d795a534b
keymgr "example.com" import-pkcs11 "6d795a534b" "algorithm=ECDSAP256SHA256"
Automatinis režimas#
Automatiniu režimu raktus generuoja „Knot DNS“ ir jie saugomi „NetHSM“.
PKCS#11 modulio konfigūracijoje reikia administratoriaus ir operatoriaus naudotojo.
Į „Knot DNS“ konfigūracijos failą /etc/knot/knot.conf
įtraukite šias eilutes:
keystore:
- id: nethsm_keystore
backend: pkcs11
config: "pkcs11:token=localnethsm /usr/local/lib/libnethsm_pkcs11.so"
#key-label: on
policy:
- id: auto_policy
keystore: nethsm_keystore
ksk-lifetime: 5m
zsk-lifetime: 2m
dnskey-ttl: 10s
zone-max-ttl: 15s
propagation-delay: 2s
zone:
- domain: example.com
storage: "/var/lib/knot"
file: "example.com.zone"
dnssec-signing: on
dnssec-policy: auto_policy
Nustačius key-label
į on
, niekas nepasikeičia, o pkcs11 modulis ignoruoja pateiktą etiketę ir visada grąžina šešioliktainį rakto ID kaip etiketę. Testavimo tikslais politikoje naudojamos labai trumpos raktų gyvavimo trukmės ir TTL.