'\" te

.\" Copyright (C) 2010 Internet Systems Consortium, Inc. ("ISC")

.\" Permission to use, copy, modify, and/or distribute this software for any purpose with or without fee is hereby granted, provided that the above copyright notice and this permission notice appear in all copies. THE SOFTWARE IS PROVIDED "AS IS" AND ISC DISCLAIMS ALL WARRANTIES WITH REGARD TO THIS SOFTWARE INCLUDING ALL IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS. IN NO EVENT SHALL ISC BE LIABLE FOR ANY SPECIAL, DIRECT, INDIRECT, OR CONSEQUENTIAL DAMAGES OR ANY DAMAGES WHATSOEVER RESULTING FROM LOSS OF USE, DATA OR PROFITS, WHETHER IN AN ACTION OF CONTRACT, NEGLIGENCE OR OTHER TORTIOUS ACTION, ARISING OUT OF OR IN CONNECTION WITH THE USE OR PERFORMANCE OF THIS SOFTWARE.

.\" Portions Copyright (c) 2010, Sun Microsystems, Inc. All Rights Reserved.

.SH 名称

dnssec-keygen \- DNSSEC 密钥生成工具

.SH 用法概要

.LP

.nf

\fBdnssec-keygen\fR \fB-a\fR \fIalgorithm\fR \fB-b\fR \fIkeysize\fR \fB-n\fR \fInametype\fR [\fB-ehk\fR] 

     [\fB-c\fR \fIclass\fR] [\fB-f\fR \fIflag\fR] [\fB-g\fR \fIgenerator\fR] [\fB-p\fR \fIprotocol\fR] 

     [\fB-r\fR \fIrandomdev\fR] [\fB-s\fR \fIstrength\fR] [\fB-t\fR \fItype\fR] [\fB-v\fR \fIlevel\fR] \fIname\fR

.fi

.SH 描述

.sp

.LP

\fBdnssec-keygen\fR 实用程序为 DNSSEC（安全 DNS）生成密钥，如 RFC 2535 和 RFC 4034 中定义的那样。它还可以生成与 TSIG（Transaction Signature，事务签名）一起使用的密钥，如 RFC 2845 中定义的那样。

.SH 选项

.sp

.LP

支持以下选项：

.sp

.ne 2

.mk

.na

\fB\fB-a\fR \fIalgorithm\fR\fR

.ad

.sp .6

.RS 4n

选择加密算法。algorithm 的值必须是 RSAMD5 (RSA) 或 RSASHA1 之一、DSA、NSEC3RSASHA1、NSEC3DSA、\fBDH\fR (Diffie-Hellman) 或 HMAC-MD5。这些值不区分大小写。

.sp

对于 DNSSEC，RSASHA1 是强制实现的算法；DSA 是建议的算法。对于 TSIG，HMAC-MD5 是强制算法。

.LP

注 - 

.sp

.RS 2

HMAC-MD5 和 DH 自动设置 \fB-k\fR 标志。

.RE

.RE

.sp

.ne 2

.mk

.na

\fB\fB-b\fR \fIkeysize\fR\fR

.ad

.sp .6

.RS 4n

指定密钥中的位数。密钥大小的选择取决于使用的算法。RSAMD5 和 RSASHA1 密钥必须在 512 和 2048 位之间。Diffie-Hellman 密钥必须在 128 和 4096 位之间。DSA 密钥必须在 512 和 1024 位之间，并且必须是 64 的整数倍。HMAC-MD5 密钥必须在 1 位和 512 位之间。

.RE

.sp

.ne 2

.mk

.na

\fB\fB-c\fR \fIclass\fR\fR

.ad

.sp .6

.RS 4n

表明包含密钥的 DNS 记录应该具有指定类。如果没有指定，将使用类 IN。

.RE

.sp

.ne 2

.mk

.na

\fB\fB-e\fR\fR

.ad

.sp .6

.RS 4n

如果生成 RSAMD5 或 RSASHA1 密钥，则使用大指数。

.RE

.sp

.ne 2

.mk

.na

\fB\fB-f\fR \fIflag\fR\fR

.ad

.sp .6

.RS 4n

在 KEY/DNSKEY 记录的标志字段中设置指定的标志。唯一识别的标志是 KSK（Key Signing Key，密钥签名密钥）DNSKEY。

.RE

.sp

.ne 2

.mk

.na

\fB\fB-g\fR \fIgenerator\fR\fR

.ad

.sp .6

.RS 4n

如果生成 Diffie Hellman 密钥，则使用此 \fIgenerator\fR。允许的值是 2 和 5。如果没有指定 generator，则将使用 RFC 2539 中的已知索数（如果可能）；否则，缺省值是 2。

.RE

.sp

.ne 2

.mk

.na

\fB\fB-h\fR\fR

.ad

.sp .6

.RS 4n

列出 \fBdnssec-keygen\fR 的选项和参数的简短摘要。

.RE

.sp

.ne 2

.mk

.na

\fB\fB-k\fR\fR

.ad

.sp .6

.RS 4n

生成 KEY 记录，而不是 DNSKEY 记录。

.RE

.sp

.ne 2

.mk

.na

\fB\fB-n\fR \fInametype\fR\fR

.ad

.sp .6

.RS 4n

指定密钥的所有者类型。\fInametype\fR 的值必须是 \fBZONE\fR（对于 DNSSEC 区域密钥 (KEY/DNSKEY)）、\fBHOST\fR 或 \fBENTITY\fR（对于与主机相关的密钥 (KEY)）、USER（对于与用户相关的密钥 (KEY)）或 \fBOTHER\fR (DNSKEY)。这些值不区分大小写。缺省值是 ZONE（用于生成 DNSKEY）。

.RE

.sp

.ne 2

.mk

.na

\fB\fB-p\fR \fIprotocol\fR\fR

.ad

.sp .6

.RS 4n

为生成的密钥设置协议值。\fIprotocol\fR 参数是 0 到 255 之间的数字。缺省值是 3 (DNSSEC)。在 RFC 2535 及其后续版本中列出了此参数的其他可能值。

.RE

.sp

.ne 2

.mk

.na

\fB\fB-r\fR \fIrandomdev\fR\fR

.ad

.sp .6

.RS 4n

指定随机源。如果操作系统不提供 \fB/dev/random\fR 或等效设备，则缺省的随机源是键盘输入。\fIrandomdev\fR 指定字符设备的名称或包含要使用的随机数据的文件（而非缺省文件）。特殊值 "\fBkeyboard\fR" 表示应该使用键盘输入。

.RE

.sp

.ne 2

.mk

.na

\fB\fB-s\fR \fIstrength\fR\fR

.ad

.sp .6

.RS 4n

指定密钥的强度值。\fIstrength\fR 参数是 0 到 15 之间的数字，且当前尚未在 DNSSEC 中定义其用途。

.RE

.sp

.ne 2

.mk

.na

\fB\fB-t\fR \fItype\fR\fR

.ad

.sp .6

.RS 4n

表明密钥的用途。\fBtype\fR 必须是 \fBAUTHCONF\fR、\fBNOAUTHCONF\fR、\fBNOAUTH\fR 或 \fBNOCONF\fR 之一。缺省值是 \fBAUTHCONF\fR。\fBAUTH\fR 指的是验证数据的能力，\fBCONF\fR 指的是加密数据的能力。

.RE

.sp

.ne 2

.mk

.na

\fB\fB-v\fR \fIlevel\fR\fR

.ad

.sp .6

.RS 4n

设置调试级别。

.RE

.SH 生成的密钥

.sp

.LP

当 \fBdnssec-keygen\fR 成功完成时，会向标准输出中输出 \fBK\fInnnn\fR.+\fIaaa\fR+\fIiiiii\fR\fR 格式的字符串。这是其生成的密钥的标识字符串。

.RS +4

.TP

.ie t \(bu

.el o

\fInnnn\fR 是密钥名称。

.RE

.RS +4

.TP

.ie t \(bu

.el o

\fIaaa\fR 是算法的数字表示。

.RE

.RS +4

.TP

.ie t \(bu

.el o

\fIiiiii\fR 是密钥标识符（或足迹）。

.RE

.sp

.LP

\fBdnssec-keygen\fR 实用程序创建两个文件，并根据列出的字符串命名这两个文件。 

.RS +4

.TP

.ie t \(bu

.el o

\fBK\fR\fInnnn\fR.+\fIaaa\fR+\fIiiiii\fR.\fBkey\fR 包含公钥。

.RE

.RS +4

.TP

.ie t \(bu

.el o

\fBK\fR\fInnnn\fR.+\fIaaa\fR+\fIiiiii\fR.\fBprivate\fR 包含私钥。

.RE

.sp

.LP

\fB\&.key\fR 文件包含 DNS \fBKEY\fR 记录，该记录可以直接插入到区域文件，也可以使用 \fB$INCLUDE\fR 语句插入。

.sp

.LP

\fB\&.private\fR 文件包含算法特定的字段。出于安全原因，此文件不具有一般读取权限。

.sp

.LP

对于对称加密算法（如 HMAC-MD5），将生成 \fB\&.key\fR 和 \fB\&.private\fR 文件，即使公钥和私钥等效也如此。

.SH 示例

.LP

\fB示例 1 \fR生成 768 位 DSA 密钥

.sp

.LP

要为域 \fBexample.com\fR 生成 768 位 DSA 密钥，则将发出以下命令：

.sp

.in +2

.nf

dnssec-keygen -a DSA -b 768 -n ZONE example.com

.fi

.in -2

.sp

.sp

.LP

该命令将列出以下格式的字符串：

.sp

.in +2

.nf

Kexample.com.+003+26160

.fi

.in -2

.sp

.sp

.LP

将创建以下文件：

.sp

.in +2

.nf

Kexample.com.+003+26160.key

Kexample.com.+003+26160.private

.fi

.in -2

.sp

.SH 属性

.sp

.LP

有关下列属性的说明，请参见 \fBattributes\fR(5)：

.sp

.sp

.TS

tab() box;

cw(2.75i) |cw(2.75i) 

lw(2.75i) |lw(2.75i) 

.

属性类型属性值

_

可用性service/network/dns/bind

_

接口稳定性Volatile（可变）

.TE

.SH 另请参见

.sp

.LP

.sp

.LP

\fIRFC 2539\fR、\fIRFC 2845\fR、\fIRFC 4033\fR

.sp

.LP

请参见《\fIBIND 9 管理员参考手册\fR》。从本手册页发布之日起，将在 https://www.isc.org/software/bind/documentation 上提供该文档。