ניהול ההגדרה של DNSSEC

בדף הזה מוסבר איך להפעיל ולהשבית תוספי אבטחה של DNS ‏ (DNSSEC) באזורי Cloud DNS, ואיך לאמת את הפריסה של DNSSEC. הפעלת DNSSEC עוזרת להגן על הדומיינים מפני זיופי DNS והתקפות של הרעלת מטמון.

סקירה כללית של DNSSEC זמינה במאמר DNSSEC overview.

הפעלה של DNSSEC לתחומים ציבוריים מנוהלים קיימים

כדי להפעיל DNSSEC באזורים ציבוריים מנוהלים קיימים, פועלים לפי השלבים הבאים.

המסוף

  1. נכנסים לדף Cloud DNS במסוף Google Cloud .

    מעבר אל Cloud DNS

  2. לוחצים על שם האזור שרוצים להפעיל בו DNSSEC.

  3. בדף פרטי האזור, לוחצים על עריכה.

  4. בדף Edit a DNS zone (עריכת תחום DNS), לוחצים על DNSSEC.

  5. בקטע DNSSEC, בוחרים באפשרות On (מופעל).

  6. לוחצים על Save.

המצב של DNSSEC שנבחר לאזור מוצג בעמודה DNSSEC בדף Cloud DNS.

gcloud

מריצים את הפקודה הבאה:

gcloud dns managed-zones update EXAMPLE_ZONE \
    --dnssec-state on

מחליפים את EXAMPLE_ZONE במזהה האזור.

Terraform 

resource "google_dns_managed_zone" "example" {
  name        = "example-zone-name"
  dns_name    = "example.com."
  description = "Example Signed Zone"
  dnssec_config {
    state = "on"
  }
}

הפעלת DNSSEC כשיוצרים אזורים

כדי להפעיל DNSSEC כשיוצרים אזור, מבצעים את השלבים הבאים.

המסוף

  1. נכנסים לדף Cloud DNS במסוף Google Cloud .

    מעבר אל Cloud DNS

  2. לוחצים על יצירת אזור.

  3. בשדה Zone name, מזינים שם.

  4. בשדה DNS name, מזינים שם.

  5. בקטע DNSSEC, בוחרים באפשרות On (מופעל).

  6. אופציונלי: מוסיפים תיאור.

  7. לוחצים על יצירה.

    יצירת תחום חתום ב-DNSSEC

gcloud

מריצים את הפקודה הבאה:

gcloud dns managed-zones create EXAMPLE_ZONE \
    --description "Signed Zone" \
    --dns-name myzone.example.com \
    --dnssec-state on

מחליפים את EXAMPLE_ZONE במזהה האזור.

אימות הפריסה של DNSSEC

כדי לוודא שהפריסה של האזור שמופעל בו DNSSEC תקינה, צריך לוודא שרשומת ה-DS הנכונה ממוקמת באזור האב. רזולוציית DNSSEC עלולה להיכשל אם מתרחש אחד מהמקרים הבאים:

  • ההגדרה שגויה או שהקלדתם אותה בצורה לא נכונה.
  • הצבת רשומת DS שגויה באזור ההורה.

כדי לוודא שההגדרה שלכם נכונה ולבדוק את רשומת ה-DS לפני שמוסיפים אותה לאזור האב, אפשר להשתמש בכלים הבאים:

אתם יכולים להשתמש באתרים של Verisign DNSSEC debugger ו-Zonemaster כדי לאמת את הגדרת ה-DNSSEC לפני שאתם מעדכנים את הרשם עם שרתי השמות של Cloud DNS או עם רשומת ה-DS. דומיין שמוגדר בצורה נכונה ל-DNSSEC הוא example.com, וניתן לראות אותו באמצעות DNSViz.

הגדרות מומלצות של TTL לאזורים עם חתימת DNSSEC

TTL הוא אורך החיים (בשניות) של אזור שחתום ב-DNSSEC.

בניגוד לתפוגה של TTL, שהיא יחסית לזמן שבו שרת שמות שולח תגובה לשאילתה, התפוגה של חתימות DNSSEC היא בזמן מוחלט קבוע. הגדרת ערכי TTL ארוכים יותר ממשך החיים של החתימה עלולה לגרום לכך שהרבה לקוחות יבקשו רשומות באותו זמן שבו פג תוקף החתימה של DNSSEC. ערכי TTL קצרים עלולים לגרום לבעיות גם בפתרון שמות שמאמתים DNSSEC.

המלצות נוספות לגבי בחירת TTL זמינות ב-RFC 6781 סעיף 4.4.1 Time Considerations וב-RFC 6781 Figure 11.

כשקוראים את סעיף 4.4.1 ב-RFC 6781, חשוב לזכור שפרמטרים רבים של חתימת זמן קבועים על ידי Cloud DNS ואי אפשר לשנות אותם. אי אפשר לשנות את הפרמטרים הבאים (הם כפופים לשינויים ללא הודעה מוקדמת או עדכון של המסמך הזה):

  • ההפרש ממועד ההקמה = יום אחד
  • תקופת התוקף = 21 ימים
  • תקופת החתימה מחדש = 3 ימים
  • תקופת הרענון = 18 ימים
  • מרווח התנודות = חצי יום (או ‎±6 שעות)
  • תוקף חתימה מינימלי = רענון – תנודות = 17.75 ימים = 1533600

אסור להשתמש בערך TTL ארוך יותר מתוקף החתימה המינימלי.

השבתת DNSSEC לתחומים מנוהלים

אחרי שמסירים את רשומות ה-DS וממתינים עד שהתוקף שלהן יפוג במטמון, אפשר להשתמש בפקודה gcloud הבאה כדי להשבית את DNSSEC:

gcloud dns managed-zones update EXAMPLE_ZONE \
    --dnssec-state off

מחליפים את EXAMPLE_ZONE במזהה האזור.

המאמרים הבאים