Mengaktifkan DNSSEC penandatanganan dan membangun rantai kepercayaan

Untuk mempersiapkan untuk mengaktifkan penandatanganan DNSSEC

1. Pantau ketersediaan zona.

   Anda dapat memantau zona untuk ketersediaan nama domain Anda. Ini dapat membantu Anda mengatasi masalah apa pun yang mungkin memerlukan mundur selangkah setelah Anda mengaktifkan DNSSEC penandatanganan. Anda dapat memantau nama domain Anda dengan sebagian besar lalu lintas dengan menggunakan pencatatan kueri. Untuk informasi selengkapnya tentang menyiapkan pencatatan kueri, lihatMemantau Amazon Route 53.

   Pemantauan dapat dilakukan melalui skrip shell, atau melalui layanan pihak ketiga. Namun, seharusnya tidak menjadi satu-satunya sinyal untuk menentukan apakah rollback diperlukan. Anda mungkin juga mendapatkan umpan balik dari pelanggan Anda karena domain tidak tersedia.

2. Turunkan maksimum zonaTTL.

   Maksimum zona TTL adalah TTL rekor terpanjang di zona tersebut. Di zona contoh berikut, maksimum zona TTL adalah 1 hari (86400 detik).

   Nama	TTL	Kelas rekam	Jenis catatan	Rekam data
   example.com.	900	DI DALAM	SOA	ns1.example.com. hostmaster.example.com. 2002022401 10800 15 604800 300
   example.com.	900	DI DALAM	NS	ns1.example.com.
   route53.example.com.	86400	DI DALAM	TXT	some txt record

   Menurunkan maksimum zona TTL akan membantu mengurangi waktu tunggu antara mengaktifkan penandatanganan dan penyisipan catatan Penandatangan Delegasi (DS). Sebaiknya turunkan zona maksimum TTL menjadi 1 jam (3600 detik). Ini memungkinkan Anda untuk memutar kembali setelah hanya satu jam jika ada penyelesai yang memiliki masalah dengan catatan yang ditandatangani caching.

   Rollback: batalkan perubahan. TTL

3. Turunkan bidang SOA minimum SOA TTL dan minimum.

   Bidang SOA minimum adalah bidang terakhir dalam data SOA catatan. Dalam SOA catatan contoh berikut, bidang minimum memiliki nilai 5 menit (300 detik).

   Nama	TTL	Kelas rekam	Jenis catatan	Rekam data
   example.com.	900	DI DALAM	SOA	ns1.example.com. hostmaster.example.com. 2002022401 10800 15 604800 300

   Bidang SOA TTL dan SOA minimum menentukan berapa lama resolver mengingat jawaban negatif. Setelah Anda mengaktifkan penandatanganan, server nama Route 53 mulai mengembalikan NSEC catatan untuk jawaban negatif. NSECBerisi informasi yang mungkin digunakan resolver untuk mensintesis jawaban negatif. Jika Anda harus memutar kembali karena NSEC informasi tersebut menyebabkan resolver mengasumsikan jawaban negatif untuk sebuah nama, maka Anda hanya perlu menunggu bidang maksimum SOA TTL dan SOA minimum agar resolver menghentikan asumsi tersebut.

   Rollback: batalkan perubahan. SOA

4. Pastikan perubahan bidang TTL dan SOA minimum efektif.

   Gunakan GetChangeuntuk memastikan perubahan Anda sejauh ini telah disebarkan ke semua DNS server Route 53.

Untuk membangun rantai kepercayaan untuk DNSSEC penandatanganan

1. Masuk ke AWS Management Console dan buka konsol Route 53 di https://console.aws.amazon.com/route53/.

2. Di panel navigasi, pilih Zona yang dihosting, lalu pilih zona yang dihosting yang ingin Anda buat DNSSEC rantai kepercayaan. Anda harus mengaktifkan DNSSEC penandatanganan terlebih dahulu.

3. Pada tab DNSSECpenandatanganan, di bawah DNSSECpenandatanganan, pilih Lihat informasi untuk membuat catatan DS.

   catatan

   Jika Anda tidak melihat Lihat informasi untuk membuat catatan DS di bagian ini, Anda harus mengaktifkan DNSSEC penandatanganan sebelum membuat rantai kepercayaan. Pilih Aktifkan DNSSEC penandatanganan dan selesaikan langkah-langkah seperti yang dijelaskanLangkah 2: Aktifkan DNSSEC penandatanganan dan buat KSK, lalu kembali ke langkah-langkah ini untuk membangun rantai kepercayaan.

4. Di bawah Buat rantai kepercayaan, pilih salah satu Registrar Route 53 atau Registrar domain lainnya, tergantung tempat domain Anda terdaftar.

5. Gunakan nilai yang disediakan dari langkah 3 untuk membuat catatan DS untuk zona host induk di Route 53. Jika domain Anda tidak di-host di Route 53, gunakan nilai yang disediakan untuk membuat catatan DS di situs web registrar domain Anda.

   • Jika zona induk adalah domain yang dikelola melalui Route 53, ikuti langkah-langkah berikut:

     Pastikan Anda mengonfigurasi algoritma penandatanganan yang benar (ECDSAP256SHA256dan ketik 13) dan algoritma intisari (SHA-256 dan tipe 2).

     Jika Route 53 adalah registrar Anda, lakukan hal berikut di konsol Route 53:

     1. Catat nilai Jenis kunci, Algoritme, dan Kunci publik. Di panel navigasi, pilih Domain terdaftar.

     2. Pilih domain, lalu, di samping DNSSECstatus, pilih Kelola kunci.

     3. Dalam kotak dialog Kelola DNSSEC kunci, pilih jenis Kunci dan Algoritma yang sesuai untuk registrar Route 53 dari menu tarik-turun.

     4. Salin Kunci publik untuk registrar Route 53. Di kotak dialog Kelola DNSSEC kunci, tempelkan nilainya ke kotak kunci Publik.

     5. Pilih Tambahkan.

        Route 53 akan menambahkan catatan DS ke zona induk dari kunci publik. Misalnya, jika domain Andaexample.com, catatan DS ditambahkan ke DNS zona.com.

   • Jika zona induk di-host di Route 53 atau domain dikelola di registri lain, hubungi zona induk atau pemilik registrasi domain untuk mengikuti petunjuk berikut:

     Untuk memastikan langkah-langkah berikut berjalan lancar, perkenalkan DS rendah TTL ke zona induk. Kami merekomendasikan pengaturan DS TTL ke 5 menit (300 detik) untuk pemulihan yang lebih cepat jika Anda perlu memutar kembali perubahan Anda.

     • Jika zona induk Anda dikelola oleh registri lain, hubungi registrar Anda untuk memperkenalkan catatan DS untuk zona Anda. Biasanya Anda tidak akan dapat menyesuaikan TTL catatan DS.

     • Jika zona induk Anda di-host di Route 53, hubungi pemilik zona induk untuk memperkenalkan catatan DS untuk zona Anda.

       Berikan $ds_record_value kepada pemilik zona induk. Anda bisa mendapatkannya dengan mengklik Lihat Informasi untuk membuat catatan DS di konsol dan menyalin bidang catatan DS, atau dengan memanggil Dapatkan DNSSEC API dan mengambil nilai bidang 'DSRecord':

       aws --region us-east-1 route53 get-dnssec 
                   --hosted-zone-id $hostedzone_id

       Pemilik zona induk dapat memasukkan catatan melalui konsol Route 53 atauCLI.

       • Untuk menyisipkan catatan DS dengan menggunakan AWS CLI, pemilik zona induk membuat dan memberi nama JSON file yang mirip dengan contoh berikut. Pemilik zona induk mungkin memberi nama file sepertiinserting_ds.json.

         {
             "HostedZoneId": "$parent_zone_id",
             "ChangeBatch": {
                 "Comment": "Inserting DS for zone $zone_name",
                 "Changes": [
                     {
                         "Action": "UPSERT",
                         "ResourceRecordSet": {
                             "Name": "$zone_name",
                             "Type": "DS",
                             "TTL": 300,
                             "ResourceRecords": [
                                 {
                                     "Value": "$ds_record_value"
                                 }
                             ]
                         }
                     }
                 ]
             }
         }

         Kemudian jalankan perintah berikut:

         aws --region us-east-1 route53 change-resource-record-sets 
                     --cli-input-json file://inserting_ds.json

       • Untuk memasukkan catatan DS dengan menggunakan konsol,

         Buka konsol Route 53 di https://console.aws.amazon.com/route53/.

         Di panel navigasi, pilih Zona yang dihosting, nama zona yang dihosting, lalu tombol Buat rekam. Pastikan Anda memilih Perutean sederhana untuk kebijakan Routing.

         Di bidang Nama rekam masukkan nama yang sama dengan$zone_name, pilih DS dari tarik-turun Jenis rekaman, dan masukkan nilai $ds_record_value ke dalam bidang Nilai, dan pilih Buat catatan.

   Rollback: hapus DS dari zona induk, tunggu DSTTL, lalu putar kembali langkah-langkah untuk membangun kepercayaan. Jika zona induk di-host di Route 53, pemilik zona induk dapat mengubah Action dari UPSERT ke DELETE dalam JSON file, dan menjalankan kembali contoh di CLI atas.

6. Tunggu pembaruan menyebar, berdasarkan catatan domain Anda. TTL

   Jika zona induk ada di DNS layanan Route 53, pemilik zona induk dapat mengonfirmasi propagasi penuh melalui. GetChangeAPI

   Jika tidak, Anda dapat secara berkala menyelidiki zona induk untuk catatan DS, dan kemudian menunggu 10 menit setelahnya untuk meningkatkan kemungkinan penyisipan catatan DS disebarkan sepenuhnya. Perhatikan bahwa beberapa pendaftar telah menjadwalkan penyisipan DS, misalnya, sekali sehari.

1. Temukan NS maksimumTTL.

   Ada 2 set catatan NS yang terkait dengan zona Anda:

   • Catatan NS delegasi — ini adalah catatan NS untuk zona Anda yang dipegang oleh zona induk. Anda dapat menemukannya dengan menjalankan perintah Unix berikut (jika zona Anda adalah example.com, zona induknya adalah com):

     dig -t NS com

     Pilih salah satu catatan NS dan kemudian jalankan yang berikut:

     dig @one of the NS records of your parent zone -t NS example.com

     Sebagai contoh:

     dig @b.gtld-servers.net. -t NS example.com

   • Catatan NS dalam zona — ini adalah catatan NS di zona Anda. Anda dapat menemukan ini dengan menjalankan perintah Unix berikut:

     dig @one of the NS records of your zone -t NS example.com

     Sebagai contoh:

     dig @ns-0000.awsdns-00.co.uk. -t NS example.com

     Perhatikan maksimum TTL untuk kedua zona.

2. Tunggu NS maksimumTTL.

   Sebelum penyisipan DS, resolver mendapatkan respons yang ditandatangani, tetapi tidak memvalidasi tanda tangan. Ketika catatan DS dimasukkan, resolver tidak akan melihatnya sampai catatan NS untuk zona kedaluwarsa. Ketika resolver mengambil kembali catatan NS, catatan DS kemudian akan dikembalikan.

   Jika pelanggan Anda menjalankan resolver pada host dengan jam yang tidak sinkron, pastikan jam berada dalam 1 jam dari waktu yang benar.

   Setelah menyelesaikan langkah ini, semua resolver DNSSEC -aware akan memvalidasi zona Anda.

3. Amati resolusi nama.

   Anda harus memperhatikan bahwa tidak ada masalah dengan resolver yang memvalidasi zona Anda. Pastikan Anda juga memperhitungkan waktu yang dibutuhkan pelanggan Anda untuk melaporkan masalah kepada Anda.

   Kami merekomendasikan pemantauan hingga 2 minggu.

4. (Opsional) Perpanjang DS dan NSTTLs.

   Jika Anda puas dengan pengaturan, Anda dapat menyimpan TTL dan SOA perubahan yang Anda buat. Perhatikan bahwa Rute 53 membatasi TTL hingga 1 minggu untuk zona yang ditandatangani. Untuk informasi selengkapnya, lihat Mengonfigurasi DNSSEC penandatanganan di Amazon Route 53.

   Jika Anda dapat mengubah DSTTL, kami sarankan Anda mengaturnya menjadi 1 jam.