如何使用 PowerDNS 为子域创建委托签名者 (DS) 记录？答案

【问题标题】：How to create Delegation Signer (DS) record for a subdomain with PowerDNS?如何使用 PowerDNS 为子域创建委托签名者 (DS) 记录？
【发布时间】：2014-10-29 17:16:51
【问题描述】：

我有一个域 mydomain.com。这个域的 DNS 服务器在我的控制之下，我在那里运行 PowerDNS。我已经为我的主域 mydomain.com 设置了 DNSSEC，并且我已经在注册商处注册了密钥。一切都适用于主域。但是，当我使用 PowerAdmin GUI 创建子域（区域）时，我从位于http://dnssec-debugger.verisignlabs.com/ 的 DNSSEC 分析工具中收到以下子域错误：在 mydomain.com 区域中找不到 subdomain.mydomain.com 的 DS 记录

问题：如何使用 powerdns 将该 DS 记录添加到 mydomain.com 区域？

【问题讨论】：

标签： subdomain delegation powerdns dnssec

【解决方案1】：

注意：我没有使用过 PowerAdmin，所以这是一个 PowerDNS 答案。

假设您还签署了这些子域/区域，您将使用 pdnssec show-zone 查看它们的 DS 记录。然后，将这些 DS 记录插入到父区域 (mydomain.com)，字段设置如下：

domain_id = domain.com 的 id
name = sub.mydomain.com
类型 = DS
content = 从 pdnssec show-zone 复制/粘贴

您还需要插入 NS 记录（如上，但 type=NS 和 content=您的服务器的名称），以获得有效的委托，即使它是本地的！

如果您实际上并不关心子域的 DNSSEC，只需插入 NS 记录并省略 DS。这将告诉验证者子域是故意不安全的。

【讨论】：

感谢您的回答！实际上，“插入 NS 记录”对我来说是最不清楚的。直到今年，我只使用了绑定，而绑定区域文件似乎更合乎逻辑。但是，我不知何故错过了 PowerDNS 的这一点。是否有一个非常清晰的文档，其中包含如何使用 PowerDNS 创建正确配置和委派的子域的示例？
我们自己的文档在这方面有些薄弱。请注意，这些都不是 PowerDNS 特有的！