Defaults.Exposed › การตั้งค่า › DNSSEC

วิธีตั้งค่า DNSSEC บน Cloudflare

เปิด DNSSEC ใน Cloudflare และเพิ่ม DS record ที่ registrar ของคุณเพื่อป้องกันการปลอมแปลงคำตอบ DNS ของคุณ

เหตุใดสิ่งนี้จึงสำคัญต่อธุรกิจของคุณ

เมื่อมีคนพิมพ์โดเมนของคุณหรือส่งอีเมลถึงคุณ คอมพิวเตอร์ของพวกเขาจะถาม DNS system เพื่อหาที่อยู่ที่ถูกต้อง ปกติคำตอบเหล่านั้นเดินทางโดยไม่มีลายเซ็น ซึ่งหมายความว่าผู้โจมตีที่สามารถดัดแปลงได้จะชี้ผู้เยี่ยมชมของคุณไปยังเว็บไซต์ปลอมอย่างเงียบ ๆ หรือเปลี่ยนเส้นทางอีเมลของคุณไปยังเซิร์ฟเวอร์ของพวกเขา ลูกค้าของคุณเห็นโดเมนจริงของคุณในแถบที่อยู่ตลอดเวลา

DNSSEC ปิดช่องว่างนั้น มันเซ็น DNS answers ของคุณด้วยวิธีการเข้ารหัส ดังนั้นผู้ที่ค้นหาคุณสามารถพิสูจน์ได้ว่าคำตอบมาจากคุณจริงๆ และไม่ได้ถูกเปลี่ยนแปลงระหว่างทาง พูดให้เข้าใจง่าย: มันหยุดอาชญากรจากการแย่งชิงโดเมนของคุณหรือทำลายการค้นหาที่ชี้คนมาหาคุณ ฟรี และเป็นหนึ่งในการป้องกันที่แข็งแกร่งที่สุดที่คุณสามารถเปิดได้สำหรับรากฐานที่ทุกอย่างตั้งอยู่

DNSSEC ทำงานอย่างไร (เพื่อให้ขั้นตอนสมเหตุสมผล)

DNSSEC มีสองส่วนที่อยู่ในสองที่:

• DNS host ของคุณ (Cloudflare) เซ็น records ของคุณและเผยแพร่ public keys (DNSKEY) รวมถึง fingerprint เล็ก ๆ ของพวกมันที่เรียกว่า DS record
• Registrar ของคุณ (ที่ที่คุณซื้อและต่ออายุโดเมน) เผยแพร่ DS record นั้นขึ้นไปใน parent zone (เช่น .com)

DS record ที่ registrar คือจุดเชื่อมในห่วงโซ่ความน่าเชื่อถือ Cloudflare สามารถเซ็นได้ตลอดวัน แต่จนกว่า DS record ที่ตรงกันจะถูกฝากไว้ที่ registrar ของคุณ อินเทอร์เน็ตในวงกว้างไม่มีวิธีที่เซ็นได้ในการเชื่อถือลายเซ็นเหล่านั้น ดังนั้นงานนี้มีสองขั้นตอน: เปิดใน Cloudflare จากนั้นส่ง DS record ให้ registrar ของคุณ

ความเสี่ยงจริง — ทำสิ่งนี้อย่างระมัดระวัง

DNSSEC สามารถทำให้โดเมนทั้งหมดของคุณออฟไลน์ได้หากทำไม่ถูกต้อง สองวิธีที่เกิดขึ้นได้:

• เผยแพร่ DS record ที่ registrar ที่ ไม่ตรงกับสิ่งที่ DNS host ของคุณเซ็นด้วยจริงๆ
• ย้าย DNS ของคุณไปยัง host อื่น (หรือปิด Cloudflare) โดยไม่ลบ DS record ที่ registrar ก่อน — DS record เก่ายังคงต้องการลายเซ็นที่ไม่มีอยู่แล้ว และการค้นหาจะเริ่มล้มเหลว

ไม่มีสิ่งใดเป็นอันตรายหากคุณทำตามขั้นตอนด้านล่างตามลำดับและไม่ลบ DS record ที่ registrar ขณะที่ Cloudflare ยังเป็น signing host ของคุณ หากคุณวางแผนที่จะย้ายออกจาก Cloudflare ปิด DNSSEC และลบ DS record ที่ registrar ก่อน จากนั้นค่อยย้าย

ยืนยันว่า Cloudflare รัน DNS ของคุณ

สิ่งนี้จะทำงานได้ก็ต่อเมื่อ Cloudflare ตอบ DNS สำหรับโดเมนของคุณ Cloudflare คือ DNS host ของคุณ ไม่จำเป็นต้องเป็นบริษัทที่คุณซื้อโดเมนมา DNS ของ Cloudflare จะมีผลเฉพาะเมื่อ nameservers ของโดเมนของคุณชี้ไปยัง Cloudflare nameservers ที่แสดงใน dashboard ของคุณ เปิดโดเมนของคุณใน Cloudflare และตรวจสอบหน้า Overview เพื่อยืนยันว่า Cloudflare ทำงานอยู่ หาก nameservers ชี้ไปที่อื่น ให้เปิด DNSSEC ที่ผู้ให้บริการที่รัน DNS ของคุณแทน

ขั้นตอนบน Cloudflare

1. ลงชื่อเข้าใช้ Cloudflare และเลือกโดเมนของคุณ
2. ในเมนูด้านซ้าย ไปที่ DNS จากนั้น Settings (dashboards เก่ากว่าจะแสดงส่วน DNSSEC โดยตรงใต้ DNS)
3. ค้นหา DNSSEC และคลิก Enable DNSSEC
4. Cloudflare จะแสดงแผงค่าต่าง ๆ — รายการสำคัญคือ DS record คุณมักจะเห็นช่องเช่น Key Tag, Algorithm, Digest Type, Digest และ DS record แบบ single-line ที่พร้อมใช้ ปล่อยแผงนี้เปิดไว้ คุณต้องคัดลอกสิ่งเหล่านี้ไปยัง registrar ของคุณ
5. ตอนนี้ลงชื่อเข้าใช้ registrar ของคุณ (บริษัทที่คุณต่ออายุโดเมนด้วย — อาจหรืออาจไม่ใช่ Cloudflare)
6. ค้นหาส่วน DNSSEC หรือ DS record สำหรับโดเมนของคุณที่ registrar และเพิ่ม DS record ใหม่โดยใช้ค่าที่แน่นอนที่ Cloudflare ให้มา:
   • Key Tag — ตัวเลขที่ Cloudflare แสดง
   • Algorithm — มักจะเป็น 13 (ECDSA P-256 SHA-256)
   • Digest Type — มักจะเป็น 2 (SHA-256)
   • Digest — string hexadecimal ที่ยาว คัดลอกให้ตรงทุกอักขระ
7. บันทึกที่ registrar หาก registrar ของคุณอนุญาตให้วาง DS record แบบ single-line รวมแทนที่จะเป็นช่องแยก ให้ใช้บรรทัด DS เต็มที่ Cloudflare แสดง
8. กลับใน Cloudflare เมื่อ registrar ยอมรับ DS record แล้ว สถานะ DNSSEC ของ Cloudflare จะเปลี่ยนเป็น active (อาจใช้เวลาสักครู่เพื่อยืนยัน)

ข้อผิดพลาดที่มักเกิดขึ้นบน Cloudflare

• สองระบบ ไม่ใช่หนึ่ง การเปิด DNSSEC ใน Cloudflare เพียงอย่างเดียวไม่มีผลใด ๆ — DS record ต้องถูกฝากไว้ที่ registrar ของคุณด้วย คนหยุดหลังจากขั้นตอนที่ 3 และสงสัยว่าทำไมมันไม่ active
• คัดลอก digest ให้ตรงทั้งหมด อักขระผิดหรือขาดหายไปเพียงตัวเดียวใน Digest หมายความว่า DS record ของ registrar จะไม่ตรงกับลายเซ็นของ Cloudflare ซึ่งเป็นปัญหาที่ทำให้โดเมนออฟไลน์พอดี คัดลอกและวาง อย่าพิมพ์ใหม่
• จับคู่ตัวเลข algorithm และ digest-type หาก registrar ของคุณถามสิ่งเหล่านี้แยกกัน ให้ใช้ค่าที่ Cloudflare แสดง อย่าเดา
• หาก Cloudflare เป็น registrar ของคุณด้วย ขั้นตอน DS จะถูกจัดการภายในและคุณอาจไม่เห็นฟอร์ม registrar แยกต่างหาก — แต่ยืนยันว่า DNSSEC แสดงเป็น active ก่อนที่จะสมมติว่าเสร็จแล้ว
• อย่าลบ DS record ขณะที่ Cloudflare ยังเซ็นอยู่ และหากคุณย้าย DNS ออกจาก Cloudflare ให้ปิด DNSSEC และล้าง DS record ที่ registrar ก่อนการย้าย
• ให้เวลามัน การเปลี่ยนแปลง DNSSEC อาจใช้เวลาตั้งแต่สองสามนาทีถึงหนึ่งวันเพื่อแพร่กระจายและแสดงเป็น active

ตรวจสอบว่าได้ผล

เมื่อ DNSSEC แสดงเป็น active ใน Cloudflare และ DS record อยู่ที่ registrar ของคุณแล้ว ให้ตรวจสอบฟรีบนเว็บไซต์นี้ ระบบจะบอกคุณด้วยภาษาธรรมดาว่า DNSSEC ถูกเผยแพร่และน่าเชื่อถือสำหรับโดเมนของคุณหรือไม่

เสร็จแล้ว? ตรวจสอบโดเมนของคุณฟรี เพื่อยืนยันว่าใช้งานได้ — และดูคะแนนเต็มของคุณใน 34 การตรวจสอบ