contrib/bind-9.2.4rc7/bin/dnssec/dnssec-signzone.html

   1 <!--
   2  - Copyright (C) 2004  Internet Systems Consortium, Inc. ("ISC")
   3  - Copyright (C) 2001, 2003  Internet Software Consortium.
   4  -
   5  - Permission to use, copy, modify, and distribute this software for any
   6  - purpose with or without fee is hereby granted, provided that the above
   7  - copyright notice and this permission notice appear in all copies.
   8  -
   9  - THE SOFTWARE IS PROVIDED "AS IS" AND ISC DISCLAIMS ALL WARRANTIES WITH
  10  - REGARD TO THIS SOFTWARE INCLUDING ALL IMPLIED WARRANTIES OF MERCHANTABILITY
  11  - AND FITNESS.  IN NO EVENT SHALL ISC BE LIABLE FOR ANY SPECIAL, DIRECT,
  12  - INDIRECT, OR CONSEQUENTIAL DAMAGES OR ANY DAMAGES WHATSOEVER RESULTING FROM
  13  - LOSS OF USE, DATA OR PROFITS, WHETHER IN AN ACTION OF CONTRACT, NEGLIGENCE
  14  - OR OTHER TORTIOUS ACTION, ARISING OUT OF OR IN CONNECTION WITH THE USE OR
  15  - PERFORMANCE OF THIS SOFTWARE.
  16 -->
  17
  18 <!-- $Id: dnssec-signzone.html,v 1.4.2.4 2004/06/03 05:21:12 marka Exp $ -->
  19
  20 <HTML
  21 ><HEAD
  22 ><TITLE
  23 >dnssec-signzone</TITLE
  24 ><META
  25 NAME="GENERATOR"
  26 CONTENT="Modular DocBook HTML Stylesheet Version 1.73
  27 "></HEAD
  28 ><BODY
  29 CLASS="REFENTRY"
  30 BGCOLOR="#FFFFFF"
  31 TEXT="#000000"
  32 LINK="#0000FF"
  33 VLINK="#840084"
  34 ALINK="#0000FF"
  35 ><H1
  36 ><A
  37 NAME="AEN1"
  38 ><SPAN
  39 CLASS="APPLICATION"
  40 >dnssec-signzone</SPAN
  41 ></A
  42 ></H1
  43 ><DIV
  44 CLASS="REFNAMEDIV"
  45 ><A
  46 NAME="AEN9"
  47 ></A
  48 ><H2
  49 >Name</H2
  50 ><SPAN
  51 CLASS="APPLICATION"
  52 >dnssec-signzone</SPAN
  53 >&nbsp;--&nbsp;DNSSEC zone signing tool</DIV
  54 ><DIV
  55 CLASS="REFSYNOPSISDIV"
  56 ><A
  57 NAME="AEN13"
  58 ></A
  59 ><H2
  60 >Synopsis</H2
  61 ><P
  62 ><B
  63 CLASS="COMMAND"
  64 >dnssec-signzone</B
  65 >  [<TT
  66 CLASS="OPTION"
  67 >-a</TT
  68 >] [<TT
  69 CLASS="OPTION"
  70 >-c <TT
  71 CLASS="REPLACEABLE"
  72 ><I
  73 >class</I
  74 ></TT
  75 ></TT
  76 >] [<TT
  77 CLASS="OPTION"
  78 >-d <TT
  79 CLASS="REPLACEABLE"
  80 ><I
  81 >directory</I
  82 ></TT
  83 ></TT
  84 >] [<TT
  85 CLASS="OPTION"
  86 >-s <TT
  87 CLASS="REPLACEABLE"
  88 ><I
  89 >start-time</I
  90 ></TT
  91 ></TT
  92 >] [<TT
  93 CLASS="OPTION"
  94 >-e <TT
  95 CLASS="REPLACEABLE"
  96 ><I
  97 >end-time</I
  98 ></TT
  99 ></TT
 100 >] [<TT
 101 CLASS="OPTION"
 102 >-f <TT
 103 CLASS="REPLACEABLE"
 104 ><I
 105 >output-file</I
 106 ></TT
 107 ></TT
 108 >] [<TT
 109 CLASS="OPTION"
 110 >-h</TT
 111 >] [<TT
 112 CLASS="OPTION"
 113 >-i <TT
 114 CLASS="REPLACEABLE"
 115 ><I
 116 >interval</I
 117 ></TT
 118 ></TT
 119 >] [<TT
 120 CLASS="OPTION"
 121 >-n <TT
 122 CLASS="REPLACEABLE"
 123 ><I
 124 >nthreads</I
 125 ></TT
 126 ></TT
 127 >] [<TT
 128 CLASS="OPTION"
 129 >-o <TT
 130 CLASS="REPLACEABLE"
 131 ><I
 132 >origin</I
 133 ></TT
 134 ></TT
 135 >] [<TT
 136 CLASS="OPTION"
 137 >-p</TT
 138 >] [<TT
 139 CLASS="OPTION"
 140 >-r <TT
 141 CLASS="REPLACEABLE"
 142 ><I
 143 >randomdev</I
 144 ></TT
 145 ></TT
 146 >] [<TT
 147 CLASS="OPTION"
 148 >-t</TT
 149 >] [<TT
 150 CLASS="OPTION"
 151 >-v <TT
 152 CLASS="REPLACEABLE"
 153 ><I
 154 >level</I
 155 ></TT
 156 ></TT
 157 >] {zonefile} [key...]</P
 158 ></DIV
 159 ><DIV
 160 CLASS="REFSECT1"
 161 ><A
 162 NAME="AEN56"
 163 ></A
 164 ><H2
 165 >DESCRIPTION</H2
 166 ><P
 167 >        <B
 168 CLASS="COMMAND"
 169 >dnssec-signzone</B
 170 > signs a zone.  It generates NXT
 171         and SIG records and produces a signed version of the zone.  If there
 172         is a <TT
 173 CLASS="FILENAME"
 174 >signedkey</TT
 175 > file from the zone's parent,
 176         the parent's signatures will be incorporated into the generated
 177         signed zone file.  The security status of delegations from the
 178         signed zone (that is, whether the child zones are secure or not) is
 179         determined by the presence or absence of a
 180         <TT
 181 CLASS="FILENAME"
 182 >signedkey</TT
 183 > file for each child zone.
 184     </P
 185 ></DIV
 186 ><DIV
 187 CLASS="REFSECT1"
 188 ><A
 189 NAME="AEN62"
 190 ></A
 191 ><H2
 192 >OPTIONS</H2
 193 ><P
 194 ></P
 195 ><DIV
 196 CLASS="VARIABLELIST"
 197 ><DL
 198 ><DT
 199 >-a</DT
 200 ><DD
 201 ><P
 202 >             Verify all generated signatures.
 203           </P
 204 ></DD
 205 ><DT
 206 >-c <TT
 207 CLASS="REPLACEABLE"
 208 ><I
 209 >class</I
 210 ></TT
 211 ></DT
 212 ><DD
 213 ><P
 214 >              Specifies the DNS class of the zone.
 215           </P
 216 ></DD
 217 ><DT
 218 >-d <TT
 219 CLASS="REPLACEABLE"
 220 ><I
 221 >directory</I
 222 ></TT
 223 ></DT
 224 ><DD
 225 ><P
 226 >              Look for <TT
 227 CLASS="FILENAME"
 228 >signedkey</TT
 229 > files in
 230                <TT
 231 CLASS="OPTION"
 232 >directory</TT
 233 > as the directory
 234           </P
 235 ></DD
 236 ><DT
 237 >-s <TT
 238 CLASS="REPLACEABLE"
 239 ><I
 240 >start-time</I
 241 ></TT
 242 ></DT
 243 ><DD
 244 ><P
 245 >              Specify the date and time when the generated SIG records
 246                become valid.  This can be either an absolute or relative
 247                time.  An absolute start time is indicated by a number
 248                in YYYYMMDDHHMMSS notation; 20000530144500 denotes
 249                14:45:00 UTC on May 30th, 2000.  A relative start time is
 250                indicated by +N, which is N seconds from the current time.
 251                If no <TT
 252 CLASS="OPTION"
 253 >start-time</TT
 254 > is specified, the current
 255                time is used.
 256           </P
 257 ></DD
 258 ><DT
 259 >-e <TT
 260 CLASS="REPLACEABLE"
 261 ><I
 262 >end-time</I
 263 ></TT
 264 ></DT
 265 ><DD
 266 ><P
 267 >              Specify the date and time when the generated SIG records
 268                expire.  As with <TT
 269 CLASS="OPTION"
 270 >start-time</TT
 271 >, an absolute
 272                time is indicated in YYYYMMDDHHMMSS notation.  A time relative
 273                to the start time is indicated with +N, which is N seconds from
 274                the start time.  A time relative to the current time is
 275                indicated with now+N.  If no <TT
 276 CLASS="OPTION"
 277 >end-time</TT
 278 > is
 279                specified, 30 days from the start time is used as a default.
 280           </P
 281 ></DD
 282 ><DT
 283 >-f <TT
 284 CLASS="REPLACEABLE"
 285 ><I
 286 >output-file</I
 287 ></TT
 288 ></DT
 289 ><DD
 290 ><P
 291 >              The name of the output file containing the signed zone.  The
 292                default is to append <TT
 293 CLASS="FILENAME"
 294 >.signed</TT
 295 > to the
 296                input file.
 297           </P
 298 ></DD
 299 ><DT
 300 >-h</DT
 301 ><DD
 302 ><P
 303 >              Prints a short summary of the options and arguments to
 304                <B
 305 CLASS="COMMAND"
 306 >dnssec-signzone</B
 307 >.
 308           </P
 309 ></DD
 310 ><DT
 311 >-i <TT
 312 CLASS="REPLACEABLE"
 313 ><I
 314 >interval</I
 315 ></TT
 316 ></DT
 317 ><DD
 318 ><P
 319 >              When a previously signed zone is passed as input, records
 320                may be resigned.  The <TT
 321 CLASS="OPTION"
 322 >interval</TT
 323 > option
 324                specifies the cycle interval as an offset from the current
 325                time (in seconds).  If a SIG record expires after the
 326                cycle interval, it is retained.  Otherwise, it is considered
 327                to be expiring soon, and it will be replaced.
 328           </P
 329 ><P
 330 >              The default cycle interval is one quarter of the difference
 331                between the signature end and start times.  So if neither
 332                <TT
 333 CLASS="OPTION"
 334 >end-time</TT
 335 > or <TT
 336 CLASS="OPTION"
 337 >start-time</TT
 338 >
 339                are specified, <B
 340 CLASS="COMMAND"
 341 >dnssec-signzone</B
 342 > generates
 343                signatures that are valid for 30 days, with a cycle
 344                interval of 7.5 days.  Therefore, if any existing SIG records
 345                are due to expire in less than 7.5 days, they would be
 346                replaced.
 347           </P
 348 ></DD
 349 ><DT
 350 >-n <TT
 351 CLASS="REPLACEABLE"
 352 ><I
 353 >ncpus</I
 354 ></TT
 355 ></DT
 356 ><DD
 357 ><P
 358 >              Specifies the number of threads to use.  By default, one
 359                thread is started for each detected CPU.
 360           </P
 361 ></DD
 362 ><DT
 363 >-o <TT
 364 CLASS="REPLACEABLE"
 365 ><I
 366 >origin</I
 367 ></TT
 368 ></DT
 369 ><DD
 370 ><P
 371 >              The zone origin.  If not specified, the name of the zone file
 372                is assumed to be the origin.
 373           </P
 374 ></DD
 375 ><DT
 376 >-p</DT
 377 ><DD
 378 ><P
 379 >              Use pseudo-random data when signing the zone.  This is faster,
 380                but less secure, than using real random data.  This option
 381                may be useful when signing large zones or when the entropy
 382                source is limited.
 383           </P
 384 ></DD
 385 ><DT
 386 >-r <TT
 387 CLASS="REPLACEABLE"
 388 ><I
 389 >randomdev</I
 390 ></TT
 391 ></DT
 392 ><DD
 393 ><P
 394 >              Specifies the source of randomness.  If the operating
 395                system does not provide a <TT
 396 CLASS="FILENAME"
 397 >/dev/random</TT
 398 >
 399                or equivalent device, the default source of randomness
 400                is keyboard input.  <TT
 401 CLASS="FILENAME"
 402 >randomdev</TT
 403 > specifies
 404                the name of a character device or file containing random
 405                data to be used instead of the default.  The special value
 406                <TT
 407 CLASS="FILENAME"
 408 >keyboard</TT
 409 > indicates that keyboard
 410                input should be used.
 411           </P
 412 ></DD
 413 ><DT
 414 >-t</DT
 415 ><DD
 416 ><P
 417 >              Print statistics at completion.
 418           </P
 419 ></DD
 420 ><DT
 421 >-v <TT
 422 CLASS="REPLACEABLE"
 423 ><I
 424 >level</I
 425 ></TT
 426 ></DT
 427 ><DD
 428 ><P
 429 >              Sets the debugging level.
 430           </P
 431 ></DD
 432 ><DT
 433 >zonefile</DT
 434 ><DD
 435 ><P
 436 >              The file containing the zone to be signed.
 437                Sets the debugging level.
 438           </P
 439 ></DD
 440 ><DT
 441 >key</DT
 442 ><DD
 443 ><P
 444 >              The keys used to sign the zone.  If no keys are specified, the
 445                default all zone keys that have private key files in the
 446                current directory.
 447           </P
 448 ></DD
 449 ></DL
 450 ></DIV
 451 ></DIV
 452 ><DIV
 453 CLASS="REFSECT1"
 454 ><A
 455 NAME="AEN154"
 456 ></A
 457 ><H2
 458 >EXAMPLE</H2
 459 ><P
 460 >        The following command signs the <TT
 461 CLASS="USERINPUT"
 462 ><B
 463 >example.com</B
 464 ></TT
 465 >
 466         zone with the DSA key generated in the <B
 467 CLASS="COMMAND"
 468 >dnssec-keygen</B
 469 >
 470         man page.  The zone's keys must be in the zone.  If there are
 471         <TT
 472 CLASS="FILENAME"
 473 >signedkey</TT
 474 > files associated with this zone
 475         or any child zones, they must be in the current directory.
 476         <TT
 477 CLASS="USERINPUT"
 478 ><B
 479 >example.com</B
 480 ></TT
 481 >, the following command would be
 482         issued:
 483     </P
 484 ><P
 485 >        <TT
 486 CLASS="USERINPUT"
 487 ><B
 488 >dnssec-signzone -o example.com db.example.com Kexample.com.+003+26160</B
 489 ></TT
 490 >
 491     </P
 492 ><P
 493 >        The command would print a string of the form:
 494     </P
 495 ><P
 496 >        In this example, <B
 497 CLASS="COMMAND"
 498 >dnssec-signzone</B
 499 > creates
 500         the file <TT
 501 CLASS="FILENAME"
 502 >db.example.com.signed</TT
 503 >.  This file
 504         should be referenced in a zone statement in a
 505         <TT
 506 CLASS="FILENAME"
 507 >named.conf</TT
 508 > file.
 509     </P
 510 ></DIV
 511 ><DIV
 512 CLASS="REFSECT1"
 513 ><A
 514 NAME="AEN168"
 515 ></A
 516 ><H2
 517 >SEE ALSO</H2
 518 ><P
 519 >      <SPAN
 520 CLASS="CITEREFENTRY"
 521 ><SPAN
 522 CLASS="REFENTRYTITLE"
 523 >dnssec-keygen</SPAN
 524 >(8)</SPAN
 525 >,
 526       <SPAN
 527 CLASS="CITEREFENTRY"
 528 ><SPAN
 529 CLASS="REFENTRYTITLE"
 530 >dnssec-signkey</SPAN
 531 >(8)</SPAN
 532 >,
 533       <I
 534 CLASS="CITETITLE"
 535 >BIND 9 Administrator Reference Manual</I
 536 >,
 537       <I
 538 CLASS="CITETITLE"
 539 >RFC 2535</I
 540 >.
 541     </P
 542 ></DIV
 543 ><DIV
 544 CLASS="REFSECT1"
 545 ><A
 546 NAME="AEN179"
 547 ></A
 548 ><H2
 549 >AUTHOR</H2
 550 ><P
 551 >        Internet Systems Consortium
 552     </P
 553 ></DIV
 554 ></BODY
 555 ></HTML
 556 >