Mengaktifkan penandatanganan DNSSEC dan membuat rantai kepercayaan

Untuk mempersiapkan pengaktifan penandatanganan DNSSEC

1. Pantau ketersediaan zona.

   Anda dapat memantau zona untuk ketersediaan nama domain Anda. Ini dapat membantu Anda mengatasi masalah apa pun yang mungkin memerlukan langkah mundur selangkah setelah Anda mengaktifkan penandatanganan DNSSEC. Anda dapat memantau nama domain Anda dengan lalu lintas terbanyak dengan menggunakan pencatatan kueri. Untuk informasi selengkapnya tentang mengatur pencatatan kueri, lihatMemantau Amazon Route 53.

   Pemantauan dapat dilakukan melalui skrip shell, atau melalui layanan pihak ketiga. Namun, seharusnya tidak menjadi satu-satunya sinyal untuk menentukan apakah rollback diperlukan. Anda mungkin juga mendapatkan umpan balik dari pelanggan Anda karena domain tidak tersedia.

2. Turunkan TTL maksimum zona.

   TTL maksimum zona adalah catatan TTL terpanjang di zona tersebut. Dalam zona contoh berikut, TTL maksimum zona adalah 1 hari (86400 detik).

   Contoh catatan zona

   Nama	TTL	Kelas rekaman	Tipe catatan	Rekam data
   contoh.com.	900	DI DALAM	SOA	ns1.example.com. hostmaster.example.com. 2002022401 10800 15 604800 300
   contoh.com.	900	DI DALAM	NNS	ns1.example.com.
   route53.example.com.	86400	DI DALAM	TXT	some txt record

   Menurunkan TTL maksimum zona membantu mengurangi waktu tunggu antara mengaktifkan penandatanganan dan penyisipan catatan Delegation Signer (DS). Sebaiknya turunkan TTL maksimum zona menjadi 1 jam (3600 detik). Anda kemudian dapat memutar kembali setelah hanya satu jam jika ada resolver yang memiliki masalah dengan cache catatan yang ditandatangani.

   Rollback: batalkan perubahan TTL.

3. Turunkan bidang SOA TTL dan SOA minimum.

   Bidang minimum SOA adalah bidang terakhir dalam data catatan SOA. Dalam contoh catatan SOA berikut, bidang minimum memiliki nilai 5 menit (300 detik).

   Contoh catatan SOA

   Nama	TTL	Kelas rekaman	Tipe catatan	Rekam data
   contoh.com.	900	DI DALAM	SOA	ns1.example.com. hostmaster.example.com. 2002022401 10800 15 604800 300

   Bidang SOA TTL dan SOA minimum menentukan berapa lama resolver mengingat jawaban negatif. Setelah Anda mengaktifkan penandatanganan, server nama Route 53 mulai mengembalikan catatan NSEC untuk jawaban negatif. NSEC berisi informasi yang mungkin digunakan resolver untuk mensintesis jawaban negatif. Jika Anda harus memutar kembali karena informasi NSEC menyebabkan resolver mengasumsikan jawaban negatif untuk sebuah nama, maka Anda hanya perlu menunggu maksimum bidang SOA TTL dan minimum SOA agar resolver menghentikan asumsi.

   Rollback: batalkan perubahan SOA.

4. Pastikan perubahan bidang minimum TTL dan SOA efektif.

   Gunakan GetChange untuk memastikan perubahan Anda sejauh ini telah disebarkan ke semua server DNS Route 53.

Cara membuat rantai kepercayaan untuk penandatanganan DNSSEC

1. Masuk ke Konsol Manajemen AWS dan buka konsol Route 53 di https://console.aws.amazon.com/route53/.

2. Di panel navigasi, pilih zona yang di-hosting, lalu pilih zona yang di-hosting yang ingin dibuatkan rantai kepercayaan DNSSEC. Anda harus mengaktifkan penandatanganan DNSSEC terlebih dahulu.

3. Di tab Penandatanganan DNSSEC, di bawah Penandatanganan DNSSEC, pilih Lihat informasi untuk membuat catatan DS.

   catatan

   Jika tidak melihat Lihat informasi untuk membuat catatan DS di bagian ini, Anda harus mengaktifkan penandatanganan DNSSEC sebelum membuat rantai kepercayaan. Pilih Aktifkan penandatanganan DNSSEC dan selesaikan langkah-langkah seperti yang dijelaskan diLangkah 2: Aktifkan penandatanganan DNSSEC dan buat KSK, lalu kembali ke langkah-langkah ini untuk membangun rantai kepercayaan.

4. Di bawah Buat rantai kepercayaan, pilih salah satu Registrar Route 53 atau Registrar domain lainnya, tergantung tempat domain Anda terdaftar.

5. Gunakan nilai yang disediakan dari langkah 3 untuk membuat catatan DS untuk zona induk yang dihosting di Route 53. Jika domain Anda tidak di-host di Route 53, gunakan nilai yang disediakan untuk membuat catatan DS di situs web pendaftar domain Anda.

   Membangun rantai kepercayaan untuk zona induk:

   • Jika domain Anda dikelola melalui Route 53, ikuti langkah-langkah berikut:

     Pastikan Anda mengonfigurasi algoritma penandatanganan yang benar (ECDSAP256SHA256 dan tipe 13) dan algoritma ringkasan (SHA-256 dan tipe 2).

     Jika Route 53 adalah registrar Anda, lakukan hal berikut di konsol Route 53:

     1. Catat nilai Jenis kunci, Algoritme, dan Kunci publik. Di panel navigasi, pilih Domain terdaftar.

     2. Pilih domain, dan kemudian, di dalam tab kunci DNSSEC, pilih Tam bah kunci.

     3. Dalam kotak dialog Kelola kunci DNSSEC, pilih jenis kunci dan Algoritma yang sesuai untuk pendaftar Route 53 dari menu dropdown.

     4. Salin Kunci publik untuk registrar Route 53. Di kotak dialog Kel ola kunci DNSSEC, tempel nilai ke kotak kunci publik.

     5. Pilih Tambahkan.

        Route 53 menambahkan catatan DS ke zona induk dari kunci publik. Misalnya, jika domain Anda adaexample.com, catatan DS ditambahkan ke zona DNS.com.

   • Jika domain Anda dikelola di registri lain, ikuti petunjuk di bagian Pendaftar domain lain.

     Untuk memastikan langkah-langkah berikut berjalan lancar, perkenalkan TTL DS rendah ke zona induk. Sebaiknya atur DS TTL ke 5 menit (300 detik) untuk pemulihan yang lebih cepat jika Anda perlu mengembalikan perubahan.

     • Membangun rantai kepercayaan untuk zona anak:

       Jika zona induk Anda dikelola oleh registri lain, hubungi registrar Anda untuk memperkenalkan catatan DS untuk zona Anda. Biasanya Anda tidak dapat menyesuaikan TTL dari catatan DS.

     • Jika zona induk Anda di-host di Route 53, hubungi pemilik zona induk untuk memperkenalkan catatan DS untuk zona Anda.

       Berikan $ds_record_value kepada pemilik zona induk. Anda bisa mendapatkannya dengan mengklik Lihat Informasi untuk membuat catatan DS di konsol dan menyalin bidang catatan DS, atau dengan memanggil GetDNSsec API dan mengambil nilai bidang 'DSRecord':

       aws --region us-east-1 route53 get-dnssec 
                   --hosted-zone-id $hostedzone_id

       Pemilik zona induk dapat memasukkan catatan melalui konsol Route 53 atau CLI.

       • Untuk menyisipkan catatan DS dengan menggunakan AWS CLI, pemilik zona induk membuat dan menamai file JSON yang mirip dengan contoh berikut. Pemilik zona induk mungkin menamai file seperti ituinserting_ds.json.

         {
             "HostedZoneId": "$parent_zone_id",
             "ChangeBatch": {
                 "Comment": "Inserting DS for zone $zone_name",
                 "Changes": [
                     {
                         "Action": "UPSERT",
                         "ResourceRecordSet": {
                             "Name": "$zone_name",
                             "Type": "DS",
                             "TTL": 300,
                             "ResourceRecords": [
                                 {
                                     "Value": "$ds_record_value"
                                 }
                             ]
                         }
                     }
                 ]
             }
         }

         Kemudian jalankan perintah berikut:

         aws --region us-east-1 route53 change-resource-record-sets 
                     --cli-input-json file://inserting_ds.json

       • Untuk menyisipkan catatan DS dengan menggunakan konsol,

         Buka konsol Route 53 di https://console.aws.amazon.com/route53/.

         Di panel navigasi, pilih Zona yang di hosting, nama zona yang dihosting, lalu tombol Buat rekaman. Pastikan Anda memilih Perutean sederhana untuk kebijakan Routing.

         Di bidang Nama rekaman masukkan nama yang sama dengan$zone_name, pilih DS dari tipe rekaman drop-down, dan masukkan nilai $ds_record_value ke dalam bidang Nilai, dan pilih Buat catatan.

   Rollback: hapus DS dari zona induk, tunggu DS TTL, lalu putar kembali langkah-langkah untuk membangun kepercayaan. Jika zona induk dihosting di Route 53, pemilik zona induk dapat mengubah Action dari UPSERT ke DELETE dalam file JSON, dan menjalankan kembali contoh CLI di atas.

6. Tunggu pembaruan disebarkan, berdasarkan TTL untuk catatan domain Anda.

   Jika zona induk berada di layanan DNS Route 53, pemilik zona induk dapat mengonfirmasi propagasi penuh melalui GetChange API.

   Jika tidak, Anda dapat menyelidiki zona induk secara berkala untuk catatan DS, dan kemudian menunggu 10 menit lagi setelahnya untuk meningkatkan kemungkinan penyisipan catatan DS sepenuhnya disebarkan. Perhatikan bahwa beberapa pendaftar telah menjadwalkan penyisipan DS, misalnya, sekali sehari.

1. Temukan NS TTL maksimum.

   Ada 2 set catatan NS yang terkait dengan zona Anda:

   • Catatan NS delegasi — ini adalah catatan NS untuk zona Anda yang dipegang oleh zona induk. Anda dapat menemukan ini dengan menjalankan perintah Unix berikut (jika zona Anda adalah example.com, zona induk adalah com):

     dig -t NS com

     Pilih salah satu catatan NS dan kemudian jalankan yang berikut ini:

     dig @one of the NS records of your parent zone -t NS example.com

     Contoh:

     dig @b.gtld-servers.net. -t NS example.com

   • Catatan NS dalam zona — ini adalah catatan NS di zona Anda. Anda dapat menemukan ini dengan menjalankan perintah Unix berikut:

     dig @one of the NS records of your zone -t NS example.com

     Contoh:

     dig @ns-0000.awsdns-00.co.uk. -t NS example.com

     Perhatikan TTL maksimum untuk kedua zona.

2. Tunggu NS TTL maksimum.

   Sebelum penyisipan DS, resolver mendapatkan respons yang ditandatangani, tetapi tidak memvalidasi tanda tangan. Saat catatan DS dimasukkan, resolver tidak melihatnya sampai catatan NS untuk zona kedaluwarsa. Ketika resolver mengambil kembali catatan NS, catatan DS kemudian juga dikembalikan.

   Jika pelanggan Anda menjalankan resolver pada host dengan jam yang tidak sinkron, pastikan jam berada dalam waktu 1 jam dari waktu yang benar.

   Setelah menyelesaikan langkah ini, semua DNSSEC-aware resolver memvalidasi zona Anda.

3. Perhatikan resolusi nama.

   Anda harus memperhatikan bahwa tidak ada masalah dengan resolver yang memvalidasi zona Anda. Pastikan Anda juga memperhitungkan waktu yang dibutuhkan pelanggan Anda untuk melaporkan masalah kepada Anda.

   Kami merekomendasikan pemantauan hingga 2 minggu.

4. (Opsional) Perpanjang TTL DS dan NS.

   Jika Anda puas dengan pengaturan, Anda dapat menyimpan perubahan TTL dan SOA yang Anda buat. Perhatikan bahwa Route 53 membatasi TTL hingga 1 minggu untuk zona yang ditandatangani. Untuk informasi selengkapnya, lihat Mengonfigurasi penandatanganan DNSSEC di Amazon Route 53.

   Jika Anda dapat mengubah DS TTL, kami sarankan Anda mengaturnya ke 1 jam.