Defaults.Exposed › Настройка › DNSSEC

Как да настроите DNSSEC в AWS Route 53

Активирайте DNSSEC подписване в Route 53 с KMS ключ и добавете DS записа при вашия регистратор, за да не може никой да фалшифицира вашите DNS отговори.

Защо това е важно за вашия бизнес

Когато някой посещава вашия уебсайт или ви изпраща имейл, компютърът им първо пита DNS системата за правилния адрес. Тези отговори обикновено пътуват без подпис, така че нападател, успял да подмени търсенето, може безшумно да пренасочи вашите посетители към фалшив сайт или да рутира вашия имейл към собствения си сървър — докато вашият истински домейн все още се появява в адресната лента.

DNSSEC предотвратява това. Той криптографски подписва вашите DNS отговори, така че всеки, търсещ вас, може да докаже, че отговорът действително е дошъл от вас и не е бил променен по пътя. Казано простичко: той блокира отвличането на домейни и cache poisoning, атаките, превръщащи вашия собствен домейн срещу вашите клиенти. Безплатен е като функция (подписващият ключ използва малък AWS KMS ключ, носещ скромна месечна цена) и е една от най-силните защити, които можете да активирате.

Как работи DNSSEC в Route 53

Route 53 разделя задачата по начин, заслужаващ разбиране преди да започнете:

Route 53 подписва вашата хостирана зона с ключ, съхранен в AWS KMS (Key Management Service). Включването на подписването публикува публичните ключове (DNSKEY) и произвежда DS запис.
Вашият регистратор — компанията, при която подновявате домейна — трябва след това да публикува този DS запис в родителската зона (например .com), така че останалият интернет да се довери на подписите.

Ако сте регистрирали домейна чрез Route 53 (Amazon Registrar), стъпката за регистратора е все още необходима, но се прави в AWS конзолата. Ако регистраторът ви е различна компания, копирате DS записа там ръчно.

Реалният риск — правете го внимателно

DNSSEC може да свали целия ви домейн офлайн, ако е погрешно конфигуриран. Двата начина, по които се случва:

DS запис при регистратора, който не съответства на ключа, с който Route 53 подписва.
Деактивиране на подписването, изтриване на KMS ключа или преместване на DNS от Route 53 без предварително премахване на DS записа при регистратора — останалият DS запис продължава да изисква подписи, вече несъществуващи, и търсенията се провалят.

Следвайте точно реда по-долу. И ако някога мигрирате DNS от Route 53, премахнете DS записа при регистратора и деактивирайте подписването първо, след това се местете.

Потвърдете, че Route 53 управлява вашия DNS

Това работи само ако Route 53 отговаря на DNS за вашия домейн. Проверете дали nameserver-ите на вашия домейн сочат към четирите nameserver-а на Route 53, изброени за вашата хостирана зона. Отворете конзолата на Route 53, отидете в Hosted zones, отворете вашия домейн и отбележете стойностите на записа NS — настройката за nameserver при вашия регистратор трябва да съответства на тях. Ако вашите nameserver-и сочат другаде, активирайте DNSSEC при доставчика, който всъщност управлява вашия DNS.

Стъпка по стъпка в Route 53

Влезте в AWS конзолата и отворете Route 53.
Отидете в Hosted zones и отворете хостираната зона за вашия домейн.
Отворете раздела DNSSEC signing и изберете Enable DNSSEC signing.
За key-signing key (KSK) трябва да предоставите управляван от клиента KMS ключ:
- Изберете Create customer managed key (или изберете съществуващ подходящ).
- Ключът трябва да е асиметричен с употреба Sign and verify, използвайки спецификацията ECC_NIST_P256, и трябва да е в региона US East (N. Virginia) us-east-1 — DNSSEC на Route 53 изисква ключа в този регион.
- Дайте на KSK-то име.
Потвърдете и активирайте подписването. Route 53 вече подписва хостираната зона.
Все в раздела DNSSEC signing, намерете DS record / Establish a chain of trust. Route 53 показва стойностите, от които се нуждаете, включително Key Tag, Signing algorithm, Digest algorithm и Digest (и често готов ред на DS запис).
Сега отидете при вашия регистратор и добавете DS записа:
- Ако домейнът е регистриран в Route 53 (Amazon Registrar): конзолата може да ви преведе през процеса под настройките на домейна — или копирайте стойностите в секцията DNSSEC на домейна.
- Ако регистраторът ви е различна компания: отворете секцията за DNSSEC / DS запис там и въведете точните стойности от стъпка 6 — Key Tag, Algorithm (обикновено 13), Digest Type (обикновено 2) и Digest.
Запазете при регистратора. Веригата на доверие е завършена, след като DS записът бъде приет в родителската зона.

Грешки, които хората допускат в Route 53

KMS ключът трябва да е в us-east-1. DNSSEC на Route 53 няма да приеме KSK ключ от друг регион — това е първият проблем, в който хората се спъват.
Използвайте правилния тип ключ. Трябва да е асиметричен, sign-and-verify, ECC_NIST_P256 KMS ключ. Симетричен или ключ с грешна спецификация няма да работи като KSK.
Две системи, не една. Активирането на подписване в Route 53 само по себе си не прави нищо — DS записът трябва също да достигне регистратора. Хората спират след стъпка 5 и се чудят защо никога не се валидира.
Копирайте digest-а точно. Един погрешен символ в Digest означава, че DS записът при регистратора няма да съответства на подписващия ключ на Route 53 — точната погрешна конфигурация, която сваля домейна офлайн. Поставяйте, никога не въвеждайте ръчно.
Не изтривайте KMS ключа, докато подписването е активно. И никога не премахвайте DS записа при регистратора, докато Route 53 все още подписва.
Деактивирайте в правилния ред преди преместване на DNS. За миграция: премахнете DS записа при регистратора, изчакайте да се изчисти, след това деактивирайте подписването в Route 53 — не обратното.
Дайте му време. Промените в DNSSEC могат да отнемат от минути до ден, за да се разпространят напълно и да се валидират.

Проверете дали е сработило

След като подписването е активирано в Route 53 и DS записът е на място при вашия регистратор, стартирайте безплатната проверка на този сайт. Тя ще ви каже на разбираем език дали DNSSEC е правилно публикуван и надежден за вашия домейн.

Готово? Проверете домейна си безплатно за да потвърдите, че е проработило — и вижте пълната си оценка по всички 34 проверки.