BIND 9

CHAPTER 4. 高级DNS特征 4.11. PKCS #11 (CRYPTOKI) SUPPORT
$ dnssec-keygen example.net
这比一个HSM密钥提供更弱的安全性,但是由于安全的原因,HSM可能更慢或者使用不方便,保
留HSM并将其用于更小频率的密钥签名操作可能更为有效。如果你想,区签名密钥可以轮转更为频繁,
以补偿密钥安全性的降低。
现在你可以对区签名了。(注意:如果不给dnssec-signzone使用-S选项,就需要将两个K*.key文件的
内容添加到区的主文件中再签名。)
$ dnssec-signzone -S example.net
Enter PIN:
Verifying the zone using the following algorithms:
NSEC3RSASHA1.
Zone signing complete:
Algorithm: NSEC3RSASHA1: ZSKs: 1, KSKs: 1 active, 0 revoked, 0 stand-by
example.net.signed
4.11.5 在命令行指定引擎
可以再named和所有BIND的dnssec-*工具中通过使用“-E ”命令行选项来指定OpenSSL引
擎。如果BIND 9是使用–with-pkcs11选项构建的,这个选项缺省为“pkcs11”。通常是不需要指定引擎
的,除非因为某种原因,你希望使用一个不同的OpenSSL引擎。
如果你希望关闭使用“pkcs11”引擎— 因为调试目的,或者因为HSM不可用— 就将引擎设置为空串。
例如:
$ dnssec-signzone -E ’’ -S example.net
这将导致dnssec-signzone运行在如同没有使用–with-pkcs11选项编译时的情况。
4.11.6 以自动区重签的方式运行named
如果你想要named使用HSM密钥动态重签区,和/或签名通过nsupdate插入的新记录,named必须能够
访问HSM的PIN。可以通过将PIN放在openssl.cnf文件来达到(在上面的例子中,/opt/pkcs11/usr/
ssl/openssl.cnf)。
openssl.cnf文件的位置可以再运行named之前通过设置OPENSSL CONF 环境变量进行覆盖。
openssl.cnf例子:
openssl_conf = openssl_def
[ openssl_def ]
engines = engine_section
[ engine_section ]
pkcs11 = pkcs11_section
[ pkcs11_section ]
PIN =
这也将允许dnssec-*工具无需PIN进入权限就能够访问HSM。(pkcs11-* 工具直接访问HSM,不经
过OpenSSL,所以仍然需要一个PIN来使用它们。)
38