BIND 9のdnssec-lookasideの設定。

BIND 9（9.14.1）の named.conf をいじってるんですが、named-checkconf をかけると次のメッセージが出てきます。

# named-checkconf
/etc/named.conf:10: dnssec-lookaside 'auto' is no longer supported

え、どういうこと？と思って調べてるんですが…。

9.12.0 のリリースノートに以下の記述がありました。

The ISC DNSSEC Lookaside Validation (DLV) service has been shut down; all DLV records in the dlv.isc.org zone have been removed. References to the service have been removed from BIND documentation. Lookaside validation is no longer used by default by delv. The DLV key has been removed from bind.keys. Setting dnssec-lookaside to auto or to use dlv.isc.org as a trust anchor results in a warning being issued.

ISC.org の DNSSEC Lookaside Validation（DLV）サービスが停止されて、dlv.isc.org にあるすべての DLV レコードが削除されたので、dnssec-lookaside autoしたり dlv.isc.org を trust anchor に指定すると、警告が出ますよ、と。

BIND 9.12.0 は 2018年1月にリリースされています。それに先駆けて、上記のサービスが2017年9月30日に停止されています。ISC's DNSSEC Look-aside Validation Registry。

要するに、trust anchor を別のところに設定すればいいということだと思うのですが、一応参考までに最新のトラストアンカーによるDNS検証リゾルバの更新。