Depuis bind 9.7 bind signe la zone tout seul et depuis 9.9 (cette version est dans jessie) le processus est complètement transparent vis a vis du fichier de zone. Tu modifie le fichier de zone comme si la zone n'etait pas signée et bind s'occupe tout seul de publier ou retirer les clefs et de signer ou re-signer la zone quand il y en à besoin. Il faut juste effectivement générer les clefs a intervalle regulier (ou en avance) pour assurer la rotation des ksk ou des zsk. https://github.com/nitmir/bind-dnssec s'occupe de generer les clefs automatiquement par exemple. le lien que tu donnes pour bind est complètement outdated, sauf si tu veux garder les clefs hors ligne, auquel cas, bind ne peut pas signer la zone tout seul vu qu'il n'a pas accès aux clefs. C'est dommage que ton lien sur knot ne parle pas de la rotation des ksk, c'est la seule opération apres la configuration initiale encore non automatisable dans la gestion de dnssec... Le 10 mai 2018 15:14:37 GMT+02:00, Gabriel Detraz <detraz(a)crans.org> a écrit : -- Valentin Samir

Sauf erreur de ma part, bind permet aussi de signer des zones automatiquement (je crois que j'ai même un pendant un certain temps un setup comme ça pour ma zone perso). Mais dans tous les cas, depuis que j'ai testé knot et unbound, je n'ai plus envie d'utiliser bind. Déjà, knot et unbound ne font qu'un seul truc par processus, respectivement servir une zone et résoudre des noms de domaines (récursivement) au lieu d'avoir les deux ensembles. Leur conf est beaucoup plus propre à mes yeux (c'est du YAML dans les deux cas, c'est un peu chiant niveau indentation mais on n'a pas tout qui merde pour un point-virgule oublié) et les deux fonctionnalités ne sont pas dans les mêmes fichiers de conf. Et niveau sécurité, on a moins souvent des failles importantes pour lesquelles il faut màj rapidement dans les deux que dans bind (en même temps, ils n'ont pas de legacy d'il y a 15 ans, ça aide probablement…) Si vous utilisez knot sous stretch, je crois qu'il vaut mieux prendre la version des backports. Juste que ce soit clair, on ne parle que de knot ici, pas de knot-resolver qui fait comme unbound des résolutions récursives (je ne l'ai jamais testé, donc je n'ai pas d'avis dessus). Et powerDNS est aussi a priori plus pratique que bind et bien séparé en deux process, mais je n'ai pas d'expérience avec DNSSEC et powerdns. Le 10 mai 2018 à 15:14, Gabriel Detraz <detraz(a)crans.org> a écrit :