Defaults.Exposed › Настройка › DNSSEC

Как да настроите DNSSEC в GoDaddy

Включете DNSSEC в GoDaddy с един превключвател, за да не може никой да фалшифицира вашите DNS отговори и да отвлече вашия домейн.

Защо това е важно за вашия бизнес

Когато някой посещава вашия уебсайт или ви изпраща имейл, компютърът им първо пита DNS системата за правилния адрес. Тези отговори обикновено пътуват без подпис, така че нападател, успял да подмени търсенето, може безшумно да изпрати вашите посетители към фалшив сайт или да пренасочи вашия имейл към собствения си сървър — докато вашият истински домейн все още се показва в адресната лента.

DNSSEC спира това. Той криптографски подписва вашите DNS отговори, така че всеки, търсещ вас, може да докаже, че отговорът действително е дошъл от вас и не е бил променен по пътя. Казано простичко: той блокира отвличането на домейни и cache poisoning, атаките, превръщащи вашия собствен домейн срещу вашите клиенти. Безплатен е и в GoDaddy обикновено е един единствен превключвател.

Как работи DNSSEC (и защо GoDaddy е лесен тук)

DNSSEC има две половини: DNS хостът подписва вашите записи и публикува ключовете (DNSKEY) плюс малък пръстов отпечатък, наречен DS запис, а регистраторът вписва този DS запис в родителската зона, за да могат останалите в интернет да се доверят на подписите.

Когато GoDaddy е едновременно вашият регистратор и вашият DNS хост — каквото е при повечето GoDaddy домейни, използващи GoDaddy nameserver-и — GoDaddy прави и двете половини вместо вас. Обръщате един превключвател; GoDaddy генерира ключовете и вписва DS записа нагоре по веригата автоматично. Никакво копиране на стойности между системи.

Реалният риск — когато не е толкова просто

DNSSEC може да свали домейна ви офлайн при погрешна конфигурация. Опасността възниква главно когато регистраторът и DNS хостът са различни компании, или когато сменяте DNS хостове:

Ако домейнът ви е регистриран в GoDaddy, но DNS е хостван другаде, едноклавишният превключвател на GoDaddy не е приложим — трябва да активирате подписването при реалния DNS хост и да добавите DS записа в GoDaddy ръчно.
Ако някога преместите DNS от GoDaddy, първо изключете DNSSEC. Останал DS запис, вече несъответстващ на активен подписващ хост, ще предизвика провал на търсенията и домейнът ще изчезне.

Ако GoDaddy е и регистратор, и DNS хост, еднократният поток по-долу е безопасен.

Потвърдете, че GoDaddy управлява вашия DNS

Това има значение само ако GoDaddy действително отговаря на DNS за вашия домейн. Проверете дали домейнът ви използва GoDaddy nameserver-и: в акаунта си в GoDaddy отворете домейна и погледнете настройката Nameservers. Ако показва собствени nameserver-и на GoDaddy, едноклавишният превключвател е правилният път. Ако nameserver-ите сочат към друг доставчик (например отделен DNS хост), активирайте DNSSEC при него, след което добавете DS записа, който ви дава, в GoDaddy.

Стъпка по стъпка в GoDaddy (едно кликване — GoDaddy е и регистратор, и DNS хост)

Влезте в акаунта си в GoDaddy.
Отидете в My Products (или Domain Portfolio).
Намерете вашия домейн и отворете страницата за управление — кликнете на домейн-името или менюто с три точки и изберете Manage DNS / Domain Settings.
Превъртете до секцията Additional Settings (при някои акаунти се появява под DNS Management).
Намерете DNSSEC и кликнете Manage или превключвателя.
Задайте DNSSEC на on.
Потвърдете. GoDaddy генерира ключовете, подписва вашата зона и публикува DS записа нагоре по веригата вместо вас — няма нищо за копиране другаде.

Стъпка по стъпка, когато DNS е хостван другаде

Ако GoDaddy е само вашият регистратор и друга компания хоства вашия DNS:

Активирайте DNSSEC първо при вашия DNS хост и копирайте DS записа, който той произвежда (ще ви трябват Key Tag, Algorithm, Digest Type и Digest).
В GoDaddy отворете домейна и намерете секцията DNSSEC под Additional Settings.
Изберете да добавите DS запис и въведете точните стойности от вашия DNS хост.
Запазете. DS записът е вече вписан в родителската зона, завършвайки веригата.

Грешки, които хората допускат в GoDaddy

Проверете първо кой хоства вашия DNS. Простият еднократен превключвател върши цялата работа само когато GoDaddy е и регистратор, и DNS хост. Ако DNS е другаде, превключвателят сам по себе си не е достатъчен.
Не го включвайте на две места. Ако вашият DNS хост вече подписва зоната, вие само добавяте неговия DS запис в GoDaddy — не включвате също собствения подписващ превключвател на GoDaddy, или ще имате две конкурентни настройки.
Копирайте DS стойностите точно при ръчното им въвеждане. Един погрешен символ в Digest разкъсва веригата и може да свали домейна офлайн.
Изключете DNSSEC преди да преместите DNS. Мигрирането към нов DNS хост с оставен стар DS запис е класическият начин да изключите домейна.
Дайте му време. Промените могат да отнемат от минути до ден, за да се разпространят напълно.

Проверете дали е сработило

След като DNSSEC бъде включен (и всеки DS запис е на място), стартирайте безплатната проверка на този сайт. Тя ще ви каже на разбираем език дали DNSSEC е правилно публикуван и надежден за вашия домейн.

Готово? Проверете домейна си безплатно за да потвърдите, че е проработило — и вижте пълната си оценка по всички 34 проверки.