Defaults.Exposed › Настройка › DNSSEC

Как да настроите DNSSEC в Cloudflare

Включете DNSSEC в Cloudflare и добавете DS записа при вашия регистратор, за да не може никой да фалшифицира вашите DNS отговори.

Защо това е важно за вашия бизнес

Когато някой въведе вашия домейн или ви изпрати имейл, компютърът им пита DNS системата за правилния адрес. Обикновено тези отговори пътуват без подпис, което означава, че нападател, успял да ги подмени, може безшумно да насочи вашите посетители към фалшив уебсайт или да пренасочи вашия имейл към собствения си сървър. Клиентите ви виждат вашия истински домейн в адресната лента цялото това време.

DNSSEC затваря тази пролука. Той криптографски подписва вашите DNS отговори, така че търсещият вас може да докаже, че отговорът действително е дошъл от вас и не е бил промен по пътя. Казано простичко: той спира престъпниците да отвлекат вашия домейн или да отровят търсенията, насочващи хората към вас. Безплатен е и е една от най-силните защити, които можете да включите за основата, на която всичко останало почива.

Как реално работи DNSSEC (за да имат смисъл стъпките)

DNSSEC има две половини, живеещи на две места:

Вашият DNS хост (Cloudflare) подписва вашите записи и публикува публичните ключове (DNSKEY) плюс малък пръстов отпечатък от тях, наречен DS запис.
Вашият регистратор (компанията, при която подновявате домейна) публикува този DS запис нагоре в родителската зона (например .com).

DS записът при регистратора е звеното в веригата на доверие. Cloudflare може да подписва цял ден, но докато съответстващият DS запис не бъде вписан при вашия регистратор, по-широкият интернет няма подписан начин да се довери на тези подписи. Така работата е в две стъпки: включете го в Cloudflare, след което предайте DS записа на вашия регистратор.

Реалният риск — правете го внимателно

DNSSEC може да извади целия ви домейн офлайн, ако е направен погрешно. Двата начина, по които се случва:

Публикуване на DS запис при регистратора, който не съответства на това, с което DNS хостът ви всъщност подписва.
Преместване на DNS на различен хост (или изключване на Cloudflare) без предварително премахване на DS записа при регистратора — старият DS запис продължава да изисква подписи, които вече не съществуват, и търсенията започват да се провалят.

Нито едно от двете е опасно, ако следвате потока по-долу по ред и никога не изтривате DS записа при регистратора, докато Cloudflare все още е вашият подписващ хост. Ако планирате да се преместите от Cloudflare, първо деактивирайте DNSSEC и премахнете DS записа при регистратора, след това се местете.

Потвърдете, че Cloudflare управлява вашия DNS

Това работи само ако Cloudflare отговаря на DNS за вашия домейн. Cloudflare е вашият DNS хост, а не непременно компанията, от която сте купили домейна. DNS на Cloudflare е активен само когато nameserver-ите на вашия домейн сочат към nameserver-ите на Cloudflare, показани в таблото ви. Отворете вашия домейн в Cloudflare и проверете страницата Overview, за да потвърдите, че Cloudflare е активен. Ако вашите nameserver-и сочат другаде, активирайте DNSSEC при доставчика, който всъщност управлява вашия DNS.

Стъпка по стъпка в Cloudflare

Влезте в Cloudflare и изберете вашия домейн.
В менюто вляво отидете в DNS, след това Settings (по-старите табла показват секция DNSSEC директно под DNS).
Намерете DNSSEC и кликнете Enable DNSSEC.
Cloudflare ще покаже панел с стойности — важното е DS записът. Обикновено ще видите полета като Key Tag, Algorithm, Digest Type, Digest и готов едноредов DS запис. Оставете панела отворен; трябва да копирате тези стойности при вашия регистратор.
Сега влезте при вашия регистратор (компанията, при която подновявате домейна — може да е или да не е Cloudflare).
Намерете секцията за DNSSEC или DS запис за вашия домейн при регистратора и добавете нов DS запис, използвайки точните стойности, дадени ви от Cloudflare:
- Key Tag — числото, показано от Cloudflare.
- Algorithm — обикновено 13 (ECDSA P-256 SHA-256).
- Digest Type — обикновено 2 (SHA-256).
- Digest — дългият шестнадесетичен низ, копиран точно.
Запазете при регистратора. Ако вашият регистратор ви позволява да поставите единичен комбиниран ред на DS запис вместо отделни полета, използвайте пълния DS ред, показан от Cloudflare.
Обратно в Cloudflare, след като регистраторът е приел DS записа, статусът на DNSSEC в Cloudflare ще се промени на active (това може да отнеме известно време за потвърждение).

Грешки, които хората допускат в Cloudflare

Две системи, не една. Активирането на DNSSEC само в Cloudflare не прави нищо само по себе си — DS записът трябва също да бъде вписан при вашия регистратор. Хората спират след стъпка 3 и се чудят защо никога не стане активен.
Копирайте digest-а точно. Един погрешен или липсващ символ в Digest означава, че DS записът при регистратора няма да съответства на подписите на Cloudflare, което е точно погрешната конфигурация, която сваля домейна офлайн. Копирайте и поставяйте; никога не въвеждайте ръчно.
Съпоставете числата за algorithm и digest-type. Ако вашият регистратор иска тях отделно, използвайте стойностите, показани от Cloudflare — не ги предполагайте.
Ако Cloudflare е и вашият регистратор, стъпката за DS се обработва вътрешно и може да не видите отделна форма при регистратора — но потвърдете, че DNSSEC се показва като активен, преди да приемете, че е направено.
Никога не премахвайте DS записа, докато Cloudflare все още подписва. И ако някога мигрирате DNS от Cloudflare, деактивирайте DNSSEC и изчистете DS записа при регистратора преди преместването.
Дайте му време. Промените в DNSSEC могат да отнемат от няколко минути до ден, за да се разпространят напълно и да се покажат като активни.

Проверете дали е сработило

След като DNSSEC се показва като активен в Cloudflare и DS записът е на място при вашия регистратор, стартирайте безплатната проверка на този сайт. Тя ще ви каже на разбираем език дали DNSSEC е правилно публикуван и надежден за вашия домейн.

Готово? Проверете домейна си безплатно за да потвърдите, че е проработило — и вижте пълната си оценка по всички 34 проверки.