Zapnutie DNSSEC nestačí: chybný DS záznam môže odstaviť doménu

DNSSEC zapnite najprv u poskytovateľa autoritatívneho DNS a počkajte, kým podpíše zónu a sprístupní údaje DS. Tie potom preneste k registrátorovi. Po zverejnení DS overte delegáciu v nadradenej zóne aj odpoveď cez validujúce resolvery. Ak DS neodkazuje na použiteľný kľúč zóny, validácia môže skončiť chybou SERVFAIL a používateľom takého resolvera sa doména nepreloží.

Sprievodca ICANN k DNSSEC opisuje DS ako väzbu medzi nadradenou a podpísanou zónou. Kryptografické podpisy umožňujú overiť pôvod a integritu odpovedí DNS; DNSSEC samotné správy DNS nešifruje a nezabezpečuje dôvernosť prenosu dát.

Pred zapnutím skontrolujte registrátora, kľúče a TTL

Najprv si ujasnite, kto prevádzkuje autoritatívne DNS a kto spravuje registráciu domény. Poskytovateľ DNS podpisuje zónu a pripravuje údaje DS; registrátor ich spravidla odovzdáva registru, ktorý ich zverejní v nadradenej zóne. V účte registrátora overte, či umožňuje DS pridať aj odstrániť a či podporuje algoritmus a typ odtlačku, ktoré ponúka poskytovateľ DNS. Pri automatickom spracovaní si zistite, kto DS zverejňuje a ako ho možno v prípade chyby stiahnuť.

Zaznamenajte si aktuálne autoritatívne servery, prípadné existujúce DS a TTL záznamu DS v nadradenej zóne. TTL určuje, ako dlho môže resolver používať uloženú odpoveď; zmena u registrátora preto nemusí byť okamžite viditeľná všade. Ak je doména už podpísaná, ďalší DS nepridávajte bez zistenia, ku ktorému DNSKEY patrí pôvodný záznam. Pred zásahom si poznačte aj očakávané odpovede pre web a poštu, aby ste neskôr vedeli odlíšiť chybu validácie od nesprávneho obsahu zóny.

Podpíšte zónu a preneste presné údaje DS

Poradie krokov je podstatné: zverejnený DS zaväzuje validujúci resolver hľadať zodpovedajúci kľúč v podradenej zóne. Pri bežnej ručnej aktivácii postupujte takto:

1. Zapnite DNSSEC u poskytovateľa autoritatívneho DNS a overte, že jeho servery už poskytujú DNSKEY a podpísané odpovede.
2. Z údajov, ktoré vám poskytovateľ určil pre registrátora, preneste celý DS: identifikátor kľúča, algoritmus, typ odtlačku a samotný odtlačok. Odtlačok sa vzťahuje na záznam DNSKEY; nevypočítava sa z adresy webu ani z iného bežného DNS záznamu.
3. Po odoslaní skontrolujte DS skutočne publikovaný v nadradenej zóne a porovnajte všetky jeho hodnoty s údajmi od poskytovateľa DNS.

Uložený formulár u registrátora ešte nie je dôkazom publikovania v registri. Ani prítomnosť DNSKEY a podpisu RRSIG v samotnej zóne nedokazuje, že sa dá zostaviť celý reťazec dôvery od nadradenej zóny. Ak registrátor spravuje DS automaticky, poslednú kontrolu vykonajte rovnako; zodpovednosť za výslednú delegáciu zostáva dôležitá aj bez ručného kopírovania polí.

Overte delegáciu a odpovede resolverov

V nasledujúcich príkladoch nahraďte example.com vlastnou doménou. Príkaz dig DS example.com +trace ukáže cestu dotazu a DS poskytovaný nadradenou zónou; dig DNSKEY example.com +dnssec zobrazí verejné kľúče. DS porovnajte s úplnou hodnotou od poskytovateľa, nielen s identifikátorom kľúča. Samotné zobrazenie RRSIG alebo použitie voľby +dnssec ešte neznamená, že niekto podpisy úspešne overil.

Potom sa na rovnaký existujúci záznam, napríklad A pre web, spýtajte viacerých nezávislých validujúcich resolverov. Tvar dotazu je dig @ADRESA_RESOLVERA example.com A +dnssec; opakujte ho s adresou každého zvoleného resolvera. Očakávajte správnu odpoveď bez SERVFAIL. Príznak AD znamená, že resolver označil odpoveď za autentifikovanú; pri vzdialenom resolveri tento údaj predpokladá dôveru v samotný resolver aj cestu k nemu. Ak sa výsledky líšia krátko po zmene, zohľadnite staré odpovede uložené do uplynutia TTL.

Pri doméne spravovanej cez Cloudflare Registrar návod na aktiváciu DNSSEC uvádza, že automatické odoslanie údajov registru môže po zapnutí trvať jeden až dva dni a úspešná delegácia sa môže vo WHOIS prejaviť hodnotou signedDelegation. Tento stav pomáha potvrdiť zverejnenie delegácie; odpoveď cez validujúci resolver zostáva samostatnou skúškou funkčnosti.

Čo robiť pri chybe SERVFAIL

Najprv zistite, či je príčinou validácia. Zopakujte dotaz na ten istý názov a ten istý resolver s voľbou +cd, ktorá žiada vypnutie kontroly DNSSEC pre daný dotaz. Ak bežný dotaz končí SERVFAIL, ale odpoveď s +cd príde, je to silná stopa neplatného podpisu alebo prerušeného reťazca dôvery. Nevysvetľuje to však samo osebe, na ktorom mieste reťazca je chyba.

Porovnajte preto DS v nadradenej zóne s aktuálnymi údajmi poskytovateľa a skontrolujte, či autoritatívne servery poskytujú zodpovedajúci DNSKEY. Chybný DS opravte u registrátora. Ak správny DS neviete rýchlo zverejniť, odstránenie nesprávneho DS môže po vypršaní uložených kópií obnoviť preklad, no doména dočasne stratí overiteľnú väzbu DNSSEC. Podpisovanie zóny a jej doterajšie kľúče ponechajte v prevádzke, kým resolvery ešte môžu mať starý DS v pamäti.

Pri zmene poskytovateľa DNS odstráňte starú väzbu včas

Ak nové autoritatívne servery používajú iný kľúč, DS pôvodnej zóny s nimi nebude súhlasiť. Postup Cloudflare pre migráciu DNSSEC pri prechode na Cloudflare bez koordinovaného podpisovania určuje poradie: odstrániť starý DS u registrátora, počkať na uplynutie jeho TTL, zmeniť autoritatívne servery a až potom zapnúť DNSSEC novej zóny a pridať jej DS. Predčasná zmena serverov môže validujúcim resolverom spôsobiť SERVFAIL, pretože ešte používajú starý DS.

Pred prepnutím pripravte u nového poskytovateľa všetky potrebné DNS záznamy vrátane webových a poštových. Po odstránení DS skontrolujte jeho neprítomnosť v nadradenej zóne a počítajte aj s kópiami uloženými u resolverov. Keď sa nová delegácia ustáli, zverejnite nový DS a zopakujte dotazy cez viaceré validujúce resolvery. Tento jednoduchší presun zahŕňa obdobie bez ochrany DNSSEC; koordinovaná migrácia s podporou viacerých podpisujúcich poskytovateľov môže zachovať reťazec dôvery, vyžaduje však ich konkrétny spoločný postup.

Prečítajte si aj:

• SPF, DKIM a DMARC: druhý SPF záznam môže ochranu domény pokaziť
• Zelená značka npm nestačí: pôvod balíka nepreverí jeho kód
• Cloudflare či Fastly: pole position v meraní nestačí bez ceny prevádzky