home *** CD-ROM | disk | FTP | other *** search
/ SGI Freeware 1998 June / SGI Freeware 1998 June.iso / dist / fw_bind.idb / usr / freeware / catman / u_man / cat1 / dnssigner.1.z / dnssigner.1
Text File  |  1998-05-26  |  7KB  |  127 lines
  1. DNSSIGNER(1)                 BSD Reference Manual                 DNSSIGNER(1)
  2.  
  3. NNAAMMEE
  4.      ddnnssssiiggnneerr - add signatures to DNS zone files
  5.  
  6. SSYYNNOOPPSSIISS
  7.      ddnnssssiiggnneerr [ssiiggnneerr--nnaammee _d_e_f_a_u_l_t___s_i_g_n_e_r] [bboooott--ffiillee _f_i_l_e] [ddeebbuugg--ffiillee _f_i_l_e]
  8.                [oouutt--ddiirr _d_i_r_e_c_t_o_r_y] [sseeqq--nnoo _n_u_m_b_e_r] [eexxppiirraattiioonn--ttiimmee [(++ |
  9.                ==)]_t_i_m_e] [hhiiddee] [nnooaaxxffrr] [nnoossiiggnn] [vveerriiffyy] [uuppddaattee--zzoonneekkeeyy]
  10.                [--dd_l_e_v_e_l]
  11.  
  12. DDEESSCCRRIIPPTTIIOONN
  13.      DDnnssssiiggnneerr (Sign DNS zone database) is a tool to generate signatures for
  14.      DNS (Domain Name System) resource records.  It also generates NXT records
  15.      for each zone.
  16.  
  17.      ssiiggnneerr--nnaammee _d_e_f_a_u_l_t___s_i_g_n_e_r
  18.                  Specifies a name of the key to use if no signer is defined
  19.                  using the $SIGNER directive in the boot files.
  20.  
  21.      bboooott--ffiillee _f_i_l_e
  22.                  Specifies the control file for ddnnssssiiggnneerr, which is in the
  23.                  same format as the BIND-4 _n_a_m_e_d_._b_o_o_t file.
  24.  
  25.      ddeebbuugg--ffiillee _f_i_l_e
  26.                  Redirect debug output to the specified _f_i_l_e; default is
  27.                  _s_i_g_n_e_r___o_u_t in the current directory.
  28.  
  29.      oouutt--ddiirr _d_i_r_e_c_t_o_r_y
  30.                  Write signed files to thie specified _d_i_r_e_c_t_o_r_y; default is to
  31.                  use _/_t_m_p.
  32.  
  33.                  NNOOTTEE: Specify the full path to this directory; relative paths
  34.                  may not work.
  35.  
  36.      eexxppiirraattiioonn--ttiimmee [(++ | ==)] _t_i_m_e
  37.                  Time when the signature records are to expire.  Using either
  38.                  ``=='' or _n_o sign before the _t_i_m_e argument (i.e., ``[==]
  39.                  _t_i_m_e''), the _t_i_m_e is interpreted as an absolute time in sec-
  40.                  onds when the records will expire.  (NNOOTTEE:  All such times
  41.                  are interpreted as Universal Times.) With ``++'' specified
  42.                  (i.e., ``++_t_i_m_e''), the _t_i_m_e time is interpreted as an offset
  43.                  into the future.
  44.  
  45.                  If not specified on the command line, the default eexxppiirraattiioonn--
  46.                  ttiimmee is 3600*24*30 sec (30 days).
  47.  
  48.      sseeqq--nnoo _n_u_m_b_e_r
  49.                  Force the serial number in the SOA records to the specified
  50.                  value.  If this parameter is not set, the serial number will
  51.                  be set to a value based on the current time.
  52.  
  53.      hhiiddee        This flag will cause NXT records in zones with wildcard
  54.                  records to point to *.<zone> as the next host. The purpose of
  55.                  this flag is to hide all information about valid names in a
  56.                  zone.
  57.  
  58.      nnooaaxxffrr      Turn of generation of zone transfer signature records, which
  59.                  validate the transfer of an entire zone.
  60.  
  61.      nnoossiiggnn      When this flag is specified, the boot files are read, NXT
  62.                  records are generated and zone file is written to the output
  63.                  directory. No SIG records are generated. This flag is useful
  64.                  for quickly checking the format of the data in the boot
  65.  
  66.                  files, and to have boot files sorted into DNSSEC order.
  67.  
  68.      vveerriiffyy      When this flag is present, ddnnssssiiggnneerr will verify all signed
  69.                  records and print out a confirmation message for each SIG
  70.                  verified. The main use of this flag is to see how long it
  71.                  takes to generate each signature.
  72.  
  73.      uuppddaattee--zzoonneekkeeyy
  74.                  If this flag is specified, then the zonekeys used to sign
  75.                  files will be updated with new records.  Specify this flag if
  76.                  one or more of the keys have been updated.  If there are no
  77.                  zonekeys specified in the boot files, this flag will insert
  78.                  them. Omitting zonekeys will cause primary nameservers to re-
  79.                  ject the zone.
  80.  
  81.      --dd_l_e_v_e_l     Debug level to use for running ddnnssssiiggnneerr; these levels are
  82.                  the same as those used by NAMED(8)
  83.  
  84.    DDEETTAAIILLSS
  85.      DDnnssssiiggnneerr reads BIND-4 _n_a_m_e_d_._b_o_o_t and zone files, adds SIG and NXT
  86.      records and writes out the records (to one file per zone, regardless of
  87.      how many include files the original zone was in).  The files generated by
  88.      ddnnssssiiggnneerr are ordinary textual zone files and are then normally loaded by
  89.      NAMED(8) to serve the zone.  DDnnssssiiggnneerr rreeqquuiirreess tthhaatt tthhee PPRRIIVVAATTEE kkeeyy((ss))
  90.      rreessiiddee iinn tthhee iinnppuutt ddiirreeccttoorryy.
  91.  
  92.      Making manual changes to the output files is hazardous, because most
  93.      changes will invalidate one or more signatures contained therein.  This
  94.      will cause the zone to fail to load into NAMED(8),  or will cause subse-
  95.      quent failures in retrieving records from the zone.  It is far better to
  96.      make changes in ddnnssssiiggnneerr''ss input files, and rerun ddnnssssiiggnneerr.
  97.  
  98.      When ddnnssssiiggnneerr detects a delegation point, it creates a special file
  99.      _<_z_o_n_e___n_a_m_e_>_._P_A_R_E_N_T which contains the RR's the parent zone signs for the
  100.      child zone (NS, KEY, NXT). The intent is that the child will include this
  101.      file when loading primary nameservers.  Similarly, each zone file ends
  102.      with the ``#include <zone_name>.PARENT'' command.  The records in the
  103.      _._P_A_R_E_N_T files are omitted from the SIG(AXFR) calculations as these
  104.      records usualy are on a different signing cycle.
  105.  
  106.      The ``$SIGNER [_k_e_y_n_a_m_e]'' directive can be used to change signers in a
  107.      zone.  If _k_e_y_n_a_m_e is omitted, signing is turned off.  Keys are loaded the
  108.      first time the keys are accessed.  Only records that are signed by the
  109.      zone signer (the key that signs the SOA) are included in the SIG(AXFR)
  110.      calculation.  It is not generally recommended that multiple keys sign
  111.      records in the same zone, unless this is useful for dynamic updates.
  112.  
  113. EENNVVIIRROONNMMEENNTT
  114.      No environmental variables are used.
  115.  
  116. SSEEEE AALLSSOO
  117.      NAMED(8),  RSAREF documentation, Internet-Draft _d_r_a_f_t_-_i_e_t_f_-_d_n_s_s_e_c_-
  118.      _s_e_c_e_x_t_-_1_0_._t_x_t on Secure DNS, or its successor.
  119.  
  120. AAUUTTHHOORR
  121.      Olafur Gudmundsson (ogud@tis.com)
  122.  
  123. AACCKKNNOOWWLLEEDDGGMMEENNTTSS
  124.      The underlying crypto math is done by the RSAREF or BSAFE libraries.
  125.  
  126. 4th Berkeley Distribution      October 25, 1996                              2
  127.