V tem članku boste izvedeli:
- Kaj je DNSSEC
- Kako nastaviti DNSSEC za domeno
- Kako množično nastaviti DNSSEC
- Pogoste težave
- Pogosto zastavljena vprašanja
DNSSEC
DNSSEC je metoda zaščite domene pred poskusi ponarejanja DNS. Z varnostnimi ključi zagotavlja, da so informacije, pridobljene iz DNS, popolne, da jih je posredoval pravi vir in da jih med prenosom nobena tretja oseba nepooblaščeno spreminjala.
DNSSEC lahko nastavite pri vseh domenah, ki to metodo podpirajo:
- vse domene CZ in EU, ki jih registriramo;
- vse domene SK in gTLD (vključno z nTLD), ki jih registriramo, vendar ne uporabljajo naših strežnikov DNS.
Domene PL trenutno ne podpirajo DNSSEC.
Nastavitev DNSSEC za domeno
Nastavitev zaščite DNSSEC običajno traja do 6 ur.
DNSSEC lahko nastavite pod naslednjimi pogoji:
- Domene CZ in EU morajo biti registrirane pri nas in lahko, vendar ni nujno, uporabljajo naše strežnike DNS.
- Domene SK in generične domene (COM, NET, WEBSITE, …) morajo biti registrirane pri nas, vendar ne smejo uporabljati našega DNS.
Za vstop v nastavitve DNSSEC sledite tem korakom:
- Prijavite se v Customer Administration ⧉.
- V zgornjem meniju izberite Domains.
- V pregledu izberite domeno, za katero želite nastaviti DNSSEC.
- V levem meniju izberite DNSSEC settings.
Nato nadaljujte po navodilih za končnico vaše domene:
Aktivacija DNSSEC pri domenah CZ in EU
Pri domenah s končnico CZ in EU DNSSEC privzeto nastavimo samodejno. Če želite samodejno nastavitev izklopiti, odkljukajte v razdelku Customer options možnost Allow future automatic DNSSEC setup/cancellation by WEDOS.
Za domene CZ in EU ponujamo celovito rešitev DNSSEC. Tako domena kot strežniki DNS (NSSET) morajo biti v tem primeru v upravljanju WEDOS.
V vmesniku za nastavitev DNSSEC obkljukajte možnost use WEDOS DNSSEC in kliknite gumb Set DNSSEC.
Pri teh domenah lahko v istoimenskem okviru nastavite prihodnjo samodejno nastavitev/preklic DNSSEC WEDOS za primer, da bi sistem zaznal težave z DNSSEC.
Če ne uporabljate strežnikov DNS (NSSET) WEDOS, lahko uporabite obstoječi lastni KEYSET, ali ustvarite in uporabite lastni KEYSET. Podpisovanje zapisov DNS na strežnikih DNS opravi ponudnik storitev DNS ali upravitelj domene (stranka).
Aktivacija DNSSEC pri domenah SK in generičnih domenah
Pri domenah SK, gTLD in nTLD ponujamo možnost aktivacije DNSSEC, vendar strežnike DNS morate imeti nastavljene pri drugem ponudniku. Pri tem ponudniku (če podpira DNSSEC) pridobite tudi ključe tipa Digest ali Public key. Podpisovanje zapisov DNS na strežnikih DNS opravi ponudnik storitev DNS ali upravitelj domene (stranka).
V vmesniku za nastavitev DNSSEC sledite tem korakom:
- Obkljukajte možnost use custom DNSSEC keys.
- V tabeli Vlastní DNSSEC klíče vyberte typ klíče a zadejte odpovídající hodnoty.
- Nastavitev shranite s klikom na gumb Set DNSSEC.
Deaktivacija DNSSEC
V vmesniku za nastavitev DNSSEC obkljukajte možnost do not use DNSSEC in kliknite gumb Set DNSSEC.
Množična nastavitev DNSSEC
Trenutno množično nastavitev DNSSEC podpirajo samo domene CZ in EU, ki so registrirane pri nas. Priporočamo uporabo naših strežnikov DNS.
Množično nastavitev DNSSEC izvedite s temi koraki:
- Prijavite se v Customer Administration ⧉.
- V zgornjem meniju izberite Domains.
- V přehledu zaškrtněte CZ a EU domény, u kterých chcete DNSSEC hromadně nastavit.
- V spodnjem delu tabele izberite DNSSEC settings.
- Kliknite gumb Perform.
V naslednjem čarovniku vnesite želene nastavitve in jih potrdite z gumbom Finish.
Pogoste težave
Med pogoste težave z DNSSEC spadajo:
SK ali gTLD z WEDOS DNS
Težava: Prikaže se sporočilo o napaki ERROR: DNSSEC for this domain is only allowed when using external DNS servers. None of our DNS servers may be used for the domain.
Vzrok: DNSSEC lahko pri domenah SK in generičnih domenah (COM, NET, ONLINE, …) nastavite le, če ne uporabljate naših strežnikov DNS.
Rešitev: Zamenjajte strežnike DNS pri drugem ponudniku, ki podpira DNSSEC.
Pogosto zastavljena vprašanja
Ali lahko pri domenah CZ in EU uporabim lasten KEYSET?
Da, vendar ne smete uporabljati naših strežnikov DNS.
Zakaj moram pri generičnih domenah uporabljati tuje strežnike DNS?
Pri domenah gTLD z naše strani iz tehničnih razlogov ni mogoče dovolj avtomatizirati postopka nastavitve DNSSEC. Registri domen CZ in EU podpirajo objekte tipa KEYSET, zaradi katerih lahko rotacijo ključev DNSSEC v nadrejeni coni izvedemo množično za vse zadevne domene z enim ukazom. Pri drugih registrih bi morali ključe zamenjevati posamično za vsako domeno, kar se v nekaterih primerih zaradi morebitnih omejitev domen s strani registra sploh ne bi uspelo. Neizvedena rotacija ključa bi lahko povzročila nedostopnost domene zaradi prekinjene verige ključev DNSSEC.
Kako izklopiti DNSSEC?
V vmesniku za nastavitev DNSSEC obkljukajte možnost do not use DNSSEC in potrdite. Podobno kot vse nastavitve DNSSEC se tudi ta uveljavi v nekaj urah.
Kako poteka preklic DNSSEC?
Ukaz za odstranitev ključev DNSSEC iz nadrejene cone sistem registru pošlje takoj. Če domena uporablja naše strežnike DNS, po pošiljanju ukaza počakate, da poteče TTL ključev DNSSEC v nadrejeni coni. Ko TTL poteče, sistem odstrani podpis cone na naših strežnikih DNS in s tem zaključi zahtevo za preklic DNSSEC pri domeni. Med obravnavo zahteve za preklic DNSSEC nastavitev DNSSEC pri domeni ne morete spreminjati.