DNSSECPermitindo a assinatura e estabelecendo uma cadeia de confiança

Para se preparar para habilitar a DNSSEC assinatura

1. Faça o monitoramento da disponibilidade da zona

   É possível fazer o monitoramento da zona para verificar a disponibilidade dos seus nomes de domínio. Isso pode ajudá-lo a resolver quaisquer problemas que possam justificar a reversão após a ativação da DNSSEC assinatura. É possível fazer o monitoramento dos seus nomes de domínio com a maior parte do tráfego utilizando o registro de consultas em log. Para obter mais informações sobre como configurar o registro de consultas em log, consulte Como monitorar o Amazon Route 53.

   O monitoramento pode ser feito com o uso de um shell script ou de um serviço de terceiros. Porém, ele não deve ser o único sinal para determinar a necessidade de uma reversão. Você também pode obter feedback dos seus clientes devido à indisponibilidade de um domínio.

2. Diminua o máximo da zonaTTL.

   O máximo da zona TTL é o TTL registro mais longo da zona. No exemplo de zona a seguir, o máximo da zona TTL é 1 dia (86400 segundos).

   Nome	TTL	Classe do registro	Tipo de registro	Dados do registro
   example.com.	900	IN	SOA	ns1.example.com. hostmaster.example.com. 2002022401 10800 15 604800 300
   example.com.	900	IN	ns	ns1.example.com.
   route53.example.com.	86400	IN	TXT	some txt record

   Reduzir o máximo da zona TTL ajudará a reduzir o tempo de espera entre a ativação da assinatura e a inserção do registro do Signatário Delegado (DS). Recomendamos reduzir o máximo da zona TTL para 1 hora (3600 segundos). Isso permitirá uma reversão depois de apenas uma hora se algum resolvedor apresentar problemas com o armazenamento em cache de registros assinados.

   Reversão: desfaça as alterações. TTL

3. Diminua o campo SOA TTL e SOA mínimo.

   O campo SOA mínimo é o último campo nos dados do SOA registro. No SOA registro de exemplo a seguir, o campo mínimo tem o valor de 5 minutos (300 segundos).

   Nome	TTL	Classe do registro	Tipo de registro	Dados do registro
   example.com.	900	IN	SOA	ns1.example.com. hostmaster.example.com. 2002022401 10800 15 604800 300

   O campo SOA TTL e SOA mínimo determina por quanto tempo os resolvedores se lembram das respostas negativas. Depois de habilitar a assinatura, os servidores de nomes do Route 53 começam a retornar NSEC registros de respostas negativas. O NSEC contém informações que os resolvedores podem usar para sintetizar uma resposta negativa. Se você precisar reverter porque as NSEC informações fizeram com que um resolvedor assumisse uma resposta negativa para um nome, basta aguardar o máximo do campo SOA TTL e o SOA mínimo para que o resolvedor interrompa a suposição.

   Reversão: desfaça as alterações. SOA

4. Certifique-se de que TTL as alterações SOA mínimas no campo sejam efetivas.

   Use GetChangepara garantir que suas alterações até agora tenham sido propagadas para todos os DNS servidores do Route 53.

Estabelecer uma cadeia de confiança para DNSSEC assinatura

1. Faça login no AWS Management Console e abra o console do Route 53 em https://console.aws.amazon.com/route53/.

2. No painel de navegação, escolha Zonas hospedadas e escolha uma zona hospedada para a qual você deseja estabelecer uma DNSSEC cadeia de confiança. Você deve ativar a DNSSEC assinatura primeiro.

3. Na guia DNSSECAssinatura, em DNSSECAssinatura, escolha Exibir informações para criar um registro DS.

   nota

   Se você não vir Exibir informações para criar um registro DS nesta seção, deverá habilitar a DNSSEC assinatura antes de estabelecer a cadeia de confiança. Escolha Habilitar DNSSEC assinatura e conclua as etapas conforme descrito em eEtapa 2: ativar a DNSSEC assinatura e criar um KSK, em seguida, retorne a essas etapas para estabelecer a cadeia de confiança.

4. Em Establish a chain of trust (Estabelecer uma cadeia de confiança), escolha Route 53 registrar (Registrador do Route 53) ou Another domain registrar (Outro registrador de domínio), dependendo de onde seu domínio está registrado.

5. Use os valores fornecidos da etapa 3 para criar um registro de DS para a zona hospedada pai no Route 53. Se o domínio não estiver hospedado no Route 53, utilize os valores fornecidos para criar um registro de DS no site do registrador de domínios.

   • Se a zona principal for um domínio gerenciado pelo Route 53, siga estas etapas:

     Certifique-se de configurar o algoritmo de assinatura correto (ECDSAP256SHA256e digite 13) e o algoritmo de resumo (SHA-256 e tipo 2).

     Se o Route 53 for o registrador, siga este procedimento no console do Route 53:

     1. Observe os valores de Key type (Tipo de chave), Signing algorithm (Algoritmo de assinatura) e Public key (Chave pública). No painel de navegação, escolha Registered domains (Domínios registrados).

     2. Selecione um domínio e, ao lado de DNSSECstatus, escolha Gerenciar chaves.

     3. Na caixa de diálogo Gerenciar DNSSEC chaves, escolha o tipo de chave e o algoritmo apropriados para o registrador do Route 53 nos menus suspensos.

     4. Copiar a Public key (Chave pública) para o registrador do Route 53. Na caixa de diálogo Gerenciar DNSSEC chaves, cole o valor na caixa Chave pública.

     5. Escolha Add (Adicionar).

        O Route 53 adicionará o registro DS à zona pai da chave pública. Por exemplo, se o seu domínio forexample.com, o registro DS será adicionado à DNS zona .com.

   • Se a zona principal estiver hospedada no Route 53 ou se o domínio for gerenciado em outro registro, entre em contato com a zona principal ou com o proprietário do registro do domínio para seguir estas instruções:

     Para garantir que as etapas a seguir ocorram sem problemas, introduza um DS TTL baixo na zona principal. Recomendamos definir o DS TTL para 5 minutos (300 segundos) para uma recuperação mais rápida se você precisar reverter suas alterações.

     • Caso sua zona pai seja administrada por outro registro, entre em contato com o registrador para introduzir o registro de DS da sua zona. Normalmente, você não conseguirá ajustar TTL o registro DS.

     • Se a zona pai estiver hospedada no Route 53, entre em contato com o proprietário da zona pai para introduzir o registro de DS da sua zona.

       Forneça o $ds_record_value ao proprietário da zona pai. Você pode obtê-lo clicando em Exibir informações para criar um registro DS no console e copiar o campo de registro DS, ou chamando Get DNSSEC API e recuperando o valor do campo 'DSRecord':

       aws --region us-east-1 route53 get-dnssec 
                   --hosted-zone-id $hostedzone_id

       O proprietário da zona principal pode inserir o registro por meio do console do Route 53 ouCLI.

       • Para inserir o registro DS usando AWS CLI, o proprietário da zona principal cria e nomeia um JSON arquivo semelhante ao exemplo a seguir. O proprietário da zona pai pode atribuir ao arquivo um nome semelhante a inserting_ds.json.

         {
             "HostedZoneId": "$parent_zone_id",
             "ChangeBatch": {
                 "Comment": "Inserting DS for zone $zone_name",
                 "Changes": [
                     {
                         "Action": "UPSERT",
                         "ResourceRecordSet": {
                             "Name": "$zone_name",
                             "Type": "DS",
                             "TTL": 300,
                             "ResourceRecords": [
                                 {
                                     "Value": "$ds_record_value"
                                 }
                             ]
                         }
                     }
                 ]
             }
         }

         Em seguida, execute o seguinte comando:

         aws --region us-east-1 route53 change-resource-record-sets 
                     --cli-input-json file://inserting_ds.json

       • Para inserir o registro de DS usando o console:

         Abra o console do Route 53 em https://console.aws.amazon.com/route53/.

         No painel de navegação, escolha Hosted zones (Zonas hospedadas), o nome da zona hospedada e depois Create record (Criar registro). Escolha o roteamento simples para Routing policy (Política de roteamento).

         No campo Record name (Nome de registro), insira o mesmo nome que $zone_name, selecione DS para Record type (Tipo de registro) e insira o valor de $ds_record_value no campo Value (Valor) e escolha Create records (Criar registros).

   Reversão: remova o DS da zona principal, aguarde o DS eTTL, em seguida, reverta as etapas para estabelecer confiança. Se a zona principal estiver hospedada no Route 53, o proprietário da zona principal poderá alterar o Action de UPSERT para DELETE no JSON arquivo e executar novamente o exemplo CLI acima.

6. Aguarde a propagação das atualizações, com base nos registros do TTL seu domínio.

   Se a zona principal estiver no DNS serviço Route 53, o proprietário da zona principal poderá confirmar a propagação completa por meio do GetChangeAPI.

   Caso contrário, você poderá sondar periodicamente a zona pai no que diz respeito ao registro DS e aguardar mais 10 minutos depois para aumentar a probabilidade de a inserção do registro de DS ser completamente propagada. Alguns registradores agendam a inserção do DS, por exemplo, uma vez ao dia.

1. Encontre o NS máximoTTL.

   Existem dois conjuntos de registros de NS associados às suas zonas:

   • O registro de NS de delegação, ou seja, o registro de NS da sua zona mantida pela zona pai. Você pode encontrá-lo executando os seguintes comandos Unix (se sua zona for example.com, a zona pai será com):

     dig -t NS com

     Escolha um dos registros de NS e execute o seguinte:

     dig @one of the NS records of your parent zone -t NS example.com

     Por exemplo:

     dig @b.gtld-servers.net. -t NS example.com

   • O registro de NS na zona, ou seja, o registro de NS na sua zona. Você pode localizá-lo executando o seguinte comando Unix:

     dig @one of the NS records of your zone -t NS example.com

     Por exemplo:

     dig @ns-0000.awsdns-00.co.uk. -t NS example.com

     Observe o máximo TTL para ambas as zonas.

2. Aguarde o NS máximoTTL.

   Antes da inserção do DS, os resolvedores recebem uma resposta assinada, mas não validam a assinatura. Quando o registro de DS for inserido, os resolvedores apenas o verão quando o registro de NS da zona expirar. Quando os resolvedores voltarem a buscar o registro de NS, o registro de DS também será retornado.

   Se o seu cliente estiver executando um resolvedor em um host com um relógio fora de sincronia, verifique se esse relógio está dentro de 1 hora após a hora correta.

   Depois de concluir essa etapa, todos os DNSSEC resolvedores compatíveis validarão sua zona.

3. Observe a resolução de nomes.

   Você deve observar que não existem problemas com resolvedores validando sua zona. Não deixe de considerar o tempo necessário para os seus clientes informarem problemas para você.

   Convém fazer um monitoramento por até 2 semanas.

4. (Opcional) Aumente o DS e o NSTTLs.

   Se estiver satisfeito com a configuração, você pode salvar TTL as SOA alterações feitas. Observe que o Route 53 limita TTL a 1 semana para zonas assinadas. Para obter mais informações, consulte Configurando a DNSSEC assinatura no Amazon Route 53.

   Se você puder alterar o DSTTL, recomendamos que você o defina para 1 hora.