contrib/bind-9.2.4rc7/bin/dnssec/dnssec-signzone.8

   1 .\" Copyright (C) 2004  Internet Systems Consortium, Inc. ("ISC")
   2 .\" Copyright (C) 2000, 2001, 2003  Internet Software Consortium.
   3 .\"
   4 .\" Permission to use, copy, modify, and distribute this software for any
   5 .\" purpose with or without fee is hereby granted, provided that the above
   6 .\" copyright notice and this permission notice appear in all copies.
   7 .\"
   8 .\" THE SOFTWARE IS PROVIDED "AS IS" AND ISC DISCLAIMS ALL WARRANTIES WITH
   9 .\" REGARD TO THIS SOFTWARE INCLUDING ALL IMPLIED WARRANTIES OF MERCHANTABILITY
  10 .\" AND FITNESS.  IN NO EVENT SHALL ISC BE LIABLE FOR ANY SPECIAL, DIRECT,
  11 .\" INDIRECT, OR CONSEQUENTIAL DAMAGES OR ANY DAMAGES WHATSOEVER RESULTING FROM
  12 .\" LOSS OF USE, DATA OR PROFITS, WHETHER IN AN ACTION OF CONTRACT, NEGLIGENCE
  13 .\" OR OTHER TORTIOUS ACTION, ARISING OUT OF OR IN CONNECTION WITH THE USE OR
  14 .\" PERFORMANCE OF THIS SOFTWARE.
  15 .\"
  16 .\" $Id: dnssec-signzone.8,v 1.23.2.4 2004/06/03 05:21:12 marka Exp $
  17 .\"
  18 .TH "DNSSEC-SIGNZONE" "8" "June 30, 2000" "BIND9" ""
  19 .SH NAME
  20 dnssec-signzone \- DNSSEC zone signing tool
  21 .SH SYNOPSIS
  22 .sp
  23 \fBdnssec-signzone\fR [ \fB-a\fR ]  [ \fB-c \fIclass\fB\fR ]  [ \fB-d \fIdirectory\fB\fR ]  [ \fB-s \fIstart-time\fB\fR ]  [ \fB-e \fIend-time\fB\fR ]  [ \fB-f \fIoutput-file\fB\fR ]  [ \fB-h\fR ]  [ \fB-i \fIinterval\fB\fR ]  [ \fB-n \fInthreads\fB\fR ]  [ \fB-o \fIorigin\fB\fR ]  [ \fB-p\fR ]  [ \fB-r \fIrandomdev\fB\fR ]  [ \fB-t\fR ]  [ \fB-v \fIlevel\fB\fR ]  \fBzonefile\fR [ \fBkey\fR\fI...\fR ]
  24 .SH "DESCRIPTION"
  25 .PP
  26 \fBdnssec-signzone\fR signs a zone. It generates NXT
  27 and SIG records and produces a signed version of the zone. If there
  28 is a \fIsignedkey\fR file from the zone's parent,
  29 the parent's signatures will be incorporated into the generated
  30 signed zone file. The security status of delegations from the
  31 signed zone (that is, whether the child zones are secure or not) is
  32 determined by the presence or absence of a
  33 \fIsignedkey\fR file for each child zone.
  34 .SH "OPTIONS"
  35 .TP
  36 \fB-a\fR
  37 Verify all generated signatures.
  38 .TP
  39 \fB-c \fIclass\fB\fR
  40 Specifies the DNS class of the zone.
  41 .TP
  42 \fB-d \fIdirectory\fB\fR
  43 Look for \fIsignedkey\fR files in
  44 \fBdirectory\fR as the directory
  45 .TP
  46 \fB-s \fIstart-time\fB\fR
  47 Specify the date and time when the generated SIG records
  48 become valid. This can be either an absolute or relative
  49 time. An absolute start time is indicated by a number
  50 in YYYYMMDDHHMMSS notation; 20000530144500 denotes
  51 14:45:00 UTC on May 30th, 2000. A relative start time is
  52 indicated by +N, which is N seconds from the current time.
  53 If no \fBstart-time\fR is specified, the current
  54 time is used.
  55 .TP
  56 \fB-e \fIend-time\fB\fR
  57 Specify the date and time when the generated SIG records
  58 expire. As with \fBstart-time\fR, an absolute
  59 time is indicated in YYYYMMDDHHMMSS notation. A time relative
  60 to the start time is indicated with +N, which is N seconds from
  61 the start time. A time relative to the current time is
  62 indicated with now+N. If no \fBend-time\fR is
  63 specified, 30 days from the start time is used as a default.
  64 .TP
  65 \fB-f \fIoutput-file\fB\fR
  66 The name of the output file containing the signed zone. The
  67 default is to append \fI.signed\fR to the
  68 input file.
  69 .TP
  70 \fB-h\fR
  71 Prints a short summary of the options and arguments to
  72 \fBdnssec-signzone\fR.
  73 .TP
  74 \fB-i \fIinterval\fB\fR
  75 When a previously signed zone is passed as input, records
  76 may be resigned. The \fBinterval\fR option
  77 specifies the cycle interval as an offset from the current
  78 time (in seconds). If a SIG record expires after the
  79 cycle interval, it is retained. Otherwise, it is considered
  80 to be expiring soon, and it will be replaced.
  81
  82 The default cycle interval is one quarter of the difference
  83 between the signature end and start times. So if neither
  84 \fBend-time\fR or \fBstart-time\fR
  85 are specified, \fBdnssec-signzone\fR generates
  86 signatures that are valid for 30 days, with a cycle
  87 interval of 7.5 days. Therefore, if any existing SIG records
  88 are due to expire in less than 7.5 days, they would be
  89 replaced.
  90 .TP
  91 \fB-n \fIncpus\fB\fR
  92 Specifies the number of threads to use. By default, one
  93 thread is started for each detected CPU.
  94 .TP
  95 \fB-o \fIorigin\fB\fR
  96 The zone origin. If not specified, the name of the zone file
  97 is assumed to be the origin.
  98 .TP
  99 \fB-p\fR
 100 Use pseudo-random data when signing the zone. This is faster,
 101 but less secure, than using real random data. This option
 102 may be useful when signing large zones or when the entropy
 103 source is limited.
 104 .TP
 105 \fB-r \fIrandomdev\fB\fR
 106 Specifies the source of randomness. If the operating
 107 system does not provide a \fI/dev/random\fR
 108 or equivalent device, the default source of randomness
 109 is keyboard input. \fIrandomdev\fR specifies
 110 the name of a character device or file containing random
 111 data to be used instead of the default. The special value
 112 \fIkeyboard\fR indicates that keyboard
 113 input should be used.
 114 .TP
 115 \fB-t\fR
 116 Print statistics at completion.
 117 .TP
 118 \fB-v \fIlevel\fB\fR
 119 Sets the debugging level.
 120 .TP
 121 \fBzonefile\fR
 122 The file containing the zone to be signed.
 123 Sets the debugging level.
 124 .TP
 125 \fBkey\fR
 126 The keys used to sign the zone. If no keys are specified, the
 127 default all zone keys that have private key files in the
 128 current directory.
 129 .SH "EXAMPLE"
 130 .PP
 131 The following command signs the \fBexample.com\fR
 132 zone with the DSA key generated in the \fBdnssec-keygen\fR
 133 man page. The zone's keys must be in the zone. If there are
 134 \fIsignedkey\fR files associated with this zone
 135 or any child zones, they must be in the current directory.
 136 \fBexample.com\fR, the following command would be
 137 issued:
 138 .PP
 139 \fBdnssec-signzone -o example.com db.example.com Kexample.com.+003+26160\fR
 140 .PP
 141 The command would print a string of the form:
 142 .PP
 143 In this example, \fBdnssec-signzone\fR creates
 144 the file \fIdb.example.com.signed\fR. This file
 145 should be referenced in a zone statement in a
 146 \fInamed.conf\fR file.
 147 .SH "SEE ALSO"
 148 .PP
 149 \fBdnssec-keygen\fR(8),
 150 \fBdnssec-signkey\fR(8),
 151 \fIBIND 9 Administrator Reference Manual\fR,
 152 \fIRFC 2535\fR.
 153 .SH "AUTHOR"
 154 .PP
 155 Internet Systems Consortium