Aktivizoni DNSSEC pa ndërprerje: kontrolloni rekordin DS

Për të aktivizuar DNSSEC, nënshkruani fillimisht zonën te ofruesi që shërben si DNS autoritativ për domenin. Merrni vlerat DS të krijuara për atë zonë, publikojini përmes regjistrarit dhe kontrolloni nëse delegimi verifikohet. Një rekord DS i pasaktë mund të bëjë që zgjidhësit që verifikojnë DNSSEC të refuzojnë përgjigjet, edhe kur serverët autoritativë vazhdojnë të shërbejnë rekordet.

DS është lidhja mes zonës mëmë dhe çelësit DNSKEY të zonës së domenit. Udhëzuesi i ICANN për DNSSEC shpjegon se DS vendoset në zonën mëmë për të krijuar zinxhirin e besimit, ndërsa nënshkrimet shërbejnë për të vërtetuar origjinën dhe integritetin e të dhënave DNS; DNSSEC nuk i enkripton ato. Prandaj, publikimi i DS është një ndryshim në delegim, jo thjesht një tjetër opsion në panelin e zonës.

Para aktivizimit: kontrolloni delegimin ekzistues

Gjeni serverët e emrave që regjistrari ka deleguar për domenin dhe sigurohuni se ata i shërbejnë zonës që doni të nënshkruani. Paneli ku redaktoni rekordet A, MX ose TXT nuk është domosdoshmërisht paneli i ofruesit autoritativ. Nëse po ndryshoni edhe ofruesin DNS, përfundoni transferimin e rekordeve dhe verifikoni përgjigjet nga serverët e rinj përpara se të nisni aktivizimin e DNSSEC.

Kontrolloni si pranon regjistrari të dhënat DS dhe nëse mbështet algoritmin e përdorur nga ofruesi DNS. Disa panele kërkojnë veçmas identifikuesin e çelësit, algoritmin, llojin e digestit dhe digestin; të tjera pranojnë rekordin e plotë. Për një domen .al ose .ks, mbështetuni te mundësitë konkrete të regjistrarit dhe të prapashtesës suaj, pa supozuar se hapat e një paneli tjetër vlejnë edhe aty.

Shihni nëse në delegim ekziston tashmë një DS. Nëse ai i përket një ofruesi të mëparshëm, çelësi i zonës së re mund të mos përputhet me të. Ruani vlerat ekzistuese të DS dhe serverët e emrave; kontrolloni edhe TTL, kohën gjatë së cilës përgjigjet mund të mbeten në cache. Këto të dhëna ju duhen për të planifikuar ndryshimin dhe për të dalluar një rekord të ri nga një kopje ende e ruajtur e rekordit të vjetër.

Gjatë aktivizimit: zona e nënshkruar vjen përpara DS

Rendi është i njëjtë edhe kur panelet e ofruesve kanë emra të ndryshëm për komandat. Dokumentacioni i Cloudflare për DNSSEC vendos nënshkrimin e zonës përpara shtimit të DS te regjistrari dhe sqaron se, kur përdoret Cloudflare Registrar, dërgimi automatik i DS mund të marrë një deri në dy ditë.

Aktivizoni nënshkrimin te ofruesi autoritativ. Prisni derisa serverët e tij të shërbejnë DNSKEY dhe nënshkrimet RRSIG. Statusi «aktiv» në panel nuk tregon ende se zona mëmë ka publikuar DS.
Merrni vlerat DS nga konfigurimi aktual i zonës së nënshkruar. Kopjoni të gjitha fushat saktësisht. Një identifikues çelësi i ngjashëm nuk mjafton: edhe algoritmi, lloji i digestit dhe digesti duhet t’i përkasin çelësit që shërbehet realisht.
Vendosni DS në seksionin DNSSEC të regjistrarit. Regjistrari i përcjell të dhënat te regjistri i prapashtesës, ku publikohen në zonën mëmë. Nëse ofruesi dhe regjistrari e kryejnë këtë hap automatikisht, kontrolloni çfarë është publikuar përpara se të shtoni një rekord manual.
Prisni publikimin dhe skadimin e përgjigjeve të mëparshme në cache. Mos e merrni konfirmimin në panel si provë se çdo zgjidhës po sheh tashmë të njëjtat të dhëna; kohëzgjatja varet nga procesi i regjistrarit dhe TTL i rekordit.

DS nuk shtohet si rekord i zakonshëm në redaktorin e zonës së domenit. Ai shërbehet nga zona mëmë, kurse DNSKEY nga zona e domenit. Kjo është arsyeja pse duhet të kontrolloni veçmas atë që publikon regjistri dhe atë që përgjigjen serverët autoritativë.

Pas publikimit: kontrolloni rekordet dhe validimin

Zëvendësoni domeni.tld me emrin tuaj në komandat e mëposhtme. Kërkesa dig domeni.tld DS +short tregon DS që merr zgjidhësi; krahasojini fushat me vlerat e dhëna nga ofruesi DNS. Kërkesa dig domeni.tld DNSKEY +dnssec tregon nëse çelësat janë të disponueshëm. Nëse rezultati i dytë dështon, pyetni drejtpërdrejt serverët autoritativë për të dalluar një problem të zonës nga refuzimi i zgjidhësit verifikues.

Prania e DS dhe DNSKEY është kontroll paraprak, jo provë e plotë e zinxhirit të besimit. Pyesni një zgjidhës që verifikon DNSSEC për një rekord që e dini se ekziston, për shembull me dig @8.8.8.8 +dnssec domeni.tld A kur domeni ka rekord A. Në përgjigjen e një zgjidhësi të besuar, flamuri ad tregon se të dhënat janë validuar; një përgjigje pa këtë flamur nuk mjafton për ta quajtur validimin të përfunduar. Kontrolloni edhe rekorde që përdorin shërbimet tuaja, si MX për postën.

Nëse DS është publikuar, por kërkesa te një zgjidhës verifikues kthen SERVFAIL, krahasoni çelësin me DS dhe kontrolloni nënshkrimet. Udhëzimi i Google Public DNS për diagnostikimin përshkruan rastin kur një DS i mbetur në regjistër nuk përputhet me DNSKEY të ofruesit të ri dhe zgjidhësi nuk mund ta zgjidhë domenin. SERVFAIL mund të ketë edhe shkaqe të tjera, ndaj vlerat e DS, përgjigjet autoritative dhe të dhënat e diagnostikimit duhen parë së bashku.

Nëse ka mospërputhje: riktheni delegimin sipas TTL

Kur DS është kopjuar gabim, korrigjojeni te regjistrari sipas vlerave që shërben ofruesi aktual dhe përsëritni verifikimin pas publikimit. Nëse përputhja nuk mund të rikthehet shpejt, kërkoni heqjen e DS nga zona mëmë. Mbajeni zonën të nënshkruar derisa kopjet e DS së vjetër të skadojnë nga cache; fikja e nënshkrimit ndërsa zgjidhësit ende mbajnë atë DS mund ta zgjasë dështimin. Heqja e DS ndërpret përkohësisht zinxhirin e besimit, por lejon rikthimin e zgjidhjes pasi kopjet e vjetra të jenë skaduar.

Kur kaloni te një ofrues tjetër DNS pa migrim të koordinuar të çelësave, hiqni DS e vjetër dhe prisni skadimin e TTL përpara se të ndryshoni serverët e emrave. Pasi zona e re të shërbejë rekordet e nevojshme, aktivizoni nënshkrimin atje, publikoni DS që i përket çelësit të ri dhe kontrolloni përsëri përgjigjen përmes një zgjidhësi verifikues. Kështu, çdo ndryshim në anën mëmë bëhet vetëm pasi zona përkatëse është gati ta mbështesë atë.

Lexoni gjithashtu: