Bind Nameserver

Ich betreue ebenfalls seit Jahren mehrere BIND Server. Angefangen habe ich mit Bind8. Mittlerweile ist alles auf Bind9 konfiguriert.

Hidden Master

Auch diese Domain wird über einen Hidden Master gesteuert, anders lässt sich DNSSec nicht umsetzen, da die Signierung von Domain Einträgen nicht auf der gleichen Maschine umgesetzt werden darf, die auch die DNS-Queries abarbeitet.

DNSSec

DNSSec ist ein Verfahren zur Signierung von Domain Einträgen. Das eigentliche DNS-System setzt ebenso wie SMTP auf Vertrauensstellungen. Es ist daher verwundbar. Zu meinen ToDos im Bereich DNSSec gehören u.a.

Signieren von DNS Einträgen
Betrieb der Public DNS Server
KSK (Key signing Key) Rollover Szenarien
ZSK (Zone signing Key) Rollover Szenarien
Verwaltung der DSS Sets

DANE

Wenn eine Zone mit DNS Signiert ist können zusätzlich noch TLSA Einträge vorgenommen werden. In den Einträgen sind TLS Zertifikatsinformationen hinterlegt. Wenn ein Zertifikat erneuert wird, müssen ebenfalls die TLSA Records angepasst und ausgerollt werden.

DKIM

DKIM steht für Domain Key for Incoming Mail. Sämtliche Mails der Domain marc-hoffrichter.de werden vom Mail Server signiert und können anhand des DKIM Eintrages vom empfangenden Server validiert werden, damit die Echtheit sichergestellt werden kann. Einmal pro Quartal ist ein Rollover erforderlich. Derzeit arbeite ich an einer Automatisierung des Szenarios.