DNS zaprojektowano tak, by ufał każdej odpowiedzi, która nadejdzie pierwsza. DNSSEC dodaje do rekordów DNS podpisy, dzięki którym resolvery mogą sprawdzić, że odpowiedź naprawdę pochodzi od właściciela domeny i nie została zmieniona po drodze. Rejestratorzy i panele hostingowe sprawiają dziś, że konfiguracja DNSSEC wygląda jak jeden przełącznik, i dla domen obsługiwanych przez dużego dostawcę DNS często tak jest. Gdy firma prowadzi własny autorytatywny serwer DNS albo przenosi domeny między dostawcami, kilka szczegółów decyduje o tym, czy DNSSEC Cię chroni, czy wyłącza Twoją domenę. Ten poradnik omawia te szczegóły prostym językiem.

Czym jest DNSSEC i czego nie robi

Czym jest DNSSEC w praktyce? Rekordy w strefie są podpisywane kluczem prywatnym, a pasujący klucz publiczny jest publikowany w samej strefie. Odcisk tego klucza, rekord DS, trafia do strefy nadrzędnej, na przykład .com, za pośrednictwem rejestratora. Walidujące resolvery idą wzdłuż tego łańcucha zaufania od korzenia w dół i odrzucają odpowiedzi, których podpisy się nie zgadzają. Chroni to przed zatruwaniem pamięci podręcznej i sfałszowanymi odpowiedziami, które mogłyby skierować odwiedzających lub pocztę na niewłaściwy serwer.

DNSSEC nie szyfruje ruchu DNS, nie ukrywa, jakie nazwy są wyszukiwane, i nie zastępuje HTTPS. Nie pomoże też, jeśli ktoś włamie się na konto rejestratora lub DNS, więc silne hasła i uwierzytelnianie dwuskładnikowe tam znaczą więcej niż jakikolwiek protokół.

Jak krok po kroku przebiega konfiguracja DNSSEC

  1. Podpisz strefę na autorytatywnym serwerze, co tworzy klucze i podpisy.
  2. Sprawdź, czy podpisane odpowiedzi pochodzą z każdego serwera nazw domeny, w tym z dodatkowych.
  3. Opublikuj rekord DS u rejestratora. Do tego kroku nic nie jest walidowane, więc błędy w pierwszych dwóch krokach są nieszkodliwe.
  4. Zweryfikuj łańcuch przez dig +dnssec lub delv względem walidującego resolvera albo przez internetowy analizator DNSSEC.
  5. Monitoruj od tej pory wygasanie podpisów i zmiany kluczy.

Kolejność ma znaczenie. Opublikowanie rekordu DS dla strefy, która nie jest poprawnie podpisana na każdym serwerze nazw, sprawia, że walidujące resolvery całkowicie odrzucają domenę.

BIND dnssec-policy i PowerDNS DNSSEC

W obecnych wydaniach BIND 9 podpisywaniem steruje polityka. Dodanie do strefy instrukcji BIND dnssec-policy, a wbudowana polityka domyślna to dobry początek, sprawia, że BIND tworzy klucze, podpisuje strefę i automatycznie podpisuje ją ponownie. Polityka domyślna używa jednego połączonego klucza podpisującego z algorytmem ECDSA P-256, algorytm 13, co utrzymuje małe odpowiedzi. Przewodnik DNSSEC dla BIND omawia szczegóły, w tym to, jak BIND może sprawdzić w strefie nadrzędnej rekord DS, zanim przejdzie dalej ze zmianą klucza. Jak przy każdej zmianie konfiguracji BIND, przed przeładowaniem uruchom kontrole konfiguracji. Podpisywanie stref na serwerach BIND lub PowerDNS jest częścią naszej pracy nad konfiguracją serwerów DNS.

PowerDNS DNSSEC działa inaczej, bo strefy żyją w bazie danych. Narzędzie pdnsutil zabezpiecza strefę i wypisuje rekordy DS do przekazania rejestratorowi, a PowerDNS podpisuje odpowiedzi w trakcie ich serwowania. Dodatkowe serwery nazw wymagają uwagi w obu produktach. Jeśli serwer dodatkowy otrzymuje strefę przez transfer strefy, musi serwować wersję podpisaną; serwer dodatkowy, który buduje strefę samodzielnie, zwraca odpowiedzi niepodpisane i psuje walidację części Twoich odwiedzających.

Co powoduje błąd walidacji DNSSEC

Gdy DNSSEC się psuje, domena nie wygląda na wolną ani częściowo błędną. Dla użytkowników za walidującymi resolverami, do których należy wiele dużych publicznych resolverów i dostawców internetu, po prostu przestaje się rozwiązywać: strony, poczta i wszystko inne w domenie. Zwykłe przyczyny:

  • Wygasłe podpisy. Podpisy mają datę ważności. Jeśli podpisywanie ustanie, na przykład dlatego, że serwer odbudowano bez jego kluczy, strefa działa do wygaśnięcia podpisów, a potem zawodzi naraz.
  • Rotacja kluczy DNSSEC wykonana w złej kolejności. Wymiana klucza podpisującego klucze oznacza opublikowanie nowego rekordu DS we właściwym momencie i usunięcie starego dopiero po wygaśnięciu pamięci podręcznych. Domyślna polityka BIND unika rutynowych rotacji tego klucza, co jest jednym z powodów, dla których pasuje małym organizacjom.
  • Zmiana dostawcy DNS przy włączonym DNSSEC. Nowy dostawca podpisuje innymi kluczami, podczas gdy rejestrator nadal trzyma stary rekord DS.
  • Serwery dodatkowe, które serwują dane niepodpisane, jak opisano wyżej.

Bezpieczne przenoszenie lub wyłączanie DNSSEC

Aby przenieść podpisaną domenę do innego hosta DNS, najprostszą bezpieczną drogą jest najpierw przejście na niepodpisaną. Usuń rekord DS u rejestratora, poczekaj, aż czas życia starego rekordu DS minie wszędzie, co w wielu domenach najwyższego poziomu wynosi około doby, potem przenieś domenę, podpisz ją u nowego dostawcy i opublikuj nowy rekord DS. Niektórzy dostawcy wspierają płynniejszy transfer z oboma zestawami kluczy na miejscu, ale tylko jeśli obie strony współpracują. BIND ma z tego samego powodu wbudowaną politykę insecure: cofa strefę do niepodpisanej w bezpiecznych krokach, gdy strefa nadrzędna nie wskazuje już jej kluczy.

Ta sama ostrożność dotyczy rozwiązywania nazw domen wewnątrz sieci biurowej. Jeśli Twój lokalny resolver waliduje DNSSEC, zepsuta domena gdzie indziej zawodzi też dla Twoich pracowników, a wyłączenie walidacji, żeby to "naprawić", odbiera ochronę dla każdej innej domeny.

Najczęściej zadawane pytania: konfiguracja DNSSEC

Czy mała firma potrzebuje DNSSEC?

Warto go mieć tam, gdzie dostawca DNS i rejestrator obsługują go automatycznie. Jeśli prowadzisz własne serwery nazw, włącz go, gdy będą gotowe monitoring i spisana procedura zmian dostawcy, bo błąd dotyka całej domeny.

Skąd wziąć rekord DS?

Z serwera DNS lub od dostawcy, który podpisuje strefę. Następnie wpisujesz go u rejestratora, który przekazuje go do strefy nadrzędnej. Jeśli host DNS i rejestrator to ta sama firma, często dzieje się to automatycznie.

Czy DNSSEC spowalnia moją stronę?

Nie w zauważalny sposób. Odpowiedzi są nieco większe, a resolvery robią trochę więcej pracy, ale odpowiedzi są buforowane jak każde inne dane DNS, a nowoczesne klucze oparte na krzywych eliptycznych utrzymują narzut na małym poziomie.

Planujesz podpisać swoje domeny albo przenieść podpisane domeny między hostami DNS? Nasza usługa konfiguracji i zarządzania serwerami DNS obejmuje serwery BIND i PowerDNS, serwery dodatkowe, rekordy MX, SPF, DKIM i DMARC oraz DNSSEC dla firm w Los Angeles i poza nim. W sprawie firewalli i dostępu zdalnego zobacz naszą usługę konfiguracji sieci, VPN i bezpieczeństwa. Skontaktuj się z nami, podając listę swoich domen i miejsce, w którym ich DNS jest dziś hostowany.