Aktivera DNSSEC för en .se-domän – fel DS-post kan släcka hela sajten

För att aktivera DNSSEC för en .se-domän ska DNS-leverantören först signera zonen och publicera DNSKEY. Därefter måste en DS-post som motsvarar nyckeln publiceras i .se-zonen. En felaktig DS-post kan få validerande resolvrar att avvisa domänens DNS-svar med SERVFAIL, så att webbplatsen och andra tjänster inte går att nå för berörda användare; Cloudflares felsökningsanvisning beskriver det felet vid en bruten delegering.

Kontrollera därför vem som driver de aktiva namnservrarna och vem som är registrar innan du slår på funktionen. Låt den signerade zonen komma på plats först, för sedan rätt DS-uppgift till .se och kontrollera både DS-posten och ett validerat uppslag. Vid ett framtida namnserverbyte måste den gamla DS-posten hanteras innan delegeringen flyttas.

Så når DS-posten .se

DNS-leverantören driver de auktoritativa namnservrarna och signerar svaren från domänens zon. Där publiceras DNSKEY, den publika nyckel som används i valideringen. DS ligger däremot i den överordnade .se-zonen och knyter domänen till rätt nyckel. Registraren har möjlighet att lämna ändringar till registret, även när DNS sköts av ett annat företag.

Det finns två vägar för att få dit uppgiften: registraren lämnar in DS-värdet, eller DNS-operatören publicerar en CDS-post som registret kan läsa av. Vid automatisk aktivering via CDS söker Internetstiftelsen igenom .se-domäner dagligen och kräver samma CDS-post under tre dagar i följd för en tidigare osignerad domän. En CDS-post hos DNS-leverantören visar alltså en begärd ändring; kontrollera separat att DS verkligen har publicerats i .se.

När registraren också sköter DNS

Bekräfta att domänen redan använder registrarens namnservrar och att posterna för webb och e-post fungerar. Aktivera sedan DNSSEC i domäninställningarna. En leverantör som sköter båda delarna kan ordna signering och DS-registrering i samma arbetsflöde, men en aktiverad inställning är inte ensam ett kvitto på att hela tillitskedjan fungerar.

Hos Cloudflare Registrar sker aktiveringen med ett val i domäninställningarna; tjänsten anger att dess insamling av CDS- och CDNSKEY-uppgifter och överföring till registret kan ta en till två dagar. Det är en tidsuppgift för den tjänstens arbetsgång, medan .se-registrets direkta CDS-inläsning för en tidigare osignerad domän följer ordningen ovan. Vänta på bekräftad status och gör därefter en egen kontroll av DS i .se och ett validerat DNS-svar.

När DNS finns hos en extern leverantör

Låt de nuvarande namnservrarna vara kvar medan du aktiverar signering hos DNS-leverantören. Kontrollera att leverantören visar en DNSKEY och ger ett DS-underlag för samma zon. Om registraren kräver manuell registrering ska nyckeltagg, algoritm, digesttyp och digestvärde föras över som en sammanhängande uppsättning; ett värde från en äldre nyckel kan bryta kedjan.

Om leverantören erbjuder automatisk uppdatering, fråga om ändringen skickas via registraren eller signaleras med CDS för avläsning av .se. CDNSKEY kan förekomma tillsammans med CDS, men när .se använder denna automatiska väg är CDS den post som begär DS-ändringen. Bestäm vem som ansvarar för publiceringen innan du förlitar dig på automatiseringen. Håll kvar signeringen och nyckeln som DS pekar på tills en senare ändring har slagit igenom och gamla DS-svar har lämnat resolvernas cache.

Kontrollera både DS och validering

Slå först upp DS från den överordnade zonen, till exempel med dig DS exempel.se +trace, där du ersätter exempel.se med din domän. Jämför den publicerade postens nyckeltagg, algoritm, digesttyp och digestvärde med det aktuella underlaget från DNS-leverantören. Kontrollera också vilka namnservrar .se delegerar domänen till och att de serverar den avsedda signerade zonen. Flera aktiva namnservrar måste alla kunna ge fungerande svar.

Fråga därefter en resolver som validerar DNSSEC efter en post som du vet finns, exempelvis webbplatsens A-post. Ett normalt svar med flaggan ad visar att resolvern har autentiserat just det svaret. Ett synligt DNSKEY eller en webbsida som råkar öppnas räcker inte: DNSKEY kan finnas utan DS, och den resolver som används för ett vanligt besök behöver inte ge samma valideringsbesked.

Om en vanlig fråga ger SERVFAIL, ställ samma fråga till samma resolver med flaggan +cd, som begär att valideringen hoppas över. Kommer ett svar då tillbaka är DNSSEC-kedjan en sannolik felkälla. Jämför i så fall DS i .se med nycklarna på de namnservrar som delegeringen faktiskt pekar ut; kontrollera även att zonen ger giltiga signaturer.

Byt DNS-leverantör utan en gammal DS-post

Förbered den nya zonen innan du ändrar delegeringen. Kopiera de poster som behövs för webb, e-post och andra tjänster, och fråga de nya namnservrarna direkt för att se att de svarar. Om den nya leverantören använder andra DNSSEC-nycklar får den gamla DS-posten inte styra valideringen när resolvrar börjar använda de nya namnservrarna.

1. Ta bort den gamla DS-posten via registraren medan den gamla signerade zonen fortfarande fungerar. Kontrollera att posten har försvunnit ur .se och vänta ut dess cachetid innan du flyttar delegeringen.
2. Byt namnservrar och behåll den gamla zonen i drift medan gamla namnserveruppgifter kan finnas kvar i cache. Kontrollera att de nya servrarna ger rätt svar för både webb och e-post.
3. Se till att den nya zonen är signerad. Vänta tills gamla namnserveruppgifter har lämnat cache innan du publicerar en DS-post som bara motsvarar den nya leverantörens nyckel. Kontrollera sedan DS och validerade uppslag igen.

Under perioden utan DS är domänen tillfälligt utan DNSSEC-validering, men en kvarliggande DS som pekar mot fel nyckel kan göra den onåbar för validerande resolvrar. Ett byte med obruten validering kräver i stället samordning av nycklar och signering mellan leverantörerna. Använd då deras särskilda migrationsanvisningar och publicera inte ett nytt DS-värde förrän båda sidor av övergången kan valideras.

Om domänen redan ger SERVFAIL

Jämför först namnservrarna som anges i .se, DS-posten där och DNSKEY hos den leverantör som faktiskt svarar. Om den signerade zonen fungerar men DS är fel, låt registraren rätta posten till leverantörens aktuella uppgifter. Om den nyckel som en cachad DS-post pekar på snabbt kan återställas hos den aktiva leverantören kan det vara en väg tillbaka medan ändringen i .se sprids.

Kan nyckeln inte återställas, be registraren ta bort den felaktiga DS-posten och behåll fungerande DNS-svar tills gamla DS-uppgifter har lämnat cache. Borttagningen ger ingen omedelbar reparation hos alla resolvrar. När uppslagningarna fungerar kan du åter aktivera tillitskedjan med en signerad zon, en DS-post för dess aktiva nyckel och ett bekräftat validerat svar.

Läs också:

• Slå på säker DNS – men tro inte att hela surfningen blir privat
• Slack eller Teams: befintliga licenser kan avgöra hela kalkylen
• Bluesky eller Mastodon: följare kan flytta, men inte hela historiken