Z tego artykułu dowiesz się:
- Czym jest DNSSEC
- Jak skonfigurować DNSSEC dla domeny
- Jak skonfigurować DNSSEC zbiorczo
- Typowe problemy
- Często zadawane pytania
DNSSEC
DNSSEC to metoda zabezpieczenia domeny przed próbami podszywania się pod DNS. Za pomocą kluczy bezpieczeństwa zapewnia, że informacje pobrane z DNS są kompletne, pochodzą z właściwego źródła i że w trakcie przesyłania żadna osoba trzecia nie zmanipulowała ich w sposób nieuprawniony.
DNSSEC możesz skonfigurować dla wszystkich domen, które obsługują tę metodę:
- wszystkie domeny CZ i EU, które rejestrujemy;
- wszystkie domeny SK i gTLD (w tym nTLD), które rejestrujemy, ale które nie korzystają z naszych serwerów DNS.
Domeny PL obecnie nie obsługują DNSSEC.
Konfiguracja DNSSEC dla domeny
Konfiguracja zabezpieczenia DNSSEC zazwyczaj trwa do 6 godzin.
DNSSEC skonfigurujesz, jeśli spełnione są następujące warunki:
- Domeny CZ i EU muszą być zarejestrowane u nas i mogą, ale nie muszą, korzystać z naszych serwerów DNS.
- Domeny SK i domeny generyczne (COM, NET, WEBSITE, …) muszą być zarejestrowane u nas, ale nie mogą korzystać z naszych serwerów DNS.
Aby przejść do konfiguracji DNSSEC, wykonaj następujące kroki:
- Zaloguj się do administracji klienta ⧉.
- W górnym menu wybierz Domains.
- Na liście wybierz domenę, dla której chcesz skonfigurować DNSSEC.
- W lewym menu wybierz DNSSEC settings.
Dalej postępuj zgodnie z instrukcjami dla rozszerzenia Twojej domeny:
Aktywacja DNSSEC dla domen CZ i EU
Dla domen z rozszerzeniami CZ i EU domyślnie konfigurujemy DNSSEC automatycznie. Aby wyłączyć automatyczną konfigurację, odznacz w sekcji Customer options opcję Allow future automatic setting/cancellation of WEDOS DNSSEC.
Dla domen CZ i EU oferujemy kompletne rozwiązanie DNSSEC. W tym przypadku zarówno domena, jak i serwery DNS (NSSET) muszą być zarządzane przez WEDOS.
W interfejsie konfiguracji DNSSEC zaznacz opcję use WEDOS DNSSEC i kliknij przycisk Set DNSSEC.
Dla tych domen możesz też w ramce o tej samej nazwie set future automatic setting/cancellation of WEDOS DNSSEC na wypadek, gdyby system wykrył problemy z DNSSEC.
Jeśli nie korzystasz z serwerów DNS (NSSET) WEDOS, możesz użyć istniejącego custom KEYSET, lub create and use custom KEYSET. Podpisywanie rekordów DNS na serwerach DNS zapewnia dostawca usług DNS lub administrator domeny (klient).
Aktywacja DNSSEC dla domen SK i domen generycznych
Dla domen SK, gTLD i nTLD oferujemy możliwość aktywacji DNSSEC, ale serwery DNS musisz mieć skonfigurowane u innego dostawcy. Od tego dostawcy (jeśli obsługuje DNSSEC) uzyskaj również klucze typu Digest lub Public key. Podpisywanie rekordów DNS na serwerach DNS zapewnia dostawca usług DNS lub administrator domeny (klient).
W interfejsie konfiguracji DNSSEC wykonaj następujące kroki:
- Zaznacz opcję use custom DNSSEC keys.
- W tabeli Vlastní DNSSEC klíče vyberte typ klíče a zadejte odpovídající hodnoty.
- Zapisz ustawienia, klikając przycisk Set DNSSEC.
Dezaktywacja DNSSEC
W interfejsie konfiguracji DNSSEC zaznacz opcję do not use DNSSEC i kliknij przycisk Set DNSSEC.
Zbiorcza konfiguracja DNSSEC
Obecnie zbiorczą konfigurację DNSSEC obsługują wyłącznie domeny CZ i EU zarejestrowane u nas. Zalecamy korzystanie z naszych serwerów DNS.
Aby skonfigurować DNSSEC zbiorczo, wykonaj następujące kroki:
- Zaloguj się do administracji klienta ⧉.
- W górnym menu wybierz Domains.
- V přehledu zaškrtněte CZ a EU domény, u kterých chcete DNSSEC hromadně nastavit.
- W dolnej części tabeli wybierz DNSSEC settings.
- Kliknij przycisk Execute.
W kolejnym kreatorze wprowadź wymagane ustawienia i zatwierdź je przyciskiem Finish.
Typowe problemy
Do typowych problemów z DNSSEC należą:
SK lub gTLD z WEDOS DNS
Problem: Wyświetla się komunikat o błędzie ERROR: DNSSEC for this domain is allowed only when using external DNS servers. None of our DNS servers may be used for the domain.
Przyczyna: DNSSEC dla domen SK i generycznych (COM, NET, ONLINE, …) skonfigurujesz tylko wtedy, gdy nie korzystasz z naszych serwerów DNS.
Rozwiązanie: Zmień serwery DNS na serwery innego dostawcy, który obsługuje DNSSEC.
Często zadawane pytania
Czy dla domen CZ i EU mogę użyć własnego KEYSET?
Tak, ale nie możesz korzystać z naszych serwerów DNS.
Dlaczego dla domen generycznych muszę korzystać z zewnętrznych serwerów DNS?
W przypadku domen gTLD z przyczyn technicznych nie jesteśmy w stanie wystarczająco zautomatyzować procesu konfiguracji DNSSEC. Rejestry domen CZ i EU obsługują obiekty typu KEYSET, dzięki którym możemy przeprowadzać rotację kluczy DNSSEC w strefie nadrzędnej zbiorczo dla wszystkich objętych nią domen jednym poleceniem. W przypadku pozostałych rejestrów musielibyśmy wymieniać klucze osobno dla każdej domeny, co w niektórych przypadkach mogłoby się nawet nie udać z powodu ewentualnych ograniczeń nałożonych na domeny przez rejestr. Nieprzeprowadzona rotacja klucza mogłaby wtedy spowodować niedostępność domeny z powodu przerwanego łańcucha kluczy DNSSEC.
Jak wyłączyć DNSSEC?
W interfejsie konfiguracji DNSSEC zaznacz opcję do not use DNSSEC i zatwierdź. Podobnie jak wszystkie ustawienia DNSSEC, ta zmiana zacznie obowiązywać po kilku godzinach.
Jak przebiega anulowanie DNSSEC?
Polecenie usunięcia kluczy DNSSEC ze strefy nadrzędnej system wysyła do rejestru natychmiast. Jeśli domena korzysta z naszych serwerów DNS, po wysłaniu polecenia należy poczekać na wygaśnięcie TTL kluczy DNSSEC w strefie nadrzędnej. Po wygaśnięciu TTL system usuwa podpis strefy na naszych serwerach DNS i tym samym kończy realizację żądania anulowania DNSSEC dla domeny. W trakcie realizacji żądania anulowania DNSSEC nie możesz w żaden sposób zmieniać ustawień DNSSEC dla tej domeny.