In diesem Artikel erfahren Sie:
- Was ist DNSSEC?
- So richten Sie DNSSEC für eine Domain ein
- So richten Sie DNSSEC für mehrere Domains gleichzeitig ein
- Häufige Probleme
- Häufig gestellte Fragen
DNSSEC
DNSSEC ist eine Methode, um eine Domain gegen DNS-Spoofing zu schützen. Mithilfe von Sicherheitsschlüsseln stellt es sicher, dass die aus dem DNS abgerufenen Informationen vollständig sind, von der richtigen Quelle stammen und während der Übertragung nicht von Dritten unbefugt manipuliert wurden.
DNSSEC können Sie für alle Domains einrichten, die diese Methode unterstützen:
- alle CZ- und EU-Domains, die wir registrieren;
- alle SK- und gTLD-Domains (einschließlich nTLD), die wir registrieren, die aber unsere DNS-Server nicht verwenden.
PL-Domains unterstützen DNSSEC derzeit nicht.
DNSSEC für eine Domain einrichten
Die Einrichtung der DNSSEC-Sicherheit dauert in der Regel bis zu 6 Stunden.
DNSSEC können Sie unter folgenden Bedingungen einrichten:
- CZ- und EU-Domains müssen bei uns registriert sein und dürfen unsere DNS-Server verwenden, müssen es aber nicht.
- SK-Domains und generische Domains (COM, NET, WEBSITE, …) müssen bei uns registriert sein, aber unsere DNS-Server nicht verwenden.
Um zu den DNSSEC-Einstellungen zu gelangen, gehen Sie wie folgt vor:
- Anmeldung in der Kundenadministration ⧉.
- Wählen Sie im oberen Menü Domains.
- Wählen Sie in der Übersicht die Domain aus, für die Sie DNSSEC einrichten möchten.
- Wählen Sie im linken Menü DNSSEC settings.
Fahren Sie anschließend gemäß den Anweisungen für Ihre Domainendung fort:
DNSSEC für CZ- und EU-Domains aktivieren
Bei Domains mit der Endung CZ und EU richten wir DNSSEC standardmäßig automatisch ein. Wenn Sie die automatische Einrichtung deaktivieren möchten, entfernen Sie im Bereich Customer Options Option Allow future automatic setting/cancellation of WEDOS DNSSEC.
Für CZ- und EU-Domains bieten wir eine vollständige DNSSEC-Lösung an. Sowohl die Domain als auch die DNS-Server (NSSET) müssen dabei von WEDOS verwaltet werden.
Aktivieren Sie in der Oberfläche für die DNSSEC-Einstellungen die Option use WEDOS DNSSEC und klicken Sie auf die Schaltfläche Set DNSSEC.
Bei diesen Domains können Sie außerdem im gleichnamigen Feld allow future automatic setting/cancellation of WEDOS DNSSEC für den Fall festlegen, dass das System Probleme mit DNSSEC feststellt.
Wenn Sie die DNS-Server (NSSET) von WEDOS nicht verwenden, können Sie ein vorhandenes custom KEYSETverwenden oder create and use custom KEYSET. Das Signieren der DNS-Einträge auf den DNS-Servern übernimmt der DNS-Anbieter oder der Domainverwalter (Kunde).
DNSSEC für SK-Domains und generische Domains aktivieren
Bei SK-, gTLD- und nTLD-Domains bieten wir die Möglichkeit, DNSSEC zu aktivieren, aber die DNS-Server müssen bei einem anderen Anbieter eingerichtet sein. Besorgen Sie sich von diesem Anbieter (sofern er DNSSEC unterstützt) auch die Schlüssel vom Typ Digest oder Public key. Das Signieren der DNS-Einträge auf den DNS-Servern übernimmt der DNS-Anbieter oder der Domainverwalter (Kunde).
Gehen Sie in der Oberfläche für die DNSSEC-Einstellungen wie folgt vor:
- Aktivieren Sie die Option use custom DNSSEC keys.
- In der Tabelle Custom DNSSEC keys wählen Sie den Schlüsseltyp aus und geben Sie die entsprechenden Werte ein.
- Speichern Sie die Einstellungen, indem Sie auf die Schaltfläche Set DNSSEC.
DNSSEC deaktivieren
Aktivieren Sie in der Oberfläche für die DNSSEC-Einstellungen die Option do not use DNSSEC und klicken Sie auf die Schaltfläche Set DNSSEC.
Gesammelte DNSSEC-Einrichtung
Derzeit unterstützen nur CZ- und EU-Domains, die bei uns registriert sind, die gesammelte DNSSEC-Einrichtung. Wir empfehlen, unsere DNS-Server zu verwenden.
Gehen Sie für die gesammelte DNSSEC-Einrichtung wie folgt vor:
- Anmeldung in der Kundenadministration ⧉.
- Wählen Sie im oberen Menü Domains.
- Markieren Sie in der Übersicht die CZ- und EU-Domains, für die Sie DNSSEC gesammelt einrichten möchten.
- Wählen Sie im unteren Teil der Tabelle DNSSEC settings.
- Klicken Sie auf die Schaltfläche Execute.
Geben Sie im folgenden Assistenten die gewünschten Einstellungen ein und bestätigen Sie sie mit der Schaltfläche Finish.
Häufige Probleme
Zu den häufigen Problemen mit DNSSEC gehören:
SK oder gTLD mit WEDOS DNS
Problem: Es wird folgende Fehlermeldung angezeigt ERROR: DNSSEC is allowed for this domain only when using external DNS servers. None of our DNS servers may be used for the domain.
Ursache: DNSSEC können Sie für SK-Domains und generische Domains (COM, NET, ONLINE, …) nur einrichten, wenn Sie unsere DNS-Server nicht verwenden.
Lösung: Wechseln Sie die DNS-Server zu einem anderen Anbieter, der DNSSEC unterstützt.
Häufig gestellte Fragen
Kann ich bei CZ- und EU-Domains ein eigenes KEYSET verwenden?
Ja, Sie dürfen dabei jedoch unsere DNS-Server nicht verwenden.
Warum muss ich für generische Domains fremde DNS-Server verwenden?
Bei gTLD-Domains ist es aus technischen Gründen von unserer Seite nicht möglich, die DNSSEC-Einrichtung ausreichend zu automatisieren. Die Registries der CZ- und EU-Domains unterstützen Objekte vom Typ KEYSET, mit denen wir die DNSSEC-Schlüssel in der übergeordneten Zone für alle betroffenen Domains mit einem einzigen Befehl gesammelt rotieren können. Bei den anderen Registries müssten wir die Schlüssel für jede Domain einzeln austauschen, und das gelingt in manchen Fällen aufgrund möglicher Einschränkungen der Domains durch die Registry nicht einmal. Eine nicht durchgeführte Schlüsselrotation könnte dann dazu führen, dass die Domain wegen einer unterbrochenen DNSSEC-Schlüsselkette nicht erreichbar ist.
Wie deaktiviere ich DNSSEC?
Aktivieren Sie in der Oberfläche für die DNSSEC-Einstellungen die Option do not use DNSSEC und bestätigen Sie. Wie alle DNSSEC-Einstellungen wird auch diese erst nach einigen Stunden wirksam.
Wie läuft die Deaktivierung von DNSSEC ab?
Den Befehl zum Entfernen der DNSSEC-Schlüssel aus der übergeordneten Zone sendet das System sofort an die Registry. Wenn die Domain unsere DNS-Server verwendet, warten Sie nach dem Senden des Befehls, bis die TTL der DNSSEC-Schlüssel in der übergeordneten Zone abgelaufen ist. Nach Ablauf der TTL entfernt das System die Zonensignatur auf unseren DNS-Servern und schließt damit die Anfrage zur Deaktivierung von DNSSEC für die Domain ab. Während die Anfrage zur Deaktivierung von DNSSEC bearbeitet wird, können Sie die DNSSEC-Einstellungen der Domain in keiner Weise ändern.