hardware/nsd-dnssec

hardware/nsd-dnssec

!nsd

镜像概述

NSD是一款仅提供权威解析、高性能、简洁且开源的域名服务器，本镜像基于Alpine Linux构建，集成DNSSEC功能，支持密钥管理与区域签名。

核心功能

• 轻量安全：无root进程运行
• 基于Alpine Linux，镜像体积小
• 集成最新NSD版本（4.2.1，2019年7月9日发布）
• 支持ZSK/KSK密钥管理、DS记录生成及ldns区域签名

使用场景

• 搭建企业级权威DNS服务器
• 部署支持DNSSEC的安全域名解析服务
• 构建主从架构的DNS集群

配置说明

构建时变量

• NSD_VERSION：NSD版本号
• GPG_SHORTID：GPG密钥短ID
• GPG_FINGERPRINT：签名密钥指纹
• SHA256_HASH：NSD压缩包的SHA256哈希值

暴露端口

• 53/tcp
• 53/udp（用于AXFR区域传输查询）

环境变量

部署步骤

1. 准备配置文件
   将DNS区域文件放入/mnt/docker/nsd/zones/db.domain.tld，NSD配置文件放入/mnt/docker/nsd/conf/nsd.conf。

2. 验证配置

   bash
   cd /mnt/docker/nsd
   docker run --rm -v `pwd`/zones:/zones -ti hardware/nsd-dnssec nsd-checkzone domain.tld /zones/db.domain.tld
   docker run --rm -v `pwd`/conf:/etc/nsd -ti hardware/nsd-dnssec nsd-checkconf /etc/nsd/nsd.conf
   

3. Docker Compose部署
   创建docker-compose.yml：

   yaml
   nsd:
     image: hardware/nsd-dnssec
     container_name: nsd
     ports:
       - "PUBLIC_IP_ADDRESS:53:53"
       - "PUBLIC_IP_ADDRESS:53:53/udp"
     volumes:
       - /mnt/docker/nsd/conf:/etc/nsd
       - /mnt/docker/nsd/zones:/zones
       - /mnt/docker/nsd/db:/var/db/nsd
   

   替换PUBLIC_IP_ADDRESS为你的公网IP，运行：

   bash
   docker-compose up -d
   

4. 生成DNSSEC密钥与签名区域
   生成ZSK/KSK密钥：

   bash
   docker-compose exec nsd keygen domain.tld
   

   签名区域（默认有效期1个月）：

   bash
   docker-compose exec nsd signzone domain.tld
   # 或指定有效期：
   docker-compose exec nsd signzone domain.tld 20170205220210
   

   注意：需定期更新区域序列号并重新签名，避免RRSIG记录过期。

5. 查看DS记录

   bash
   docker-compose exec nsd ds-records domain.tld
   

6. 重启服务

   bash
   docker-compose restart nsd