View a markdown version of this page

Schutz vor hängenden Delegierungsdatensätzen in Route 53 - Amazon Route 53
Beispiele

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Schutz vor hängenden Delegierungsdatensätzen in Route 53

Mit Route 53 kann ein Kunde eine gehostete Zone erstellen, um beispielsweise example.com seine DNS-Einträge zu hosten. Jede gehostete Zone verfügt über ein „Delegations-Set“, das aus vier Nameservern besteht, mit denen ein Kunde NS-Einträge in der übergeordneten Domain konfigurieren kann. Diese NS-Einträge können als „Delegations-NS-Einträge“ oder „Delegationseinträge“ bezeichnet werden.

Damit die von example.com Route 53 gehostete Zone autoritativ wird, muss der rechtmäßige Eigentümer der example.com Domain die Delegierungseinträge in seiner übergeordneten Domäne „.com“ über den Domain-Registrar konfigurieren. In Fällen, in denen ein Kunde den Zugriff auf die vier in der übergeordneten Domain konfigurierten Nameserver verliert, z. B. weil die zugehörige gehostete Zone gelöscht wird, kann dies zu einem Risiko führen, das ein Angreifer ausnutzt. Dies wird als Risiko bezeichnet, dass „Delegationsdatensätze verloren gehen“.

Route 53 schützt vor dem Risiko, dass Delegationsdatensätze verloren gehen, falls eine gehostete Zone gelöscht wird. Wenn nach dem Löschen eine neue gehostete Zone mit demselben Domainnamen erstellt wird, prüft Route 53, ob die Delegierungsdatensätze, die auf die gelöschte gehostete Zone verweisen, noch in der übergeordneten Domäne vorhanden sind. Ist dies der Fall, verhindert Route 53, dass überlappende Nameserver zugewiesen werden. In den folgenden Beispielen ist dies Szenario 1.

Es gibt jedoch noch andere Risiken, vor denen Route 53 nicht schützen kann, weil die Delegationsdaten nicht verloren gehen. Dies wird in den folgenden Beispielen in den Szenarien 2 bis 5 näher beschrieben. Um sich vor diesen umfassenderen Risiken zu schützen, stellen Sie sicher, dass die übergeordneten NS-Einträge mit dem Delegierungssatz für die gehostete Route 53-Zone übereinstimmen. Den Delegierungssatz einer gehosteten Zone finden Sie in der Route 53-Konsole oder AWS CLI. Weitere Informationen finden Sie unter Auflisten von Datensätzen oder unterget-hosted-zone.

Darüber hinaus kann die Aktivierung der DNSSEC-Signatur für eine gehostete Route 53-Zone als weitere Schutzebene dienen, die über die oben genannten bewährten Methoden hinausgeht. DNSSEC authentifiziert, dass DNS-Antworten von der autoritativen Quelle stammen, und schützt so effektiv vor diesem Risiko. Weitere Informationen finden Sie unter Konfigurieren der DNSSEC-Signatur in Amazon Route 53.

Beispiele

In den folgenden Beispielen gehen wir davon aus, dass Sie eine Domain und ihre untergeordnete Domain example.com haben. child.example.com Wir erklären, wie in verschiedenen Szenarien hängende Delegationsdatensätze erstellt werden können, wie Route 53 Ihre Domain vor Missbrauch schützt und wie Sie die Risiken, die mit dem Verlust von Delegationsdatensätzen verbunden sind, effektiv mindern können.

Szenario 1:

<ns3><ns4>Sie erstellen eine gehostete Zone child.example.com mit vier Nameservern:<ns1>,<ns2>, und. Sie richten die Delegierung in der gehosteten Zone example.com ordnungsgemäß ein und erstellen Delegierungs-NS-Einträge für child.example.com mit vier Nameservern <ns1><ns2><ns3>,, und<ns4>. Wenn die child.example.com gehostete Zone gelöscht wird, ohne dass die Delegierungs-NS-Einträge entfernt werdenexample.com, schützt Route 53 vor child.example.com dem Risiko, dass Delegierungsdatensätze verloren gehen <ns1><ns2><ns3>, indem verhindert <ns4>wird,, und dass neu erstellten gehosteten Zonen mit demselben Domänennamen zugewiesen wird.

Szenario 2:

Ähnlich wie in Szenario 1, aber dieses Mal löschen Sie die untergeordnete gehostete Zone UND die Delegierungs-NS-Einträge in der gehosteten Zoneexample.com. Sie fügen jedoch die Delegierungs-NS-Einträge wieder hinzu <ns1><ns2><ns3>, und <ns4>ohne eine untergeordnete gehostete Zone zu erstellen. Hier <ns1><ns2><ns3><ns4>sind,, und die Delegierungsdatensätze nicht verfügbar, weil Route 53 die Sperre aufhebt, die die <ns1><ns2><ns3><ns4>Zuweisung von,, und verhinderte, und ermöglicht es nun neu erstellten gehosteten Zonen, die oben genannten Nameserver zu verwenden. Um das Risiko zu minimieren, entfernen Sie, <ns1><ns2><ns3>, und <ns4>aus den Delegierungsdatensätzen und fügen Sie sie erst wieder hinzu, nachdem die untergeordnete gehostete Zone erstellt wurde.

Szenario 3:

<ns4>In diesem Szenario erstellen Sie einen wiederverwendbaren Route 53-Delegierungssatz mit den Nameservern <ns1><ns2>,<ns3>, und. Anschließend delegieren Sie die Domäne example.com an diese Nameserver in der übergeordneten Domäne.com. Sie haben die gehostete Zone für example.com das wiederverwendbare Delegierungssatz jedoch noch nicht erstellt. Hier sind, <ns1><ns2><ns3>, und es <ns4>handelt sich um fehlerhafte Delegierungsdatensätze. <ns4>Um das Risiko zu minimieren, erstellen Sie die gehostete Zone mithilfe des wiederverwendbaren Delegierungssatzes mit den Nameservern<ns1>, <ns2><ns3>, und.

Szenario 4:

Sie erstellen gehostete Zonen sowohl child.example.com mit den Nameservern <ns1><ns2>, <ns3><ns4>, und als auch grandchild.child.example.com mit den Nameservern <ns5><ns6>,<ns7>, und<ns8>. Sie delegieren jedoch beide direkt in der example.com Zone, wodurch ein gewisses Delegierungsrisiko entsteht. Um sicherzustellen, dass Delegationen der richtigen DNS-Hierarchie folgen, delegieren Sie Subdomänen nur über ihre unmittelbaren übergeordneten Zonen. Wenn Sie beispielsweise delegieren möchtengrandchild.child.example.com: zuerst child.example.com mit den Nameservern<ns1>,, <ns2><ns3>und <ns4>in der example.com Zone delegieren, dann grandchild.child.example.com mit den Nameservern, <ns5><ns6><ns7>, und <ns8>in der child.example.com Zone delegieren und alle direkten Delegationen für aus der Zone entfernen. grandchild.child.example.com example.com

Szenario 5:

Sie delegieren eine Domain oder Subdomain an Route 53-Nameserver, bevor Sie eine entsprechende gehostete Zone erstellen. Dadurch entstehen fehlerhafte Delegationsdatensätze. Dies ähnelt dem Fall in Szenario 3, das Risiko besteht jedoch auch, wenn kein wiederverwendbarer Delegierungssatz erstellt wird. Beispiel: Sie delegieren die Domäne example.com an die Nameserver<ns1>, <ns2><ns3>, und <ns4>in der übergeordneten Domäne.com, aber keiner dieser Nameserver hat jemals gehostetexample.com. Route 53 kann nicht davor schützen, da es noch nie eine gehostete Zone gegeben hat, in der diese Nameserver für diesen Domainnamen gesperrt wurden. Um das Risiko zu minimieren, delegieren Sie nur an Route 53-Nameserver, die zu einer öffentlichen Hosting-Zone gehören, die Sie kontrollieren.