Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

DNSSEC-fähige Zonen migrieren oder übertragen

Auf dieser Seite wird beschrieben, wie Sie eine DNSSEC-fähige Zone, die beim Domain-Registrar aktiviert ist, zwischen Cloud DNS und anderen DNS-Hosting-Anbietern migrieren und dabei die DNSSEC-Vertrauenskette aufrechterhalten. So lassen sich häufige Validierungsfehler vermeiden und die Sicherheit Ihrer Domain während der Übertragung wird gewährleistet.

Eine konzeptionelle Übersicht über DNSSEC finden Sie in der DNSSEC-Übersicht.

Erforderliche Berechtigungen für diese Aufgabe

Zum Ausführen dieser Aufgabe müssen Sie die folgenden Berechtigungen oder die folgenden IAM-Rollen haben.

Berechtigungen

dns.dnsKeys.create zum Erstellen von DNSKEYs
dns.dnsKeys.delete zum Löschen von DNSKEYs
dns.dnsKeys.list, um DNSKEYs aufzulisten
dns.dnsKeys.update zum Aktualisieren von DNSKEYs

Rollen

roles/dns.admin

Hinweis

Die DNSSEC-Migration ist komplex und erfordert eine Koordination, um eine Zone zwischen Betreibern zu migrieren, ohne dass es zu Ausfällen kommt. Lesen Sie diese Anleitung vollständig durch, bevor Sie eine Zone übertragen oder migrieren. Wir empfehlen, den Migrationsprozess in einer weniger kritischen Zone zu testen, bevor Sie versuchen, kritische Produktionszonen zu migrieren.

Mit DNS-Betreibern und Domain-Registrator abstimmen

Damit validierende Resolver die Domain nicht als ungültig behandeln, müssen Sie die Migration mit den DNS-Betreibern und dem Domainregistrar koordinieren. Mit diesem Schritt wird sichergestellt, dass Sie während der Umstellung eine gültige Vertrauenskette von der übergeordneten Zone zu den von beiden DNS-Betreibern verwalteten Schlüsseln einrichten und aufrechterhalten können.

Wenn Ihr Domainregistrar auch DNS-Hosting anbietet, müssen Sie die Migration der DNSSEC-Vertrauenskette mit Ihrem Domainregistrar koordinieren. Wenn der Registrator diesen Vorgang nicht unterstützt, können Sie die Nameserver nicht migrieren und gleichzeitig die DNSSEC-Vertrauenskette beibehalten.

Warten, bis Resolver-Caches ablaufen

Warten Sie während der Migration nach wichtigen Aktualisierungen von Datensätzen, bis die Resolver-Caches ablaufen. Dieser Schritt verhindert Validierungsfehler, die durch alte, im Cache gespeicherte Datensätze verursacht werden, die nach der Migration zu den neuen Nameservern nicht mit der aktualisierten Zone übereinstimmen.

Beschränkungen

Für die Migration einer DNSSEC-Zone gelten die folgenden Einschränkungen:

Sie können eine Zone nur migrieren und gleichzeitig die DNSSEC-Vertrauenskette beibehalten, wenn der neue Betreiber und Registrar die DNSSEC-Migration unterstützen. Dazu gehört das Importieren von DNSKEY-Einträgen, das Festlegen mehrerer DS-Einträge und das Verhindern der automatischen Schlüsselrotation während der Migration.
Sie müssen denselben Algorithmus für beide Operatoren verwenden, da Zonen mit allen verwendeten Algorithmen signiert werden müssen. Weitere Informationen finden Sie unter RFC 4035, Abschnitt 2.2. Cloud DNS kann jeweils nur mit einem Algorithmus signieren. Sie können Algorithmen während der Migration zwischen Anbietern nicht ändern.
Sie müssen DNSKEY-Einträge aus Cloud DNS in die Zone des anderen Operators importieren und mit den Schlüsseln des Operators signieren können. Mit Cloud DNS können DNSKEY-Einträge für Zonen im Modus Transfer hinzugefügt werden.
Sie müssen der übergeordneten Zone einen zweiten DS-Eintrag aus Cloud DNS hinzufügen können. Der Registrar oder die übergeordnete Zone muss DS-Einträge zulassen, die öffentlichen Schlüsseln entsprechen, mit denen keine Einträge in der untergeordneten Zone signiert werden.
Sie müssen die automatische Schlüsselrotation durch den alten oder neuen Betreiber für die Zone beenden können, bis die Migration abgeschlossen ist. Cloud DNS beendet die Schlüsselrotation für Zonen im Modus Transfer automatisch.

Wenn der neue Mobilfunkanbieter die Migration nicht unterstützt, gehen Sie so vor:

Deaktivieren Sie DNSSEC bei Ihrem Registrar.
Führen Sie die Übertragung oder Migration aus.
Aktivieren Sie DNSSEC.
Aktivieren Sie DNSSEC bei Ihrem Registrator.

Eine informative Präsentation zu DNSSEC und zur Domainübertragung und zu möglichen Fehlern finden Sie unter DNS/DNSSEC und Domainübertragungen: Sind sie kompatibel?

Migration zwischen Mobilfunkanbietern

Cloud DNS verwendet für DNSSEC-Migrationen als technischen Ansatz die in RFC 6781 Anhang D Alternativer Rollout-Ansatz für zusammenarbeitende Operatoren beschriebene Rollover-Variante Double-DS KSK.

Bei der DNSSEC-Migration müssen keine privaten Schlüssel oder Signaturen zwischen DNS-Operatoren ausgetauscht werden. Stattdessen werden die vorhandenen Nameserver und die übergeordnete Zone vor der Veröffentlichung signierte Einträge für die öffentlichen Schlüssel des neuen Betreibers zusätzlich zu den öffentlichen Schlüsseln des alten Betreibers vorab veröffentlicht. Ebenso veröffentlichen die neuen Nameserver signierte Einträge für die Schlüssel des alten Operators zusätzlich zu den Schlüsseln des neuen Operators.

Diese Schlüssel des anderen Betreibers sind signiert, wodurch ein gegenseitiges Vertrauen zwischen den beiden Betreibern und der übergeordneten Zone entsteht. So können validierende Resolver Datensätze des einen Betreibers verwenden, um Antworten des anderen Betreibers zu validieren. Dieser Prozess ermöglicht den Übergang zu den neuen Nameservern des Betreibers ohne Unterbrechung.

Nachdem diese Einträge weitergegeben wurden, können Resolver Antworten von beiden Betreibern während der anschließenden Übergangsphase validieren, während die neuen Nameserver-Delegierungseinträge in allen Resolver-Caches weitergegeben werden.

Nachdem die aktualisierten Nameserver-Einträge übernommen wurden, können Sie die Migration abschließen. Sie können die untergeordnete Zone von den alten Nameservern und den Trust Anchor des alten Betreibers aus der übergeordneten Zone entfernen.

DNSSEC-signierte Zonen zu Cloud DNS migrieren

Lesen Sie zuerst alle Anleitungen. Außerdem müssen Sie bestätigen, dass Ihr Anbieter die Migration unterstützt. Andernfalls können Sie die Zone nicht mit diesem Verfahren migrieren.

So führen Sie die Migration durch:

Beenden Sie die gesamte Schlüsselrotation für die Zone auf dem alten Nameserver.
Erstellen Sie eine neue DNSSEC-signierte Zone im DNSSEC-Status Transfer. Im Status Transfer wird die Schlüsselrotation beendet und der DNSKEY-Import ist möglich.

Sie müssen dieselben Algorithmen verwenden, die beim bestehenden Anbieter im Einsatz sind.
Exportieren Sie Ihre nicht signierten Zonendateien und importieren Sie sie dann in die neue Zone.

Folge der Anleitung deines Anbieters zum Exportieren von Zonen-Daten.

Sie können in diesem Schritt DNSKEYs einschließen. Schließen Sie aber keine anderen DNSSEC-Eintragstypen aus der vorhandenen Zone (CDS, CDNSKEY, NSEC, NSEC3, NSEC3PARAM oder RRSIG) ein.

Sie können Zonen mit dem Befehl gcloud dns record-sets import importieren.
Rufen Sie die vorherigen DNSKEY-Einträge vom alten Nameserver ab.

Sie können auch dig oder delv verwenden, um DNSKEY-Einträge abzufragen. Sie müssen jedoch prüfen, ob die zurückgegebenen öffentlichen Schlüssel für Ihre Zone korrekt und gültig sind.
Rufen Sie die neuen DNSKEY-Einträge aus Cloud DNS ab. Im Modus Transfer werden DNSKEY-Einträge wie normale Einträge in der Zone angezeigt.
Fügen Sie die vorhandenen DNSKEY-Einträge der Cloud DNS-Zone zusätzlich zu den automatisch generierten DNSKEY-Einträgen hinzu.

Sie können in Schritt 3 auch DNSKEYs importieren und diesen Schritt überspringen, wenn Ihr Anbieter DNSKEYs zusammen mit den restlichen Zonendaten exportiert.
Fügen Sie der Zone beim vorhandenen Operator die neuen DNSKEY-Einträge aus Cloud DNS hinzu. Signieren Sie die Zone bei Bedarf neu.
Fügen Sie den DS-Eintrag für die Cloud DNS-Zone zusätzlich zum vorhandenen DS-Eintrag bei Ihrem Registrator hinzu.
Warten Sie, bis die neuen Einträge übernommen und die alten Einträge aus allen Resolver-Caches entfernt wurden. Andernfalls können veraltete Daten zu Validierungsfehlern führen.

Warten Sie, bis alle folgenden Bedingungen erfüllt sind:
- Einträge werden an alle Nameserver weitergegeben, die vom alten Betreiber verwendet werden.
- Die TTL des übergeordneten NS-Eintragssatzes läuft ab.
- Die TTL des übergeordneten DS-Eintagssatzes läuft ab.
- Die TTL des untergeordneten NS-Eintragssatzes am alten Operator läuft ab.
- Die TTL des untergeordneten DNSKEY-Datensatzes am alten Operator läuft ab.
Prüfen Sie, ob die Zone bereit ist, indem Sie überprüfen, ob der alte Operator alle DNSKEY-Einträge und die übergeordnete Zone beide DS-Einträge bereitstellt.
Ändern Sie die Nameserver-Delegierungen, sodass sie auf Cloud DNS verweisen.

Aktualisieren Sie die Nameserver-Einträge beim Registrator auf die Cloud DNS-Nameserver für die neue Zone.
Warten Sie, bis die neuen Nameserver-Einträge übernommen wurden und die alten Delegierungseinträge aus allen Resolver-Caches entfernt wurden. Andernfalls können veraltete Daten zu Validierungsfehlern führen.

Warten Sie, bis alle folgenden Bedingungen erfüllt sind:
- Die TTL des übergeordneten NS-Eintragssatzes läuft ab.
- Die TTL des untergeordneten NS-Eintragssatzes am alten Operator läuft ab.
Danach können Sie die Bereitstellung der Zone beim alten Betreiber sicher beenden.
Entfernen Sie die DNSKEY-Einträge der alten Zone, die der Cloud DNS-Zone hinzugefügt wurden.
Ändern Sie den DNSSEC-Status der Zone von Transfer in On.

Wenn Sie den Übertragungsstatus verlassen, wird die automatische Schlüsselrotation für die Zone aktiviert. Ihre Zonen können nach einer Woche sicher den DNSSEC-Übertragungsstatus verlassen und dürfen nicht länger als ein oder zwei Monate im DNSSEC-Übertragungsstatus verbleiben.
Entfernen Sie den DS-Eintrag für die Zone des alten Betreibers bei Ihrem Registrar.

DNSSEC-signierte Zonen von Cloud DNS migrieren

Lesen Sie sich vor der Migration alle Anleitungen durch. Außerdem müssen Sie bestätigen, dass Ihr Anbieter die Migration unterstützt. Andernfalls können Sie die Zone nicht mit diesem Verfahren migrieren.