web-dev-qa-db-ja.com

DNSSECキータグが常に2371であるのはなぜですか？

最近、いくつかのドメインにDNSSECを追加していましたが、すべてのドメインでDNSSECキータグが常に2371であることに気付きました。それが決して変わらないのであれば、それを求めることのポイントは何ですか？ （または変更されますか？いつですか？）、そしてなぜそれは具体的に2371ですか？

domain-name-systemdnssec
2
retnikt

あなたの質問は明確ではありません。誰がそれを求めていますか？

「キータグ」と呼ばれるものは、RRSIGレコードにあるもので、レコードの署名に使用されたキーを識別し、このRRSIGレコードを生成します。RFC4034§3を参照してください。通常、ゾーン内の特定の時点では、ゾーン署名キー（ZSK）は1つしかないため、すべてのRRSIGレコードは実際に同じキータグを持ちます。

キータグは同じです...同じキーを使用している場合。キータグまたはキーIDはキーを参照します。衝突があるため（スペースは定義上2バイト小さいため、理論的には65536の値であり、実際にはアルゴリズムと実装のバグのために実際には半分未満です）、これは適切なリファレンスではありません。より簡単に。

あなたの価値、2371は、とりわけ1つのランダムな値であり、特定の意味はありませんが、質問にコンテキストをまったく与えません...どのドメインについて話しているのですか？あなたは権威ネームサーバーのオペレーターですか、それとも他のドメインを見ているだけですか？キー、キーのローテーション、署名などについて理解するためにDPSを導入しましたか？

同じキーで複数のドメインを構成できますが、すべてのドメインが運命を共有するため、これはお勧めしません。対応するDSレコードを同時に変更する必要があります（キーがKSK）など。

単一のドメインの場合でも、ZSKは定期的に変更する必要があり（通常、毎月または2か月が頻繁な値です）、新しいキーを参照する新しいRRSIGレコードが表示されるため、新しいキータグが付けられます。

ほとんど変更されないキータグ（ID）は、ルートゾーンにあるものだけです。それらは決して変わらず、めったに変わりません。彼らは一年前に変わった。しかし、それらはおそらくすぐに再び変わることはないでしょう。現在、22545と20326です。

$ Dig +multi . DNSKEY

; <<>> Dig 9.11.5-P1-1ubuntu2.5-Ubuntu <<>> +multi . DNSKEY
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 41551
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1480
;; QUESTION SECTION:
;.          IN DNSKEY

;; ANSWER SECTION:
.           22845 IN DNSKEY 256 3 8 (
                AwEAAbPwrxwtOMENWvblQbUFwBllR7ZtXsu9rg/Ldykl
                Ks9gU2GQTeOc59XjhuAPZ4WrT09z6YPL+vzIIJqnG3Hi
                ru7hFUQ4pH0qsLNxrsuZrZYmXAKoVa9SXL1Ap0LygwrI
                ugEk1G4v7Rk/Alt1jLUIE+ZymGtSEhIuGQdXrEmj3ffz
                XY13H42X4Ja3vJTn/WIQOXY7vwHXGDypSh9j0Tt0hknF
                1yVJCrIpfkhFWihMKNdMzMprD4bV+PDLRA5YSn3OPIeU
                nRn9qBUCN11LXQKb+W3Jg+m/5xQRQJzJ/qXgDh1+aN+M
                c9AstP29Y/ZLFmF6cKtL2zoUMN5I5QymeSkJJzc=
                ) ; ZSK; alg = RSASHA256 ; key id = 22545
.           22845 IN DNSKEY 257 3 8 (
                AwEAAaz/tAm8yTn4Mfeh5eyI96WSVexTBAvkMgJzkKTO
                iW1vkIbzxeF3+/4RgWOq7HrxRixHlFlExOLAJr5emLvN
                7SWXgnLh4+B5xQlNVz8Og8kvArMtNROxVQuCaSnIDdD5
                LKyWbRd2n9WGe2R8PzgCmr3EgVLrjyBxWezF0jLHwVN8
                efS3rCj/EWgvIWgb9tarpVUDK/b58Da+sqqls3eNbuv7
                pr+eoZG+SrDK6nWeL3c6H5Apxz7LjVc1uTIdsIXxuOLY
                A4/ilBmSVIzuDWfdRUfhHdY6+cn8HFRm+2hM8AnXGXws
                9555KrUB5qihylGa8subX2Nn6UwNR1AkUTV74bU=
                ) ; KSK; alg = RSASHA256 ; key id = 20326

このゾーンでRRSIGレコードを要求すると、次のIDのいずれかが参照されていることがわかります。

$ Dig com. NS +dnssec +multi @a.root-servers.net

[...]

com.            86400 IN RRSIG DS 8 1 86400 (
                20191113170000 20191031160000 22545 .
                UEC85qqrUaAML/8TSKs6971lvQAI0jCFAEamLCV2e5N/
                wnnY2xsUF3TEWBfBB7VByxpRzzB87NuWNGh9jf6wlx7p
                QQ/FidKxV+lk3LGDb6aqfM9ACRKlSm6xQb9k4Y21A2aO
                lDsHXdfJaKsUvw7AHS6WqBDBsh6AKuDCL5zm/E03UP2A
                8cDhVr1yNnvcY48il3JLAYsSMRviID/Q6lND446za6H3
                w2LiqaMoXg4s/pVj0uV8Sc9G4csWesgXXthQSy3nBe77
                DYca7vt89uN2eYFlTwTnCVYTkkNC67L0B95NRqRhMISA
                MgdoFCcfwAgPpWeWLEcd72EuJ/IWBWBSgA== )

22545は、キータグまたはこのRRSIGレコードであり、それを作成するために使用されるキーです。

2
Patrick Mevzek