Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Schutz vor hängenden Delegierungsdatensätzen in Route 53

Mit Route 53 kann ein Kunde eine gehostete Zone erstellen, um beispielsweise example.com seine DNS Datensätze zu hosten. Jede gehostete Zone verfügt über einen „Delegierungssatz“, der aus vier Nameservern besteht, die ein Kunde zur Konfiguration von NS-Datensätzen in der übergeordneten Domäne verwenden kann. Diese NS-Einträge können als „Delegations-NS-Einträge“ oder „Delegierungseinträge“ bezeichnet werden.

Damit die gehostete example.com Route 53 53-Zone autoritativ wird, muss der rechtmäßige Eigentümer der example.com Domain Delegierungseinträge in seiner übergeordneten Domain „.com“ über den Domain-Registrar konfigurieren. In Fällen, in denen ein Kunde den Zugriff auf die vier in der übergeordneten Domain konfigurierten Nameserver verliert, beispielsweise weil die zugehörige Hosting-Zone gelöscht wurde, kann dies ein Risiko darstellen, das ein Angreifer ausnutzen kann. Dieses Risiko wird als „hängengebliebene Delegationsdaten“ bezeichnet.

Route 53 schützt vor dem Risiko eines hängenden Delegierungsdatensatzes für den Fall, dass eine gehostete Zone gelöscht wird. Wenn nach dem Löschen eine neue gehostete Zone mit demselben Domänennamen erstellt wird, überprüft Route 53, ob die Delegierungseinträge, die auf die gelöschte Hosting-Zone verweisen, noch in der übergeordneten Domäne vorhanden sind. Wenn dies der Fall ist, verhindert Route 53, dass sich überschneidende Nameserver zugewiesen werden. Dies ist Szenario 1 in den folgenden Beispielen.

Es gibt jedoch noch andere Risiken im Zusammenhang mit Delegierungsdaten, vor denen Route 53 nicht schützen kann, wie in den folgenden Beispielen in den Szenarien 2 und 3 beschrieben. Um sich vor diesen umfassenderen Risiken zu schützen, stellen Sie sicher, dass die übergeordneten NS-Einträge mit dem Delegierungssatz für die gehostete Route 53-Zone übereinstimmen. Sie finden den Delegierungssatz einer Hosting-Zone über die Route 53-Konsole oder AWS CLI. Weitere Informationen finden Sie unter Auflisten von Datensätzen oder get-hosted-zone.

Darüber hinaus kann die Aktivierung der DNSSEC Signatur für eine gehostete Route 53 53-Zone als weitere Schutzebene dienen, die über die oben genannten bewährten Methoden hinausgeht. DNSSECauthentifiziert, dass die DNS Antworten von der autoritativen Quelle stammen, und schützt so effektiv vor diesem Risiko. Weitere Informationen finden Sie unter Konfiguration der DNSSEC Anmeldung in Amazon Route 53.

Beispiele

In den folgenden Beispielen gehen wir davon aus, dass Sie über eine Domäne example.com und deren untergeordnete Domäne verfügen. child.example.com Wir werden erklären, wie in verschiedenen Szenarien fehlerhafte Delegierungsdatensätze erstellt werden können, wie Route 53 Ihre Domain vor Missbrauch schützt und wie Sie die Risiken, die mit unbrauchbaren Delegierungsdatensätzen verbunden sind, wirksam mindern können.