Mengaktifkan penandatanganan DNSSEC dan membuat rantai kepercayaan

Untuk mempersiapkan untuk mengaktifkan penandatanganan DNSSEC

1. Pantau ketersediaan zona.

   Anda dapat memantau zona untuk ketersediaan nama domain Anda. Ini dapat membantu Anda mengatasi masalah apa pun yang mungkin memerlukan mundur selangkah setelah Anda mengaktifkan penandatanganan DNSSEC. Anda dapat memantau nama domain Anda dengan sebagian besar lalu lintas dengan menggunakan pencatatan kueri. Untuk informasi selengkapnya tentang menyiapkan pencatatan kueri, lihatMemantau Amazon Route 53.

   Pemantauan dapat dilakukan melalui skrip shell, atau melalui layanan pihak ketiga. Namun, seharusnya tidak menjadi satu-satunya sinyal untuk menentukan apakah rollback diperlukan. Anda mungkin juga mendapatkan umpan balik dari pelanggan Anda karena domain tidak tersedia.

2. Turunkan TTL maksimum zona.

   TTL maksimum zona adalah rekor TTL terpanjang di zona tersebut. Di zona contoh berikut, TTL maksimum zona adalah 1 hari (86400 detik).

   Nama	TTL	Kelas rekam	Jenis catatan	Rekam data
   example.com.	900	DI DALAM	SOA	ns1.example.com. hostmaster.example.com. 2002022401 10800 15 604800 300
   example.com.	900	DI DALAM	NS	ns1.example.com.
   route53.example.com.	86400	DI DALAM	TXT	some txt record

   Menurunkan TTL maksimum zona akan membantu mengurangi waktu tunggu antara mengaktifkan penandatanganan dan penyisipan catatan Penandatangan Delegasi (DS). Kami merekomendasikan untuk menurunkan TTL maksimum zona menjadi 1 jam (3600 detik). Ini memungkinkan Anda untuk memutar kembali setelah hanya satu jam jika ada penyelesai yang memiliki masalah dengan catatan yang ditandatangani caching.

   Rollback: batalkan perubahan TTL.

3. Turunkan bidang minimum SOA TTL dan SOA.

   Bidang minimum SOA adalah bidang terakhir dalam data catatan SOA. Dalam contoh berikut catatan SOA, bidang minimum memiliki nilai 5 menit (300 detik).

   Nama	TTL	Kelas rekam	Jenis catatan	Rekam data
   example.com.	900	DI DALAM	SOA	ns1.example.com. hostmaster.example.com. 2002022401 10800 15 604800 300

   Bidang minimum SOA TTL dan SOA menentukan berapa lama resolver mengingat jawaban negatif. Setelah Anda mengaktifkan penandatanganan, server nama Route 53 mulai mengembalikan catatan NSEC untuk jawaban negatif. NSEC berisi informasi yang mungkin digunakan resolver untuk mensintesis jawaban negatif. Jika Anda harus memutar kembali karena informasi NSEC menyebabkan resolver mengasumsikan jawaban negatif untuk sebuah nama, maka Anda hanya perlu menunggu maksimum bidang minimum SOA TTL dan SOA agar resolver menghentikan asumsi.

   Rollback: batalkan perubahan SOA.

4. Pastikan perubahan bidang minimum TTL dan SOA efektif.

   Gunakan GetChangeuntuk memastikan perubahan Anda sejauh ini telah disebarkan ke semua server DNS Route 53.

Cara membuat rantai kepercayaan untuk penandatanganan DNSSEC

1. Masuk ke AWS Management Console dan buka konsol Route 53 di https://console.aws.amazon.com/route53/.

2. Di panel navigasi, pilih zona yang di-hosting, lalu pilih zona yang di-hosting yang ingin dibuatkan rantai kepercayaan DNSSEC. Anda harus mengaktifkan penandatanganan DNSSEC terlebih dahulu.

3. Di tab Penandatanganan DNSSEC, di bawah Penandatanganan DNSSEC, pilih Lihat informasi untuk membuat catatan DS.

   catatan

   Jika tidak melihat Lihat informasi untuk membuat catatan DS di bagian ini, Anda harus mengaktifkan penandatanganan DNSSEC sebelum membuat rantai kepercayaan. Pilih Aktifkan penandatanganan DNSSEC dan selesaikan langkah-langkah seperti yang dijelaskanLangkah 2: Aktifkan penandatanganan DNSSEC dan buat KSK, lalu kembali ke langkah-langkah ini untuk membangun rantai kepercayaan.

4. Di bawah Buat rantai kepercayaan, pilih salah satu Registrar Route 53 atau Registrar domain lainnya, tergantung tempat domain Anda terdaftar.

5. Gunakan nilai yang disediakan dari langkah 3 untuk membuat catatan DS untuk zona host induk di Route 53. Jika domain Anda tidak di-host di Route 53, gunakan nilai yang disediakan untuk membuat catatan DS di situs web registrar domain Anda.

   Membangun rantai kepercayaan untuk zona induk:

   • Jika domain Anda dikelola melalui Route 53, ikuti langkah-langkah berikut:

     Pastikan Anda mengonfigurasi algoritma penandatanganan yang benar (ECDSAP256SHA256 dan ketik 13) dan algoritma intisari (SHA-256 dan tipe 2).

     Jika Route 53 adalah registrar Anda, lakukan hal berikut di konsol Route 53:

     1. Catat nilai Jenis kunci, Algoritme, dan Kunci publik. Di panel navigasi, pilih Domain terdaftar.

     2. Pilih domain, lalu di samping Status DNSSEC, pilih Kelola kunci.

     3. Dalam kotak dialog Kelola kunci DNSSEC, pilih jenis Kunci dan Algoritma yang sesuai untuk registrar Route 53 dari menu tarik-turun.

     4. Salin Kunci publik untuk registrar Route 53. Di kotak dialog Kelola kunci DNSSEC, tempelkan nilainya ke kotak kunci Publik.

     5. Pilih Tambahkan.

        Route 53 akan menambahkan catatan DS ke zona induk dari kunci publik. Misalnya, jika domain Andaexample.com, catatan DS ditambahkan ke zona DNS.com.

   • Jika domain Anda dikelola di registri lain, ikuti instruksi di bagian Registrar domain lain.

     Untuk memastikan langkah-langkah berikut berjalan lancar, perkenalkan DS TTL rendah ke zona induk. Kami merekomendasikan pengaturan DS TTL ke 5 menit (300 detik) untuk pemulihan yang lebih cepat jika Anda perlu mengembalikan perubahan Anda.

     • Membangun rantai kepercayaan untuk zona anak:

       Jika zona induk Anda dikelola oleh registri lain, hubungi registrar Anda untuk memperkenalkan catatan DS untuk zona Anda. Biasanya Anda tidak akan dapat menyesuaikan TTL dari catatan DS.

     • Jika zona induk Anda di-host di Route 53, hubungi pemilik zona induk untuk memperkenalkan catatan DS untuk zona Anda.

       Berikan $ds_record_value kepada pemilik zona induk. Anda bisa mendapatkannya dengan mengklik Lihat Informasi untuk membuat catatan DS di konsol dan menyalin bidang catatan DS, atau dengan memanggil GetDNSSec API dan mengambil nilai bidang '': DSRecord

       aws --region us-east-1 route53 get-dnssec 
                   --hosted-zone-id $hostedzone_id

       Pemilik zona induk dapat memasukkan catatan melalui konsol Route 53 atau CLI.

       • Untuk menyisipkan catatan DS dengan menggunakan AWS CLI, pemilik zona induk membuat dan memberi nama file JSON yang mirip dengan contoh berikut. Pemilik zona induk mungkin memberi nama file seperti ituinserting_ds.json.

         {
             "HostedZoneId": "$parent_zone_id",
             "ChangeBatch": {
                 "Comment": "Inserting DS for zone $zone_name",
                 "Changes": [
                     {
                         "Action": "UPSERT",
                         "ResourceRecordSet": {
                             "Name": "$zone_name",
                             "Type": "DS",
                             "TTL": 300,
                             "ResourceRecords": [
                                 {
                                     "Value": "$ds_record_value"
                                 }
                             ]
                         }
                     }
                 ]
             }
         }

         Kemudian jalankan perintah berikut:

         aws --region us-east-1 route53 change-resource-record-sets 
                     --cli-input-json file://inserting_ds.json

       • Untuk memasukkan catatan DS dengan menggunakan konsol,

         Buka konsol Route 53 di https://console.aws.amazon.com/route53/.

         Di panel navigasi, pilih Zona yang dihosting, nama zona yang dihosting, lalu tombol Buat rekam. Pastikan Anda memilih Perutean sederhana untuk kebijakan Routing.

         Di bidang Nama rekam masukkan nama yang sama dengan$zone_name, pilih DS dari tarik-turun Jenis rekaman, dan masukkan nilai $ds_record_value ke dalam bidang Nilai, dan pilih Buat catatan.

   Rollback: hapus DS dari zona induk, tunggu DS TTL, lalu putar kembali langkah-langkah untuk membangun kepercayaan. Jika zona induk di-host di Route 53, pemilik zona induk dapat mengubah Action dari UPSERT ke DELETE dalam file JSON, dan menjalankan kembali contoh CLI di atas.

6. Tunggu pembaruan disebarkan, berdasarkan TTL untuk catatan domain Anda.

   Jika zona induk ada di layanan DNS Route 53, pemilik zona induk dapat mengonfirmasi propagasi penuh melalui API. GetChange

   Jika tidak, Anda dapat secara berkala menyelidiki zona induk untuk catatan DS, dan kemudian menunggu 10 menit setelahnya untuk meningkatkan kemungkinan penyisipan catatan DS disebarkan sepenuhnya. Perhatikan bahwa beberapa pendaftar telah menjadwalkan penyisipan DS, misalnya, sekali sehari.

1. Temukan NS TTL maksimum.

   Ada 2 set catatan NS yang terkait dengan zona Anda:

   • Catatan NS delegasi — ini adalah catatan NS untuk zona Anda yang dipegang oleh zona induk. Anda dapat menemukannya dengan menjalankan perintah Unix berikut (jika zona Anda adalah example.com, zona induknya adalah com):

     dig -t NS com

     Pilih salah satu catatan NS dan kemudian jalankan yang berikut ini:

     dig @one of the NS records of your parent zone -t NS example.com

     Sebagai contoh:

     dig @b.gtld-servers.net. -t NS example.com

   • Catatan NS dalam zona — ini adalah catatan NS di zona Anda. Anda dapat menemukan ini dengan menjalankan perintah Unix berikut:

     dig @one of the NS records of your zone -t NS example.com

     Sebagai contoh:

     dig @ns-0000.awsdns-00.co.uk. -t NS example.com

     Perhatikan TTL maksimum untuk kedua zona.

2. Tunggu NS TTL maksimum.

   Sebelum penyisipan DS, resolver mendapatkan respons yang ditandatangani, tetapi tidak memvalidasi tanda tangan. Ketika catatan DS dimasukkan, resolver tidak akan melihatnya sampai catatan NS untuk zona berakhir. Ketika resolver mengambil kembali catatan NS, catatan DS kemudian akan dikembalikan.

   Jika pelanggan Anda menjalankan resolver pada host dengan jam yang tidak sinkron, pastikan jam berada dalam 1 jam dari waktu yang benar.

   Setelah menyelesaikan langkah ini, semua resolver yang sadar DNSSEC akan memvalidasi zona Anda.

3. Amati resolusi nama.

   Anda harus memperhatikan bahwa tidak ada masalah dengan resolver yang memvalidasi zona Anda. Pastikan Anda juga memperhitungkan waktu yang dibutuhkan pelanggan Anda untuk melaporkan masalah kepada Anda.

   Kami merekomendasikan pemantauan hingga 2 minggu.

4. (Opsional) Perpanjang DS dan NS TTLs.

   Jika Anda puas dengan pengaturan, Anda dapat menyimpan perubahan TTL dan SOA yang Anda buat. Perhatikan bahwa Rute 53 membatasi TTL hingga 1 minggu untuk zona yang ditandatangani. Untuk informasi selengkapnya, lihat Mengonfigurasi penandatanganan DNSSEC di Amazon Route 53.

   Jika Anda dapat mengubah DS TTL, kami sarankan Anda mengaturnya ke 1 jam.