Aktivieren der DNSSEC-Signierung und Aufbau einer Vertrauenskette

So bereiten Sie sich auf das Aktivieren der DNSSEC-Signierung vor

1. Überwachen Sie die Verfügbarkeit der Zone.

   Sie können die Zone auf die Verfügbarkeit Ihrer Domänennamen überwachen. Dies kann Ihnen helfen, alle Probleme zu beheben, die einen Schritt zurücksetzen könnten, nachdem Sie die DNSSEC-Signatur aktiviert haben. Sie können Ihre Domänennamen mit dem größten Datenverkehr überwachen, indem Sie die Abfrageprotokollierung verwenden. Für weitere Informationen zum Einrichten einer Abfrage-Protokollierung siehe Amazon Route 53 überwachen.

   Die Überwachung kann über ein Shell-Skript oder über einen Drittanbieterdienst erfolgen. Dies sollte jedoch nicht das einzige Signal sein, um festzustellen, ob ein Rollback erforderlich ist. Möglicherweise erhalten Sie auch Feedback von Ihren Kunden, da eine Domäne nicht verfügbar ist.

2. Senken Sie die maximale TTL der Zone.

   Die maximale TTL der Zone ist der längste TTL-Datensatz in der Zone. In der folgenden Beispielzone beträgt die maximale TTL der Zone 1 Tag (86 400 Sekunden).

   Name	TTL	Datensatz-Klasse	Datensatztyp	Datensatz-Daten
   example.com.	900	IN	SOA	ns1.example.com. hostmaster.example.com. 2002022401 10800 15 604800 300
   example.com.	900	IN	NS	ns1.example.com.
   route53.example.com.	86400	IN	TXT	some txt record

   Die Senkung der maximalen TTL der Zone trägt dazu bei, die Wartezeit zwischen dem Aktivieren der Signatur und dem Einfügen des Delegation Signer (DS)-Datensatzes zu verkürzen. Wir empfehlen, die maximale TTL der Zone auf eine Stunde (3 600 Sekunden) zu senken. Auf diese Weise können Sie sie nach nur einer Stunde zurücksetzen, wenn ein Resolver Probleme beim Zwischenspeichern signierter Datensätze hat.

   Rollback: Machen Sie die TTL-Änderungen rückgängig.

3. Senken Sie das SOA-TTL- und SOA-Mindestfeld.

   Das SOA-Mindestfeld ist das letzte Feld in den SOA-Datensatzdaten. Im folgenden SOA-Beispieldatensatz hat das Mindestfeld den Wert 5 Minuten (300 Sekunden).

   Name	TTL	Datensatz-Klasse	Datensatztyp	Datensatz-Daten
   example.com.	900	IN	SOA	ns1.example.com. hostmaster.example.com. 2002022401 10800 15 604800 300

   Das SOA-TTL- und SOA-Mindestfeld bestimmt, wie lange Resolver sich an negative Antworten erinnern. Nachdem Sie die Signierung aktiviert haben, geben die Nameserver der Route 53 NSEC-Datensätze für negative Antworten zurück. Die NSEC enthält Informationen, die Resolver verwenden könnten, um eine negative Antwort zu synthetisieren. Wenn Sie ein Rollback durchführen müssen, weil die NSEC-Informationen dazu geführt haben, dass ein Resolver eine negative Antwort für einen Namen annimmt, müssen Sie nur auf das Maximum des SOA-TTL- und SOA-Mindestfeldes warten, damit der Resolver die Annahme stoppt.

   Rollback: Machen Sie die SOA-Änderungen rückgängig.

4. Stellen Sie sicher, dass die Änderungen an den Mindestfeldern TTL und SOA wirksam sind.

   Verwenden Sie diese GetChangeOption, um sicherzustellen, dass Ihre bisherigen Änderungen an alle Route 53-DNS-Server weitergegeben wurden.

So richten Sie eine Vertrauenskette für die DNSSEC-Signatur ein

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die Route 53-Konsole unter. https://console.aws.amazon.com/route53/

2. Wählen Sie im NavigationsbereichGehostete Zonen, und wählen Sie dann eine gehostete Zone aus, für die Sie eine DNSSEC-Vertrauenskette einrichten möchten. Sie müssen zuerst die DNSSEC-Signatur aktivieren.

3. Klicken Sie auf der DNSSEC unter DNSSEC, wählen Sie Anzeigen von Informationen zum Erstellen von DS-Datensätzen aus.

   Anmerkung

   Wenn Sie nicht sehenAnzeigen von Informationen zum Erstellen von DS-Datensätzenin diesem Abschnitt müssen Sie die DNSSEC-Signatur aktivieren, bevor Sie die Vertrauenskette einrichten. Wählen Sie Enable DNSSEC signing (DNSSEC-Signatur aktivieren) aus, führen Sie die unter beschriebenen Schritte in Schritt 2: Aktivieren der DNSSEC-Signatur und Erstellen einer KSK aus und kehren Sie dann zu diesen Schritten zurück, um die Vertrauenskette einzurichten.

4. UNDERErstellen einer Vertrauenskette, wählen Sie entwederRegistrant Route 53oderEine andere Domänenvergabestelle, je nachdem, wo Ihre Domain registriert ist.

5. Verwenden Sie die bereitgestellten Werte ab Schritt 3 , um einen DS-Datensatz für die übergeordnete gehostete Zone in Route 53 zu erstellen. Wenn Ihre Domäne nicht bei Route 53 gehostet wird, verwenden Sie die bereitgestellten Werte, um einen DS-Datensatz auf der Website Ihres Domänen-Registrars zu erstellen.

   Richten Sie eine Vertrauenskette für die übergeordnete Zone ein:

   • Wenn Ihre Domain über Route 53 verwaltet wird, gehen Sie wie folgt vor:

     Stellen Sie sicher, dass Sie den richtigen Signierungsalgorithmus (ECDSAP256SHA256 und Typ 13) und den richtigen Digest-Algorithmus (SHA-256 und Typ 2) konfigurieren.

     Wenn Route 53 Ihr Registrar ist, gehen Sie in der Route-53-Konsole wie folgt vor:

     1. Beachten Sie dieSchlüsseltyp,Signaturalgorithmus, undDer öffentliche Schlüssel-Werte. Klicken Sie im Navigationsbereich auf Registered domains (Registrierte Domänen).

     2. Wählen Sie eine Domain aus und klicken Sie dann auf der Registerkarte DNSSEC-Schlüssel auf Schlüssel hinzufügen.

     3. Wählen Sie im Dialogfeld Manage DNSSEC keys (DNSSEC-Schlüssel verwalten) den entsprechenden Key type (Schlüsseltyp) und Algorithm (Algorithmus) für Route 53 registrar (Route-53-Registrar) aus den Dropdown-Menüs aus.

     4. Kopieren Sie dieDer öffentliche Schlüsselfür den Registrar der Route 53. Wählen Sie in Manage DNSSEC keys (DNSSEC-Schlüssel verwalten) den Wert in dem Feld Public key (Öffentlicher Schlüssel) aus.

     5. Wählen Sie Hinzufügen aus.

        Route 53 fügt den DS-Datensatz der übergeordneten Zone aus dem öffentlichen Schlüssel hinzu. Beispiel: Wenn Ihre Domäne lautetexample.comDer DS-Eintrag wird der DNS-Zone .com hinzugefügt.

   • Wenn Ihre Domain in einer anderen Registry verwaltet wird, folgen Sie den Anweisungen im Abschnitt Ein anderer Domain-Registrar.

     Um sicherzustellen, dass die folgenden Schritte reibungslos verlaufen, führen Sie eine niedrige DS-TTL in die übergeordnete Zone ein. Wir empfehlen, den DS TTL auf 5 Minuten (300 Sekunden) für eine schnellere Wiederherstellung einzustellen, wenn Sie Ihre Änderungen zurücksetzen müssen.

     • Richten Sie eine Vertrauenskette für die untergeordnete Zone ein:

       Wenn Ihre übergeordnete Zone von einer anderen Registrierung verwaltet wird, kontaktieren Sie Ihren Registrar, um den DS-Datensatz für Ihre Zone einzuführen. In der Regel können Sie die TTL des DS-Datensatzes nicht anpassen.

     • Wenn Ihre übergeordnete Zone auf Route 53 gehostet wird, kontaktieren Sie den Besitzer der übergeordneten Zone, um den DS-Datensatz für Ihre Zone einzuführen.

       Geben Sie die $ds_record_value für den Besitzer der übergeordneten Zone an. Sie können sie abrufen, indem Sie in der Konsole auf Informationen anzeigen klicken, um einen DS-Eintrag zu erstellen, und das DS-Datensatzfeld kopieren, oder indem Sie die GetDNSSec-API aufrufen und den Wert des Felds '' abrufen: DSRecord

       aws --region us-east-1 route53 get-dnssec 
                   --hosted-zone-id $hostedzone_id

       Der Besitzer der übergeordneten Zone kann den Datensatz über die Route-53-Konsole oder CLI einfügen.

       • Um den DS-Eintrag mithilfe von einzufügen AWS CLI, erstellt und benennt der Besitzer der übergeordneten Zone eine JSON-Datei, die dem folgenden Beispiel ähnelt. Der Besitzer der übergeordneten Zone kann die Datei wie folgt benennen: inserting_ds.json.

         {
             "HostedZoneId": "$parent_zone_id",
             "ChangeBatch": {
                 "Comment": "Inserting DS for zone $zone_name",
                 "Changes": [
                     {
                         "Action": "UPSERT",
                         "ResourceRecordSet": {
                             "Name": "$zone_name",
                             "Type": "DS",
                             "TTL": 300,
                             "ResourceRecords": [
                                 {
                                     "Value": "$ds_record_value"
                                 }
                             ]
                         }
                     }
                 ]
             }
         }

         Führen Sie anschließend den folgenden Befehl aus:

         aws --region us-east-1 route53 change-resource-record-sets 
                     --cli-input-json file://inserting_ds.json

       • Um den DS-Datensatz über die Konsole einzufügen,

         Öffnen Sie die Route 53-Konsole unter https://console.aws.amazon.com/route53/.

         Wählen Sie im Navigationsbereich Hosted zones (Gehostete Zonen) und dann Name Ihrer gehosteten Zone und dann die Schaltfäche Create record (Datensatz erstellen) aus. Stellen Sie sicher, dass Sie Einfaches Routing für die Routing policy (Routing-Richtlinie) auswählen.

         In Record name (Datensatzname) geben Sie den gleichen Namen ein wie der $zone_name, wählen Sie DS für den Record type (Datensatztyp) und geben Sie den Wert von $ds_record_value ins Feld Value (Wert) ein und wählen Sie Create records (Datensätze erstellen) aus.

   Rollback: entfernen Sie das DS aus der übergeordneten Zone, warten Sie auf die DS-TTL und setzen Sie dann die Schritte zum Aufbau von Vertrauen zurück. Wenn die übergeordnete Zone auf Route 53 gehostet wird, kann der Besitzer der übergeordneten Zone die Action von UPSERT zu DELETE in der JSON-Datei ändern und die obige Beispiel-CLI erneut ausführen.

6. Warten Sie, bis die Aktualisierungen basierend auf der TTL für Ihre Domänendatensätze weitergegeben werden.

   Wenn sich die übergeordnete Zone auf dem Route 53-DNS-Dienst befindet, kann der Besitzer der übergeordneten Zone die vollständige Weitergabe über die GetChangeAPI bestätigen.

   Andernfalls können Sie die übergeordnete Zone regelmäßig auf den DS-Datensatz untersuchen und danach weitere 10 Minuten warten, um die Wahrscheinlichkeit zu erhöhen, dass die Einfügung des DS-Datensatzes vollständig propagiert wird. Beachten Sie, dass einige Registraren beispielsweise einmal täglich die DS-Einfügung geplant haben.

1. Finden Sie das maximale NS TTL.

   Es gibt 2 Sätze von NS-Datensätzen, die Ihren Zonen zugeordnet sind:

   • Der NS-Datensatz der Delegation – dies ist der NS-Datensatz für Ihre Zone, die von der übergeordneten Zone gehalten wird. Sie können dies finden, indem Sie die folgenden Unix-Befehle ausführen (wenn Ihre Zone beispiel.com ist, ist die übergeordnete Zone com):

     dig -t NS com

     Wählen Sie einen der NS-Datensätze aus und führen Sie dann Folgendes aus:

     dig @one of the NS records of your parent zone -t NS example.com

     Zum Beispiel:

     dig @b.gtld-servers.net. -t NS example.com

   • Der NS-Datensatz in der Zone – dies ist der NS-Datensatz in Ihrer Zone. Sie können dies suchen, indem Sie den folgenden Unix-Befehl ausführen:

     dig @one of the NS records of your zone -t NS example.com

     Zum Beispiel:

     dig @ns-0000.awsdns-00.co.uk. -t NS example.com

     Beachten Sie die maximale TTL für beide Zonen.

2. Warten Sie auf den maximalen NS TTL.

   Vor der DS-Einfügung erhalten Resolver eine signierte Antwort, validieren die Signatur jedoch nicht. Wenn der DS-Datensatz eingefügt wird, sehen Resolver ihn erst, wenn der NS-Datensatz für die Zone abläuft. Wenn Resolver den NS-Datensatz erneut abrufen, wird der DS-Datensatz dann ebenfalls zurückgegeben.

   Wenn Ihr Kunde einen Resolver auf einem Host mit einer nicht synchronisierten Uhr ausführt, stellen Sie sicher, dass sich die Uhr innerhalb 1 Stunde nach der richtigen Zeit befindet.

   Nach Abschluss dieses Schritts validieren alle DNSSEC-fähigen Resolver Ihre Zone.

3. Beachten Sie die Namensauflösung.

   Sie sollten beachten, dass es keine Probleme mit Resolvern gibt, die Ihre Zone validieren. Stellen Sie sicher, dass Sie auch die Zeit berücksichtigen, die Ihre Kunden benötigen, um Ihnen Probleme zu melden.

   Wir empfehlen eine Überwachung für bis zu 2 Wochen.

4. (Optional) Verlängern Sie DS und NS TTLs.

   Wenn Sie mit der Einrichtung zufrieden sind, können Sie die von Ihnen vorgenommenen TTL- und SOA-Änderungen speichern. Beachten Sie, dass Route 53 die TTL für signierte Zonen auf 1 Woche beschränkt. Weitere Informationen finden Sie unter Konfigurieren der DNSSEC-Signatur in Amazon Route 53.

   Wenn Sie die DS TTL ändern können, empfehlen wir, dass Sie es auf 1 Stunde einstellen.