In questo articolo scoprirà:
- Cos’è il DNSSEC
- Come impostare il DNSSEC su un dominio
- Come impostare il DNSSEC in modo massivo
- Problemi comuni
- Domande frequenti
DNSSEC
Il DNSSEC è un metodo per proteggere il dominio dai tentativi di falsificazione del DNS (DNS spoofing). Mediante chiavi di sicurezza garantisce che le informazioni ottenute dal DNS siano complete, fornite dalla fonte corretta e che durante il trasferimento nessuna terza parte le abbia manipolate in modo non autorizzato.
Può impostare il DNSSEC su tutti i domini che supportano questo metodo:
- tutti i domini CZ ed EU che registriamo;
- tutti i domini SK e gTLD (compresi gli nTLD) che registriamo, ma che non utilizzano i nostri server DNS.
I domini PL al momento non supportano il DNSSEC.
Impostazione del DNSSEC su un dominio
L’impostazione della protezione DNSSEC richiede di norma fino a 6 ore.
Può impostare il DNSSEC alle seguenti condizioni:
- I domini CZ ed EU devono essere registrati presso di noi e possono, ma non devono, utilizzare i nostri server DNS.
- Domini SK e domini generici (COM, NET, WEBSITE, …) devono essere registrati presso di noi, ma non devono utilizzare i nostri DNS.
Per accedere alle impostazioni del DNSSEC, segua questi passaggi:
- Acceda all‘ amministrazione clienti ⧉.
- Nel menu in alto selezioni Domains.
- Nell’elenco selezioni il dominio per il quale desidera impostare il DNSSEC.
- Nel menu a sinistra selezioni DNSSEC settings.
Prosegua quindi seguendo le istruzioni per l’estensione del Suo dominio:
Attivazione del DNSSEC sui domini CZ ed EU
Per i domini con estensione CZ ed EU il DNSSEC viene impostato automaticamente per impostazione predefinita. Se desidera disattivare l’impostazione automatica, deselezioni nella sezione Customer options opzione Allow future automatic setting/cancelling of WEDOS DNSSEC.
Per i domini CZ ed EU offriamo una soluzione DNSSEC completa. In questo caso sia il dominio sia i server DNS (NSSET) devono essere gestiti da WEDOS.
Nell’interfaccia di impostazione del DNSSEC selezioni l’opzione use WEDOS DNSSEC e faccia clic sul pulsante Set DNSSEC.
Per questi domini può inoltre, nel riquadro omonimo, impostare la futura impostazione/annullamento automatici del DNSSEC WEDOS nel caso in cui il sistema rilevi problemi con il DNSSEC.
Se non utilizza i server DNS (NSSET) di WEDOS, può usare un KEYSET personale esistente, oppure creare e utilizzare un KEYSET personale. La firma dei record DNS sui server DNS è gestita dal fornitore del servizio DNS o dall’amministratore del dominio (cliente).
Attivazione del DNSSEC sui domini SK e sui domini generici
Per i domini SK, gTLD e nTLD offriamo la possibilità di attivare il DNSSEC, ma i server DNS devono essere configurati presso un altro fornitore. Da questo fornitore (se supporta il DNSSEC) ottenga anche le chiavi di tipo Digest o Public key. La firma dei record DNS sui server DNS è gestita dal fornitore del servizio DNS o dall’amministratore del dominio (cliente).
Nell’interfaccia di impostazione del DNSSEC segua questi passaggi:
- Selezioni l’opzione use custom DNSSEC keys.
- Nella tabella Custom DNSSEC keys selezioni il tipo di chiave e inserisca i valori corrispondenti.
- Salvi le impostazioni facendo clic sul pulsante Set DNSSEC.
Disattivazione del DNSSEC
Nell’interfaccia di impostazione del DNSSEC selezioni l’opzione do not use DNSSEC e faccia clic sul pulsante Set DNSSEC.
Impostazione massiva del DNSSEC
Attualmente l’impostazione massiva del DNSSEC è supportata solo per i domini CZ ed EU registrati presso di noi. Consigliamo di utilizzare i nostri server DNS.
Per impostare il DNSSEC in modo massivo, segua questi passaggi:
- Acceda all‘ amministrazione clienti ⧉.
- Nel menu in alto selezioni Domains.
- Nella panoramica selezioni i domini CZ ed EU per i quali desidera impostare DNSSEC in blocco.
- Nella parte inferiore della tabella selezioni DNSSEC settings.
- Faccia clic sul pulsante Execute.
Nella procedura guidata successiva inserisca le impostazioni desiderate e le confermi con il pulsante Finish.
Problemi comuni
Tra i problemi comuni con il DNSSEC rientrano:
SK o gTLD con DNS WEDOS
Problema: Viene visualizzato il messaggio di errore ERROR: DNSSEC for this domain is only allowed when using external DNS servers. None of our DNS servers may be used for the domain.
Causa: Il DNSSEC sui domini SK e generici (COM, NET, ONLINE, …) può essere impostato solo se non utilizza i nostri server DNS.
Soluzione: Cambi i server DNS con quelli di un altro fornitore che supporti il DNSSEC.
Domande frequenti
Posso utilizzare un KEYSET personale per i domini CZ ed EU?
Sì, ma non deve utilizzare i nostri server DNS.
Perché per i domini generici devo utilizzare server DNS di terzi?
Per i domini gTLD, per motivi tecnici, da parte nostra non è possibile automatizzare in modo sufficiente il processo di impostazione del DNSSEC. I registri dei domini CZ ed EU supportano gli oggetti di tipo KEYSET, grazie ai quali possiamo effettuare la rotazione delle chiavi DNSSEC nella zona superiore in modo massivo per tutti i domini interessati con un unico comando. Con gli altri registri dovremmo sostituire le chiavi singolarmente per ogni dominio e in alcuni casi l’operazione potrebbe anche non riuscire a causa di eventuali limitazioni dei domini imposte dal registro. Una rotazione della chiave non eseguita potrebbe quindi rendere il dominio non raggiungibile a causa dell’interruzione della catena delle chiavi DNSSEC.
Come si disattiva il DNSSEC?
Nell’interfaccia di impostazione del DNSSEC selezioni l’opzione do not use DNSSEC e confermi. Come per tutte le impostazioni del DNSSEC, anche questa avrà effetto dopo alcune ore.
Come avviene l’annullamento del DNSSEC?
Il sistema invia al registro immediatamente il comando per la rimozione delle chiavi DNSSEC dalla zona superiore. Se il dominio utilizza i nostri server DNS, dopo l’invio del comando occorre attendere la scadenza del TTL delle chiavi DNSSEC nella zona superiore. Alla scadenza del TTL il sistema rimuove la firma della zona dai nostri server DNS, completando così la richiesta di annullamento del DNSSEC per il dominio. Durante l’elaborazione della richiesta di annullamento del DNSSEC non è possibile modificare in alcun modo le impostazioni DNSSEC del dominio.