Menonaktifkan penandatanganan DNSSEC

Cara menonaktifkan penandatanganan DNSSEC

1. Memantau ketersediaan zona.

   Anda dapat memantau zona untuk ketersediaan nama domain Anda. Ini dapat membantu Anda mengatasi masalah apa pun yang mungkin memerlukan langkah mundur selangkah setelah Anda mengaktifkan penandatanganan DNSSEC. Anda dapat memantau nama domain Anda dengan lalu lintas terbanyak dengan menggunakan pencatatan kueri. Untuk informasi selengkapnya tentang mengatur pencatatan kueri, lihatMemantau Amazon Route 53.

   Pemantauan dapat dilakukan melalui skrip shell, atau melalui layanan berbayar. Namun, seharusnya tidak menjadi satu-satunya sinyal untuk menentukan apakah rollback diperlukan. Anda mungkin juga mendapatkan umpan balik dari pelanggan Anda karena domain tidak tersedia.

2. Temukan DS TTL saat ini.

   Anda dapat menemukan DS TTL dengan menjalankan perintah Unix berikut:

   dig -t DS example.com example.com

3. Temukan NS TTL maksimum.

   Ada 2 set catatan NS yang terkait dengan zona Anda:

   • Catatan NS delegasi — ini adalah catatan NS untuk zona Anda yang dipegang oleh zona induk. Anda dapat menemukan ini dengan menjalankan perintah Unix berikut:

     Pertama temukan NS dari zona induk Anda (jika zona Anda adalah example.com, zona induk adalah com):

     dig -t NS com

     Pilih salah satu catatan NS dan kemudian jalankan yang berikut ini:

     dig @one of the NS records of your parent zone -t NS example.com

     Contoh:

     dig @b.gtld-servers.net. -t NS example.com

   • Catatan NS dalam zona — ini adalah catatan NS di zona Anda. Anda dapat menemukan ini dengan menjalankan perintah Unix berikut:

     dig @one of the NS records of your zone -t NS example.com

     Contoh:

     dig @ns-0000.awsdns-00.co.uk. -t NS example.com

     Perhatikan TTL maksimum untuk kedua zona.

4. Hapus catatan DS dari zona induk.

   Hubungi pemilik zona induk untuk menghapus catatan DS.

   Rollback: masukkan kembali catatan DS, konfirmasikan penyisipan DS efektif, dan tunggu TTL NS (bukan DS) maksimum sebelum semua resolver akan mulai memvalidasi lagi.

5. Konfirmasikan penghapusan DS efektif.

   Jika zona induk berada di layanan DNS Route 53, pemilik zona induk dapat mengonfirmasi propagasi penuh melalui GetChange API.

   Jika tidak, Anda dapat menyelidiki zona induk secara berkala untuk catatan DS, dan kemudian menunggu 10 menit lagi setelahnya untuk meningkatkan kemungkinan penghapusan catatan DS sepenuhnya disebarkan. Perhatikan bahwa beberapa pendaftar telah menjadwalkan penghapusan DS, misalnya sekali sehari.

6. Tunggu DS TTL.

   Tunggu sampai semua resolver telah kedaluwarsa catatan DS dari cache mereka.

7. Nonaktifkan penandatanganan DNSSEC dan nonaktifkan kunci penandatanganan kunci (KSK).

   • CLI

   • Konsol

   CLI

   Panggilan DisableHostedZoneDNSSEC dan DeactivateKeySigningKey API.

   Contoh:

   
   aws --region us-east-1 route53 disable-hosted-zone-dnssec \
               --hosted-zone-id $hostedzone_id
   
   aws --region us-east-1 route53 deactivate-key-signing-key \
               --hosted-zone-id $hostedzone_id --name $ksk_name
   					

   Console

   Untuk menonaktifkan penandatanganan DNSSEC

   1. Masuk ke Konsol Manajemen AWS dan buka konsol Route 53 di https://console.aws.amazon.com/route53/.

   2. Di panel navigasi, pilih Zona yang di-hosting, lalu pilih zona yang di-hosting dengan penandatanganan DNSSEC yang ingin Anda nonaktifkan.

   3. Di tab Penandatanganan DNSSEC, pilih Nonaktifkan penandatanganan DNSSEC.

   4. Di halaman Nonaktifkan penandatanganan, pilih salah satu opsi berikut, tergantung skenario Anda untuk zona dengan penandatangan DNSSEC yang dinonaktifkan.

      • Zona induk saja — Zona ini memiliki zona induk dengan catatan DS. Dalam skenario ini, Anda harus menghapus catatan DS zona induk.

      • Zona anak saja — Zona ini memiliki catatan DS untuk rantai kepercayaan dengan satu atau lebih zona anak. Dalam skenario ini, Anda harus menghapus catatan DS zona.

      • Zona induk dan anak — Zona ini memiliki catatan DS untuk rantai kepercayaan dengan satu atau lebih zona anak dan zona induk dengan catatan DS. Dalam skenario ini, lakukan hal-hal berikut, untuk dapat:

        1. Menghapus catatan DS zona.

        2. Menghapus catatan DS zona induk.

        Jika Anda memiliki pulau kepercayaan, Anda dapat melewati langkah ini.

   5. Tentukan apa TTL untuk setiap catatan DS yang Anda hapus di Langkah 4. , Pastikan periode TTL terpanjang telah kedaluwarsa.

   6. Pilih kotak centang untuk mengonfirmasi bahwa Anda telah mengikuti langkah-langkah secara berurutan.

   7. Ketik Nonaktifkan di bidang, seperti yang ditampilkan, lalu pilih Nonaktifkan.

   Untuk menonaktifkan kunci penandatanganan kunci (KSK)

   1. Masuk ke Konsol Manajemen AWS dan buka konsol Route 53 di https://console.aws.amazon.com/route53/.

   2. Di panel navigasi, pilih Zona yang di hosting, lalu pilih zona yang dihosting yang ingin Anda nonaktifkan kunci penandatanganan kunci (KSK).

   3. Di bagian Key-signing tombol (KSK), pilih KSK yang ingin Anda nonaktifkan, dan di bawah Tindakan, pilih Edit KSK, atur status KSK ke Tidak Aktif, lalu pilih S impan KSK.

   Rollback: panggilan ActivateKeySigningKey dan EnableHostedZoneDNSSEC API.

   Contoh:

   
   aws --region us-east-1 route53 activate-key-signing-key \
               --hosted-zone-id $hostedzone_id --name $ksk_name
   
   aws --region us-east-1 route53 enable-hosted-zone-dnssec \
               --hosted-zone-id $hostedzone_id
   
   
   					

8. Konfirmasikan penandatanganan zona yang menonaktifkan efektif.

   Gunakan Id dari EnableHostedZoneDNSSEC() panggilan untuk menjalankan GetChange untuk memastikan bahwa semua Server DNS Route 53 telah berhenti menandatangani respons (status =INSYNC).

9. Amati resolusi nama.

   Anda harus memperhatikan bahwa tidak ada masalah yang mengakibatkan resolver memvalidasi zona Anda. Berikan waktu 1-2 minggu untuk memperhitungkan waktu yang dibutuhkan pelanggan Anda untuk melaporkan masalah kepada Anda.

10. (Opsional) Bersihkan.

    Jika Anda tidak mengaktifkan kembali penandatanganan, Anda dapat membersihkan KSK melalui DeleteKeySigningKey dan menghapus kunci yang dikelola pelanggan terkait untuk menghemat biaya.