Commit 9c74bbf2 authored by Stéphane Guedon's avatar Stéphane Guedon

add description for "all" option

add description for the three serial numbers
parent 82d43422
......@@ -2,7 +2,7 @@
(English version after the French)
Ldnscripts est un script Korn shell écrits pour permettre la maintenance d'une zone DNSSEC simple sous OpenBSD.
Ldnscript est un script Korn shell écrits pour permettre la maintenance d'une zone DNSSEC simple sous OpenBSD.
Ce README constitue une description succinte de son installation et utilisation. Pour une description plus détaillée, l'auteur a écrit des articles sur son blog :
......@@ -31,12 +31,25 @@ Il vous faut également le paquet ldns-utils, présent dans les dépots OpenBSD
Le fichier de configuration s'appelle *ldnscript.conf*, dans le dossier */etc/ns/*. Il contient notamment l'emplacement des fichiers de zones sources (au format DNS standard. Si vous utilisez un $ORIGIN, mettez le en tête du fichier de zone.), les longueurs de clés et l'algorithme à utiliser.
Le fichier de configuration contient aussi le numéro de série à utiliser:
- **date**, ce qui donnera AAAAMMJJNN où NN est un numéro incrémental. Exemple: 2018122003.
- **incremental**, ce qui donnera juste un nombre indiquant le nombre de fois où la zone a été signée.
- **unixtime** (choix par défaut), qui utilisera le *timestamp* unix du moment de la signature.
Les algorithmes disponibles sont ceux de ldns :
$ ldns-keygen -a list
La durée de validité des signatures, indiquée en jours via VALIDITY doit imperativement être plus importante que votre intervalle de signature.
## Utilisation
Le script requiert deux arguments : l'action, et le nom de la zone.
$ doas ldnscript sign example.com
Les actions sont décrites ci après. Il s'agit de sign, ksk, zsk, init, rollover, check et status. Si vous utilisez le mot-clé **all** en lieu et place du nom de la zone, le script executera l'action demandée pour toutes les zones.
## NSD
Les fichiers de zones signés finaux seront écrits dans /var/nsd/zones/signed/$ZONE. Lors de la signature, le script appellera un rechargement de la zone par NSD.
......@@ -93,9 +106,9 @@ Le script va créer les repertoires, puis les clés et signer la zone une premi
$ ldnscript check 22decembre.eu
According to ns0.ldn-fai.net, 22decembre.eu is secure. Everything is ok.
Check va vérifier auprès d'un resolveur-validateur DNS (pris au hasard dans une liste de huit) que votre zone est bien valide.
Check va vérifier auprès d'un resolveur-validateur DNS (pris au hasard dans une liste de quatorze, parmi lesquels on a Google et Quad, mais aussi des FAI de FFDN) que votre zone est bien valide.
Vous pouvez lancer ce script aussi souvent que necessaire, également sur des zones que vous ne controllez pas, mais soyez un bon citoyen (ces resolvers pourrez vous bannir).
Vous pouvez lancer ce script aussi souvent que necessaire, également sur des zones que vous ne controllez pas, mais soyez un bon citoyen (ces resolvers pourraient vous bannir).
## status
......@@ -150,7 +163,12 @@ You also need ldns-utils, in OpenBSD repositories:
## configuration
The configuration file is called conf, in the directory you just cloned. It contains the directory for the original zonefiles (in the DNS standard format. If you use an $ORIGIN, place it atop the zonefile.), keys lengths and algorithms to use.
The configuration file is called *ldnscript.conf*, in */etc/ns*, and contains the place for the original zonefiles (in the DNS standard format. If you use an $ORIGIN, place it atop the zonefile.), keys lengths and algorithms to use.
The configuration file also contains the type of serial number to use:
- **date**, which will give YYYYMMDDNN where NN is an increment number. Example: 2018122003.
- **incremental**, which will just give a number stating the number of times this zone had been signed.
- **unixtime** (by default), which will use the unix *timestamp* of the signature.
The possible algorithms are those of ldns:
......@@ -158,6 +176,14 @@ The possible algorithms are those of ldns:
Validity of signatures is written in days in VALIDITY and must be higher than the frequency you sign your domain.
## Use
The script requires two arguments: action and zonename.
$ doas ldnscript sign example.com
Actions are described below. They can be : sign, check, status, init, ksk, zsk and rollover. If you use the keyword **all** in place of domain name, the script will performe the requested action for all the zones.
## NSD
Signed zone files will be copied in /var/nsd/zones/signed/$ZONE. Just after its writing operation, the signing command will trigger an NSD reload on the zone.
......
Markdown is supported
0% or
You are about to add 0 people to the discussion. Proceed with caution.
Finish editing this message first!
Please register or to comment