Dokumentacija

Vklopite DNSSEC

Vklopite DNSSEC

Vsak obisk vaše strani in vsako sporočilo za vaše predale se začne s poizvedbo DNS. Navadni odgovori DNS niso podpisani, zato lahko pretentan razreševalnik ali omrežje, v katerega nekdo posega, za example.com vrne drug naslov IP in obiskovalec pristane drugje, ne da bi opazil kar koli narobe. DNSSEC vaše odgovore DNS podpiše, razreševalniki, ki podpise preverjajo (večina velikih javnih jih), pa spremenjen odgovor zavrnejo.

Kontrolni seznam strani nepodpisano domeno pokaže kot informacijo, ne kot težavo: večina domen je še vedno nepodpisanih. S pravim ponudnikom DNS je to delo za nekaj minut.

Dve mesti, dva koraka

DNSSEC potrebuje dve stvari, ki sta pogosto na dveh različnih mestih:

Korak Kje Kaj se zgodi
1. Podpis cone tam, kjer gostuje vaš DNS (imenski strežniki) ponudnik DNS ustvari ključe in podpiše vsak odgovor
2. Objava zapisa DS pri registrarju (kjer plačujete domeno) register za .com, .si, .pl … izve, kateremu ključu zaupati

Če sta ponudnik DNS in registrar isto podjetje, sta oba koraka običajno eno stikalo. Če sta različna (DNS pri Cloudflaru, domena pri registrarju), zapis DS kopirate s prvega na drugega.

Opozorilo: obe polovici se morata vedno ujemati. Zapis DS pri registrarju brez podpisanega DNS-a ali s ključi prejšnjega ponudnika DNS naredi domeno nedosegljivo za vse, katerih razreševalnik preverja podpise: spletno stran, pošto, vse. Preden domeno kdaj preselite, preberite spodnji razdelek o menjavi ponudnika DNS.

Preverite sami

dig +short DS example.com
dig @1.1.1.1 +dnssec example.com A

Prvi ukaz izpiše zapis DS (objavljen v registru) ali nič. V izpisu drugega vrstica flags: vsebuje ad, ko je razreševalnik, ki preverja podpise, te potrdil. Popravljeno pomeni vrstico DS iz prvega ukaza in ad v drugem.

Za celotno sliko vpišite domeno na dnsviz.net: nariše verigo od korena do vaše domene in pretrgan člen označi z rdečo.

Kako popraviti

Začnite tam, kjer gostuje DNS (dig +short NS example.com pove, kje), in končajte pri registrarju.

Cloudflare

  1. Odprite domeno in pojdite na DNS → Settings.
  2. Pod DNSSEC kliknite Enable DNSSEC.
  3. Cloudflare pokaže zapis DS: oznako ključa (key tag), algoritem 13, tip povzetka 2 in povzetek (digest). To stran pustite odprto.
  4. Prijavite se pri registrarju in tam dodajte zapis DS z natanko temi vrednostmi (glejte zavihek Ponudnik DNS). Nekateri registrarji namesto tega zahtevajo DNSKEY (javni ključ, zastavice 257); tudi tega Cloudflare pokaže.
  5. V Cloudflaru se stanje spremeni iz Pending v Success, ko register zapis objavi, običajno v nekaj urah, včasih v dnevu ali dveh.

Če je domena registrirana pri Cloudflare Registrar, se 4. korak zgodi samodejno.

Ponudnik DNS

Če registrar gosti tudi vaš DNS (imenski strežniki so registrarjevi): v nastavitvah domene poiščite DNSSEC in ga vklopite. Večina registrarjev cono podpiše in zapis DS objavi v enem koraku.

Če DNS gostuje drugje (Cloudflare, vaše gostovanje): DNSSEC najprej vklopite tam, nato zapis DS dodajte pri registrarju. V nastavitvah domene poiščite DNSSEC ali DS records in vpišite vrednosti, ki jih pokaže ponudnik DNS:

Polje Primer
Key tag 2371
Algorithm 13 (ECDSA P-256 SHA-256)
Digest type 2 (SHA-256)
Digest 1F987CC6583E92DF0890718C42… (kopirajte ga natančno)

Večina registrarjev podpira DNSSEC za pogoste končnice, kot so .com, .eu, .si in .pl. Če vaš možnosti DNSSEC ne ponuja, vprašajte podporo; če zapisa DS ne more dodati, je edina pot prenos domene k registrarju, ki to zna.

cPanel

Ali cPanel lahko podpiše vašo cono, je odvisno od ponudnika: deluje, ko strežnik poganja PowerDNS in ga je ponudnik vklopil.

  1. Odprite Domains → Zone Editor.
  2. Če je ob domeni povezava DNSSEC, jo odprite in kliknite Create Key (pustite predlagani algoritem, ECDSA P-256, če je na voljo).
  3. cPanel pokaže zapis DS. Dodajte ga pri registrarju (glejte zavihek Ponudnik DNS).

Če možnosti DNSSEC ni, vaš ponudnik na tem strežniku con ne podpisuje. Vprašajte ga ali DNS gostite tam, kjer to podpirajo (Cloudflarov brezplačni paket to zna).

Če imenski strežniki domene niso ponudnikovi (na primer Cloudflare), morate DNSSEC vklopiti tam, ne v cPanelu.

Plesk

Plesk cone podpisuje prek brezplačne razširitve DNSSEC, ki jo skrbnik strežnika namesti v Extensions.

  1. Ko je razširitev nameščena, odprite Websites & Domains → example.com → DNSSEC.
  2. Za domeno vklopite podpisovanje, pustite predlagani algoritem in kliknite OK.
  3. Plesk pokaže zapis DS. Dodajte ga pri registrarju (glejte zavihek Ponudnik DNS).

Če možnosti DNSSEC ne vidite, vprašajte ponudnika. Če domena uporablja zunanji DNS, DNSSEC vklopite tam.

Menjava ponudnika DNS z vklopljenim DNSSEC

Tako domene ugasnejo. Ključi starega ponudnika so v zapisu DS v registru; novi ponudnik podpisuje z drugimi ključi (ali sploh ne), razreševalniki, ki preverjajo podpise, pa zavrnejo vsak odgovor.

Varen vrstni red:

  1. Pri registrarju odstranite zapis DS.
  2. Počakajte, da stari zapis DS poteče iz predpomnilnikov: vsaj njegov TTL, v praksi dan ali dva.
  3. Imenske strežnike zamenjajte z novimi.
  4. Ko novi ponudnik odgovarja, tam vklopite DNSSEC in njegov novi zapis DS dodajte pri registrarju.

Nekateri ponudniki podpirajo prenos z obema ključema objavljenima hkrati, kar vrzel odpravi; če vaš tega izrecno ne ponuja, uporabite zgornji vrstni red.

Potrdite popravek

Znova poženite ukaza dig iz razdelka Preverite sami, nato v PulseKeeperju odprite tarčo in na zavihku Kontrolni seznam kliknite Preveri zdaj. Ko register objavi zapis DS, postavka v nekaj minutah pokaže, da je domena podpisana.