Aktivierung DNSSEC des Signierens und Einrichtung einer Vertrauenskette

Um sich auf die Aktivierung des Signierens vorzubereiten DNSSEC

1. Überwachen Sie die Verfügbarkeit der Zone.

   Sie können die Zone auf die Verfügbarkeit Ihrer Domänennamen überwachen. Dies kann Ihnen helfen, alle Probleme zu lösen, die es rechtfertigen könnten, nach der Aktivierung des DNSSEC Signierens einen Schritt zurückzunehmen. Sie können Ihre Domänennamen mit dem größten Datenverkehr überwachen, indem Sie die Abfrageprotokollierung verwenden. Für weitere Informationen zum Einrichten einer Abfrage-Protokollierung siehe Amazon Route 53 überwachen.

   Die Überwachung kann über ein Shell-Skript oder über einen Drittanbieterdienst erfolgen. Dies sollte jedoch nicht das einzige Signal sein, um festzustellen, ob ein Rollback erforderlich ist. Möglicherweise erhalten Sie auch Feedback von Ihren Kunden, da eine Domäne nicht verfügbar ist.

2. Senken Sie das Maximum der ZoneTTL.

   Das Maximum der Zone TTL ist der längste TTL Datensatz in der Zone. In der folgenden Beispielzone TTL beträgt das Maximum der Zone 1 Tag (86400 Sekunden).

   Name	TTL	Datensatz-Klasse	Datensatztyp	Datensatz-Daten
   example.com.	900	IN	SOA	ns1.example.com. hostmaster.example.com. 2002022401 10800 15 604800 300
   example.com.	900	IN	NS	ns1.example.com.
   route53.example.com.	86400	IN	TXT	some txt record

   Wenn Sie das Maximum für die Zone TTL herabsetzen, kann die Wartezeit zwischen dem Aktivieren der Signatur und dem Einfügen des Datensatzes für den Delegationssignierer (DS) reduziert werden. Wir empfehlen, das Maximum der Zone TTL auf 1 Stunde (3600 Sekunden) zu senken. Auf diese Weise können Sie sie nach nur einer Stunde zurücksetzen, wenn ein Resolver Probleme beim Zwischenspeichern signierter Datensätze hat.

   Rollback: Macht die TTL Änderungen rückgängig.

3. Senken Sie das Feld SOA TTL und das SOA Minimum.

   Das SOA Minimalfeld ist das letzte Feld in den SOA Datensatzdaten. Im folgenden SOA Beispieldatensatz hat das Minimalfeld den Wert 5 Minuten (300 Sekunden).

   Name	TTL	Datensatz-Klasse	Datensatztyp	Datensatz-Daten
   example.com.	900	IN	SOA	ns1.example.com. hostmaster.example.com. 2002022401 10800 15 604800 300

   Das Feld SOA TTL und SOA Minimum bestimmt, wie lange sich Resolver negative Antworten merken. Nachdem Sie die Signierung aktiviert haben, beginnen die Route 53-Nameserver, NSEC Datensätze für negative Antworten zurückzugeben. Das NSEC enthält Informationen, die Resolver verwenden könnten, um eine negative Antwort zu synthetisieren. Wenn Sie einen Rollback durchführen müssen, weil der Resolver aufgrund der NSEC Informationen eine negative Antwort für einen Namen angenommen hat, müssen Sie nur auf das Maximum SOA TTL und das SOA Minimum warten, bis der Resolver die Annahme beendet.

   Rollback: Macht die Änderungen rückgängig. SOA

4. Stellen Sie sicher, dass die TTL und die SOA minimalen Feldänderungen wirksam sind.

   Stellen Sie GetChangedamit sicher, dass Ihre bisherigen Änderungen an alle Route DNS 53-Server weitergegeben wurden.

So richten Sie eine Vertrauenskette für das DNSSEC Signieren ein

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die Route 53-Konsole unter https://console.aws.amazon.com/route53/.

2. Wählen Sie im Navigationsbereich die Option Gehostete Zonen und dann eine gehostete Zone aus, für die Sie eine DNSSEC Vertrauenskette einrichten möchten. Sie müssen zuerst das DNSSEC Signieren aktivieren.

3. Wählen Sie auf der Registerkarte DNSSECSignieren unter DNSSECSignieren die Option Informationen zum Erstellen eines DS-Eintrags anzeigen aus.

   Anmerkung

   Wenn in diesem Abschnitt die Option Informationen zum Erstellen eines DS-Eintrags anzeigen nicht angezeigt wird, müssen Sie das DNSSEC Signieren aktivieren, bevor Sie die Vertrauenskette einrichten. Wählen Sie DNSSECSignierung aktivieren und führen Sie die unter beschriebenen Schritte aus. Kehren Sie dann zu diesen Schritten zurück, um die Vertrauenskette einzurichten. Schritt 2: Aktivieren Sie die DNSSEC Signierung und erstellen Sie eine KSK

4. UNDERErstellen einer Vertrauenskette, wählen Sie entwederRegistrant Route 53oderEine andere Domänenvergabestelle, je nachdem, wo Ihre Domain registriert ist.

5. Verwenden Sie die bereitgestellten Werte ab Schritt 3 , um einen DS-Datensatz für die übergeordnete gehostete Zone in Route 53 zu erstellen. Wenn Ihre Domäne nicht bei Route 53 gehostet wird, verwenden Sie die bereitgestellten Werte, um einen DS-Datensatz auf der Website Ihres Domänen-Registrars zu erstellen.

   • Wenn es sich bei der übergeordneten Zone um eine Domäne handelt, die über Route 53 verwaltet wird, gehen Sie wie folgt vor:

     Stellen Sie sicher, dass Sie den richtigen Signaturalgorithmus (ECDSAP256SHA256und Typ 13) und den richtigen Digest-Algorithmus (SHA-256 und Typ 2) konfigurieren.

     Wenn Route 53 Ihr Registrar ist, gehen Sie in der Route-53-Konsole wie folgt vor:

     1. Beachten Sie dieSchlüsseltyp,Signaturalgorithmus, undDer öffentliche Schlüssel-Werte. Klicken Sie im Navigationsbereich auf Registered domains (Registrierte Domänen).

     2. Wählen Sie eine Domain aus und klicken Sie dann neben DNSSECStatus auf Schlüssel verwalten.

     3. Wählen Sie im Dialogfeld „DNSSECSchlüssel verwalten“ aus den Dropdownmenüs den entsprechenden Schlüsseltyp und Algorithmus für den Route 53-Registrar aus.

     4. Kopieren Sie dieDer öffentliche Schlüsselfür den Registrar der Route 53. Fügen Sie im Dialogfeld „DNSSECSchlüssel verwalten“ den Wert in das Feld Öffentlicher Schlüssel ein.

     5. Wählen Sie Hinzufügen aus.

        Route 53 fügt den DS-Datensatz der übergeordneten Zone aus dem öffentlichen Schlüssel hinzu. Wenn Ihre Domain beispielsweise lautetexample.com, wird der DS-Eintrag der DNS Zone .com hinzugefügt.

   • Wenn die übergeordnete Zone auf Route 53 gehostet wird oder die Domain in einer anderen Registry verwaltet wird, wenden Sie sich an den Inhaber der übergeordneten Zone oder der Domainregistrierung, um die folgenden Anweisungen zu befolgen:

     Um sicherzustellen, dass die folgenden Schritte reibungslos ablaufen, führen Sie in der übergeordneten Zone einen niedrigen TTL DS-Wert ein. Wir empfehlen, den DS-Wert TTL auf 5 Minuten (300 Sekunden) einzustellen, um die Wiederherstellung zu beschleunigen, falls Sie Ihre Änderungen rückgängig machen müssen.

     • Wenn Ihre übergeordnete Zone von einer anderen Registrierung verwaltet wird, kontaktieren Sie Ihren Registrar, um den DS-Datensatz für Ihre Zone einzuführen. In der Regel können Sie den Wert TTL des DS-Datensatzes nicht anpassen.

     • Wenn Ihre übergeordnete Zone auf Route 53 gehostet wird, kontaktieren Sie den Besitzer der übergeordneten Zone, um den DS-Datensatz für Ihre Zone einzuführen.

       Geben Sie die $ds_record_value für den Besitzer der übergeordneten Zone an. Sie können ihn abrufen, indem Sie in der Konsole auf Informationen anzeigen klicken, um einen DS-Eintrag zu erstellen, und das DS-Datensatzfeld kopieren, oder indem Sie Get aufrufen DNSSEC API und den Wert des Felds 'DSRecord' abrufen:

       aws --region us-east-1 route53 get-dnssec 
                   --hosted-zone-id $hostedzone_id

       Der Besitzer der übergeordneten Zone kann den Datensatz über die Route 53-Konsole oder CLI einfügen.

       • Um den DS-Eintrag mithilfe von einzufügen AWS CLI, erstellt und benennt der Besitzer der übergeordneten Zone eine JSON Datei, die dem folgenden Beispiel ähnelt. Der Besitzer der übergeordneten Zone kann die Datei wie folgt benennen: inserting_ds.json.

         {
             "HostedZoneId": "$parent_zone_id",
             "ChangeBatch": {
                 "Comment": "Inserting DS for zone $zone_name",
                 "Changes": [
                     {
                         "Action": "UPSERT",
                         "ResourceRecordSet": {
                             "Name": "$zone_name",
                             "Type": "DS",
                             "TTL": 300,
                             "ResourceRecords": [
                                 {
                                     "Value": "$ds_record_value"
                                 }
                             ]
                         }
                     }
                 ]
             }
         }

         Führen Sie anschließend den folgenden Befehl aus:

         aws --region us-east-1 route53 change-resource-record-sets 
                     --cli-input-json file://inserting_ds.json

       • Um den DS-Datensatz über die Konsole einzufügen,

         Öffnen Sie die Route 53-Konsole unter https://console.aws.amazon.com/route53/.

         Wählen Sie im Navigationsbereich Hosted zones (Gehostete Zonen) und dann Name Ihrer gehosteten Zone und dann die Schaltfäche Create record (Datensatz erstellen) aus. Stellen Sie sicher, dass Sie Einfaches Routing für die Routing policy (Routing-Richtlinie) auswählen.

         In Record name (Datensatzname) geben Sie den gleichen Namen ein wie der $zone_name, wählen Sie DS für den Record type (Datensatztyp) und geben Sie den Wert von $ds_record_value ins Feld Value (Wert) ein und wählen Sie Create records (Datensätze erstellen) aus.

   Rollback: Entfernen Sie den DS aus der übergeordneten Zone, warten Sie auf den DS TTL und machen Sie dann die Schritte zur Vertrauensstellung rückgängig. Wenn die übergeordnete Zone auf Route 53 gehostet wird, kann der Besitzer der übergeordneten Zone das DELETE in der JSON Datei Action von UPSERT zu ändern und das obige Beispiel CLI erneut ausführen.

6. Warten Sie, bis die Aktualisierungen basierend auf den Datensätzen TTL für Ihre Domain veröffentlicht werden.

   Befindet sich die übergeordnete Zone im Route DNS 53-Dienst, kann der Besitzer der übergeordneten Zone die vollständige Weitergabe über den GetChangeAPIbestätigen.

   Andernfalls können Sie die übergeordnete Zone regelmäßig auf den DS-Datensatz untersuchen und danach weitere 10 Minuten warten, um die Wahrscheinlichkeit zu erhöhen, dass die Einfügung des DS-Datensatzes vollständig propagiert wird. Beachten Sie, dass einige Registraren beispielsweise einmal täglich die DS-Einfügung geplant haben.

1. Ermitteln Sie die maximale Anzahl an NSTTL.

   Es gibt 2 Sätze von NS-Datensätzen, die Ihren Zonen zugeordnet sind:

   • Der NS-Datensatz der Delegation – dies ist der NS-Datensatz für Ihre Zone, die von der übergeordneten Zone gehalten wird. Sie können dies finden, indem Sie die folgenden Unix-Befehle ausführen (wenn Ihre Zone beispiel.com ist, ist die übergeordnete Zone com):

     dig -t NS com

     Wählen Sie einen der NS-Datensätze aus und führen Sie dann Folgendes aus:

     dig @one of the NS records of your parent zone -t NS example.com

     Zum Beispiel:

     dig @b.gtld-servers.net. -t NS example.com

   • Der NS-Datensatz in der Zone – dies ist der NS-Datensatz in Ihrer Zone. Sie können dies suchen, indem Sie den folgenden Unix-Befehl ausführen:

     dig @one of the NS records of your zone -t NS example.com

     Beispielsweise:

     dig @ns-0000.awsdns-00.co.uk. -t NS example.com

     Notieren Sie sich das Maximum TTL für beide Zonen.

2. Warten Sie auf den maximalen NSTTL.

   Vor der DS-Einfügung erhalten Resolver eine signierte Antwort, validieren die Signatur jedoch nicht. Wenn der DS-Datensatz eingefügt wird, sehen Resolver ihn erst, wenn der NS-Datensatz für die Zone abläuft. Wenn Resolver den NS-Datensatz erneut abrufen, wird der DS-Datensatz dann ebenfalls zurückgegeben.

   Wenn Ihr Kunde einen Resolver auf einem Host mit einer nicht synchronisierten Uhr ausführt, stellen Sie sicher, dass sich die Uhr innerhalb 1 Stunde nach der richtigen Zeit befindet.

   Nach Abschluss dieses Schritts validieren alle Resolver, die DNSSEC -aware, Ihre Zone.

3. Beachten Sie die Namensauflösung.

   Sie sollten beachten, dass es keine Probleme mit Resolvern gibt, die Ihre Zone validieren. Stellen Sie sicher, dass Sie auch die Zeit berücksichtigen, die Ihre Kunden benötigen, um Ihnen Probleme zu melden.

   Wir empfehlen eine Überwachung für bis zu 2 Wochen.

4. (Optional) Verlängern Sie DS und NS. TTLs

   Wenn Sie mit der Einrichtung zufrieden sind, können Sie die SOA Änderungen TTL und die von Ihnen vorgenommenen Änderungen speichern. Beachten Sie, dass Route 53 die Frist für ausgeschilderte Zonen TTL auf 1 Woche begrenzt. Weitere Informationen finden Sie unter Konfiguration der DNSSEC Anmeldung in Amazon Route 53.

   Wenn Sie den DS ändern könnenTTL, empfehlen wir Ihnen, ihn auf 1 Stunde einzustellen.