DNSSEC i Cloudflare: Et gammelt DS-record kan afbryde adgangen

Flytter du et domæne til Cloudflares navneservere, skal et gammelt DS-record fjernes hos registraren, og dets TTL skal udløbe før skiftet. Ellers kan validerende resolvere afvise de nye DNS-svar og gøre domænet utilgængeligt for deres brugere. Cloudflares DNSSEC-vejledning angiver rækkefølgen: fjern den gamle DS-post, vent på TTL, skift navneservere, og aktivér først derefter DNSSEC med de nye oplysninger fra Cloudflare.

Hav en vej tilbage klar, inden du begynder. Gem de nuværende navneservere og DNS-poster, og lad den gamle zone svare under overgangen. Hvis Cloudflare allerede er domænets autoritative DNS, og du alene vil slå DNSSEC til, er der intet navneserverskift i denne procedure: aktivér funktionen og sørg for, at den korrekte DS-post bliver publiceret hos registraren.

Find den eksisterende DS-post før flytningen

Begynd med at fastslå, hvor domænet er registreret, hvilke navneservere der er delegeret, og om den overordnede zone publicerer en DS-post. Notér både postens værdi og dens TTL, før du fjerner den. Registraren er normalt stedet, hvor du ændrer delegation og DS-post, mens den nuværende DNS-udbyder fortsat skal levere svar fra den gamle zone under skiftet.

DS-posten forbinder den overordnede zone med en signeringsnøgle i domænets egen zone. ICANNs vejledning om DNSSEC-drift beskriver, hvordan gamle nøgler og signaturer kan leve videre i resolveres cache, og hvordan uoverensstemmelser kan føre til valideringsfejl. En resolver, der stadig har den tidligere DS-post, kan derfor afvise svar fra Cloudflare, hvis Cloudflares zone bruger en anden nøgle.

Gennemgå også Cloudflare-zonen, før du ændrer delegationen. Sammenhold poster for web, underdomæner og mail med den gamle zone, herunder de MX- og TXT-poster, tjenesterne behøver. Manglende DNS-poster og brudt DNSSEC-validering kan begge gøre tjenester utilgængelige, men kræver forskellige rettelser. Behold adgang til den gamle udbyder, så zonen kan holdes ajour, mens gamle NS-svar stadig findes i cache.

Tidslinjen ved skift af navneservere

Fjern den eksisterende DS-post hos registraren, mens de gamle navneservere fortsat er aktive. Kontrollér derefter, at den overordnede zone ikke længere publicerer posten. En ændring, der er gemt i registrarens kontrolpanel, betyder ikke, at resolvernes tidligere svar allerede er udløbet.
Vent mindst postens fulde TTL, efter at fjernelsen er slået igennem i den overordnede zone. Læg tid til, hvis du ikke kender det præcise tidspunkt. Det er den gamle DS-post i cache, der gør et for tidligt navneserverskift farligt for validerende resolvere.
Skift delegationen hos registraren til præcis de navneservere, Cloudflare har tildelt domænet. Kontrollér, at den overordnede zone viser de nye NS-poster. Vent også på, at cachede NS-svar fra den tidligere delegation udløber; indtil da skal både den gamle og den nye zone indeholde de nødvendige DNS-poster.
Når Cloudflare er autoritativ, og domænets tjenester svarer som forventet, aktivér DNSSEC i Cloudflare. Cloudflare signerer zonen og viser oplysningerne til den nye DS-post. Hvis registraren er ekstern, skal du sørge for, at netop denne post bliver publiceret i den overordnede zone. Genbrug ikke den tidligere udbyders DS-værdier.
Kontrollér til sidst både den publicerede DS-post og et svar gennem en validerende resolver. Gem tidspunktet for den nye publicering og dens TTL, så du ved, hvor længe en eventuel tilbagerulning kan være påvirket af cachede oplysninger.

Denne fremgangsmåde giver en periode uden publiceret DS-post. Hvis DNSSEC-validering skal være ubrudt gennem flytningen, kræver det en koordineret opsætning med flere signeringsparter. Den mulighed forudsætter blandt andet, at den gamle udbyder kan publicere eksterne DNSKEY-poster; uden den mulighed er den beskrevne pause i DNSSEC den enklere migrationsvej.

Cloudflare Registrar eller ekstern registrar

For et domæne hos Cloudflare Registrar, som allerede er delegeret til Cloudflare, findes aktiveringen under Manage Domains, Manage og Configuration. Cloudflare Registrar indsamler derefter oplysninger fra CDS- og CDNSKEY-poster og sender dem til registreringsdatabasen. Ifølge Cloudflares vejledning for Registrar-domæner kan processen tage en til to dage; en bekræftet status vises under DNS > Settings, og WHOIS kan vise feltet signedDelegation.

Med en ekstern registrar er aktivering i Cloudflares DNS-indstillinger kun den del, der signerer zonen og frembringer DS-oplysningerne. Du skal også sikre, at registraren får den tilsvarende DS-post publiceret. Fremgangsmåden hos registraren kan være manuel eller automatiseret, så kontrollér den faktiske post i den overordnede zone frem for at gå ud fra, at Cloudflares aktiveringsknap har afsluttet hele kæden.

Kontrollér både delegation og validering

En NS-forespørgsel mod den overordnede zone viser, hvilke navneservere domænet er delegeret til. En DS-forespørgsel viser, om den gamle post er væk, og senere om den nye er publiceret. Sammenlign den nye posts værdier med dem, Cloudflare viser; en DS-post fra den tidligere udbyder hører ikke til Cloudflares nye signeringsnøgle.

Prøv derefter en almindelig DNS-forespørgsel gennem en validerende resolver. Hvis den returnerer SERVFAIL, mens en forespørgsel uden DNSSEC-validering giver et svar, peger det på et problem i valideringskæden. Et vellykket svar fra de autoritative navneservere alene er ikke samme kontrol: de kan levere poster, selv om en validerende resolver afviser dem. Kontrollér samtidig web og mail, så fejl i selve zoneindholdet opdages særskilt.

Rul tilbage uden at skabe en ny nøglefejl

Hvis valideringen fejler efter den nye DS-publicering, så sammenlign først posten i den overordnede zone med Cloudflares aktuelle værdier. Skal DNSSEC slås fra, fjernes DS-posten hos den eksterne registrar; for et domæne hos Cloudflare Registrar bruges funktionen til at deaktivere DNSSEC. Behold Cloudflares zonesignering, indtil den fjernede DS-post og cachede kopier er udløbet. Stoppes signeringen tidligere, vil resolvere med den gamle DS-post stadig forvente signerede svar.

Hvis problemet opstår under navneserverskiftet, før en ny DS-post er publiceret, kan de gemte navneservere sættes tilbage, forudsat at den gamle zone stadig fungerer og har korrekte poster. Er Cloudflares DS-post allerede publiceret, skal den fjernes og have tid til at udløbe, før du flytter tilbage til en zone med andre signeringsnøgler. Bevar derfor begge zoner og adgangen til registraren, indtil den nye delegation og DNSSEC-validering fungerer stabilt.

Læs også: