DNSSEC — как правильно приготовить?

Question

[Роман Данилов]

Несколько практических вопросов по поводу практического — не побоюсь тавтологии — применения DNSSEC:
1. Можно ли использовать DNSSEC-based SSL не только для веба, а например, для POP3 и SMTP, и если да, то как?
2. У меня есть подписанный домен второго уровня с делегированным доменом третьего уровня — как подписать последний?
3. Порекомендуйте DNS-хостинг на основе BIND9 и возможными удобствами типа проверки серийного номера, калькуляторов для обратных зон, IPv6 glue и т п; Вы поняли, что хочу вручную править файлы зон, чтобы можно было добавлять всякие записи экзотических типов — вида TYPEnnn? Желательно бесплатный или недорогой.

Вопрос навеян вот какими постами:
habrahabr.ru/post/138490/
habrahabr.ru/company/webnames/blog/171177/

Comments

[Салават Ситдиков]

Не расскажете как решили этот вопрос? или не решили?

Answer 1

[karkarramba]

1. Явно об этом не говорится, но dkim и dmarc вполне себе подписываются в рамках DNSSec;
2. Создать ключи, подписать, засунуть DS-запись в домен второго уровня, переподписать последний.

Comments

[Роман Данилов]

1. Можно поподробней о том, как подписанное доменной зоной письмо поможет защитить соединение MTA-MUA?
2. В целом ход мыслей ясен; потыркаюсь чтобы добить конкретику, спасибо.

Answer 2

[karkarramba]

1. MTA-MUA — никак, насколько я понимаю дела почтовые, то это скорее для MTA-MTA.
У DNSSec вообще все довольно плохо, когда речь заходит о конечных клиентах.
2. Все абсолютно точно так же, как и для доменов второго уровня.

Comments

[Роман Данилов]

1. Ну как бы MTA-MTA по POP3 over SSL — это fetchmail? Но зачем сейчас такая экзотика? Мне как раз клиентов защищать интересно.
2. Для доменов второго уровня первый док, который прочёл, был www.dnssec.ru/ru/delegate_new.php — немного аскетично написано. Поэтому и возникли вопросы.

[karkarramba]

1. Постойте, разве POP3 — это как раз не MTA-MUA? Там DNSSec никаким боком не прикрутить. Пока что. Да и вообще вместо него лучше пользоваться IMAP'ом.
2. Для зон третьего уровня все так же, только DS суется в родительскую зону второго уровня.