Používáte DNSSEC na Subregu?

Ahoj,

používáte někdo DNSSEC na Subregu? Chtěl jsem DNSSEC implementovat s přechodem na nové nameservery, ale problém je, že mám pouze CSK klíč místo KSK a ZSK. Neřešil jste někdo podobný problém? Lze nasadit i přes CSK?

Se subregem zkušenost v tomhle nemám. KSK a ZSK jsou dva oddělené klíče, které se váží k algoritmu RSA, zatímco CSK je pro ECDSA. Pokud subreg používá pouze RSA, s CSK klíčem tam jít nemůžete. Chápu správně problém?

krátkým googlením vidím, že subreg by měl umět vložit vlastní klíče, takže bys měl mít možnost tam propašovat vlastní csk. Jejich support jsi zkoušel?

Potrebujes vytvorit keyset u CZNICu bez KSK/ZSK ale jen s CSK, jo?

---------- Příspěvek doplněn 18.12.2019 v 16:41 ----------

Je mi lito, ale v RFC nevidim ze by v DNSKEY bylo neco jinyho nez KSK/ZSK (256/257) a dle diskuze na PDNS (byt 2017) se CSK zadava obojim ... takze nez dotaz na nasi podporu bych to videl na dotaz na CZNIC jestli CSK nejak specialne podporuji, ci jak takovy KEYSET zalozit

No mám PowerDNS a právě mi leze ven jen CSK, to už mám v naší administraci i propojené, že se mi rovnou generuje CSK klíč k zóně. No tak to vypadá, že budu muset upravit. Díky za pomoc.

mimochodem CZ-NIC podporuje CDNSKEY a SK-NIC announcoval ted podporu CDS.

Takze nez resit klice pro zakazniky, a propagaci skrze keysety manualne bych sel touhle cestou - nechal bych vypropagovat CDNSKEY/CDS zaznamy do zony a nechal registr at si domeny podepise automatem sam :)

---------- Příspěvek doplněn 18.12.2019 v 18:16 ----------

a v praxi krom CZ-NICu a Euridu nikdo keysety nepouziva - jen primo DS zaznamy per domena, a eurid podporuje oboje, tak bych s tim ze cz-nic ma podporu CDNSKEY klice z hlediska jakykoliv spravy smerem k registrum vubec neresil.