V tomto článku sa dozviete:
- Čo je DNSSEC
- Ako nastaviť DNSSEC na doméne
- Ako nastaviť DNSSEC hromadne
- Bežné problémy
- Často kladené otázky
DNSSEC
DNSSEC je metóda zabezpečenia domény proti pokusom o podvrhnutie DNS. Pomocou bezpečnostných kľúčov zaisťuje, že informácie získané z DNS sú úplné, poskytnuté správnym zdrojom a počas prenosu s nimi žiadna tretia strana neoprávnene nemanipulovala.
DNSSEC môžete nastaviť u všetkých domén, ktoré túto metódu podporujú:
- všetky domény CZ a EU, ktoré registrujeme;
- všetky domény SK a gTLD (vrátane nTLD), ktoré registrujeme, ale nepoužívajú naše DNS servery.
Domény PL momentálne DNSSEC nepodporujú.
Nastavenie DNSSEC na doméne
Nastavenie zabezpečenia DNSSEC zvyčajne trvá až 6 hodín.
DNSSEC nastavíte za týchto podmienok:
- Domény CZ a EU musia byť registrované u nás a môžu, ale nemusia, používať naše DNS servery.
- Domény SK a generické domény (COM, NET, WEBSITE, …) musia byť registrované u nás, ale nesmú používať naše DNS servery.
Do nastavenia DNSSEC vstúpite týmito krokmi:
- Prihláste sa do zákazníckej administrácie ⧉.
- V hornom menu vyberte Domains.
- V prehľade vyberte doménu, na ktorej chcete DNSSEC nastaviť.
- V ľavom menu vyberte DNSSEC settings.
Ďalej pokračujte podľa pokynov pre Vašu koncovku domény:
Aktivácia DNSSEC u domén CZ a EU
U domén s koncovkami CZ a EU nastavujeme DNSSEC v predvolenom stave automaticky. Ak chcete automatické nastavenie vypnúť, odškrtnite v sekcii Customer options možnosť Allow future automatic setting/cancellation of WEDOS DNSSEC.
U domén CZ a EU ponúkame kompletné riešenie DNSSEC. Doména aj DNS servery (NSSET) musia byť v tomto prípade v správe WEDOS.
V rozhraní nastavenia DNSSEC zaškrtnite voľbu use WEDOS DNSSEC a kliknite na tlačidlo Set DNSSEC.
U týchto domén môžete tiež v rámčeku s rovnakým názvom set future automatic setting/cancellation of WEDOS DNSSEC pre prípad, že by systém zaznamenal problémy s DNSSEC.
Ak nepoužívate DNS servery (NSSET) WEDOS, môžete použiť existujúci custom KEYSET, alebo create and use custom KEYSET. Podpísanie DNS záznamov na DNS serveroch rieši poskytovateľ služieb DNS alebo správca domény (zákazník).
Aktivácia DNSSEC u domén SK a generických domén
U domén SK, gTLD a nTLD ponúkame možnosť aktivovať DNSSEC, ale DNS servery musíte mať nastavené u iného poskytovateľa. Od tohto poskytovateľa (ak podporuje DNSSEC) tiež získajte kľúče typu Digest alebo Public key. Podpísanie DNS záznamov na DNS serveroch rieši poskytovateľ služieb DNS alebo správca domény (zákazník).
V rozhraní nastavenia DNSSEC postupujte týmito krokmi:
- Zaškrtnite voľbu use custom DNSSEC keys.
- V tabuľke Vlastní DNSSEC klíče vyberte typ klíče a zadejte odpovídající hodnoty.
- Nastavenie uložte kliknutím na tlačidlo Set DNSSEC.
Deaktivácia DNSSEC
V rozhraní nastavenia DNSSEC zaškrtnite voľbu do not use DNSSEC a kliknite na tlačidlo Set DNSSEC.
Hromadné nastavenie DNSSEC
V súčasnosti podporujú hromadné nastavenie DNSSEC iba domény CZ a EU, ktoré sú registrované u nás. Odporúčame používať naše DNS servery.
Hromadné nastavenie DNSSEC vykonáte týmito krokmi:
- Prihláste sa do zákazníckej administrácie ⧉.
- V hornom menu vyberte Domains.
- V přehledu zaškrtněte CZ a EU domény, u kterých chcete DNSSEC hromadně nastavit.
- V spodnej časti tabuľky vyberte DNSSEC settings.
- Kliknite na tlačidlo Execute.
V nasledujúcom sprievodcovi zadajte požadované nastavenie a potvrďte ho tlačidlom Finish.
Bežné problémy
Medzi bežné problémy s DNSSEC patria:
SK alebo gTLD s WEDOS DNS
Problém: Zobrazuje sa chybové hlásenie ERROR: DNSSEC for this domain is allowed only when using external DNS servers. None of our DNS servers may be used for the domain.
Príčina: DNSSEC na doménach SK a generických (COM, NET, ONLINE, …) nastavíte iba vtedy, ak nepoužívate naše DNS servery.
Riešenie: Zmeňte DNS servery na iného poskytovateľa, ktorý podporuje DNSSEC.
Často kladené otázky
Môžem u domén CZ a EU použiť vlastný KEYSET?
Áno, ale nesmiete používať naše DNS servery.
Prečo musím pre generické domény používať cudzie DNS servery?
U domén gTLD nie je z našej strany z technických dôvodov možné proces nastavenia DNSSEC dostatočne zautomatizovať. Registre domén CZ a EU podporujú objekty typu KEYSET, vďaka ktorým môžeme vykonávať rotáciu kľúčov DNSSEC v nadradenej zóne hromadne pre všetky dotknuté domény jedným príkazom. U ostatných registrov by sme museli kľúče meniť jednotlivo pre každú doménu, a to sa v niektorých prípadoch ani nemusí podariť z dôvodu prípadných obmedzení domén zo strany registra. Nevykonaná rotácia kľúča by potom mohla spôsobiť nedostupnosť domény z dôvodu narušeného reťazca kľúčov DNSSEC.
Ako vypnúť DNSSEC?
V rozhraní nastavenia DNSSEC zaškrtnite voľbu do not use DNSSEC a potvrďte. Podobne ako všetky nastavenia DNSSEC, aj toto sa prejaví za niekoľko hodín.
Ako prebieha zrušenie DNSSEC?
Príkaz na odobratie kľúčov DNSSEC z nadradenej zóny systém odošle registru okamžite. Ak doména používa naše DNS servery, po odoslaní príkazu čakáte na vypršanie TTL kľúčov DNSSEC v nadradenej zóne. Po vypršaní TTL systém odstráni podpis zóny na našich DNS serveroch a tým dokončí požiadavku na zrušenie DNSSEC u domény. Počas vybavovania požiadavky na zrušenie DNSSEC nemôžete u domény žiadnym spôsobom meniť nastavenie DNSSEC.