DNSSEC (Domain Name System Security Extensions) je dodatna zaščita DNS sistema, ki omogoča preverjanje pristnosti DNS odgovorov in pomaga preprečevati ponarejanje oziroma spreminjanje DNS podatkov.
Za pravilno delovanje DNSSEC sta potrebna dva dela:
- DNS ponudnik, ki DNS cono vaše domene digitalno podpisuje,
- DS zapis pri registrarju domene, ki poveže podpisano DNS cono z nadrejeno domeno oziroma registrom.
Če je vaša domena registrirana pri Webicom in je za njo na voljo upravljanje DNSSEC, lahko DS zapis dodate neposredno v uporabniškem računu Moj Webicom.
Pomembno pred vklopom DNSSEC
DS zapisa ne ustvarjajte sami in njegovih vrednosti ne ugibajte. Vrednosti vedno prekopirajte iz sistema ponudnika, ki upravlja avtoritativne DNS strežnike vaše domene, na primer Cloudflare ali drugega DNS ponudnika.
1. Kaj potrebujete za dodajanje DNSSEC?
DNS ponudnik vam mora po vklopu DNSSEC prikazati podatke DS zapisa.
Za vnos v Moj Webicom potrebujete štiri podatke:
- Key Tag,
- Algorithm,
- Digest Type,
- Digest.
Primer podatkov je lahko:
Key Tag: 12345 Algorithm: 13 Digest Type: 2 Digest: 0123456789ABCDEF...
Če uporabljate Cloudflare
Cloudflare pri DNSSEC poleg zgornjih podatkov lahko prikaže še Public Key, Flags in druge tehnične podatke. Za vnos DS zapisa v Moj Webicom potrebujete samo Key Tag, Algorithm, Digest Type in Digest.
2. Najprej vključite DNSSEC pri DNS ponudniku
Preden DS zapis dodate pri registrarju, mora biti DNSSEC omogočen pri ponudniku, ki dejansko upravlja DNS vaše domene.
Če na primer uporabljate Cloudflare:
- Prijavite se v Cloudflare.
- Odprite svojo domeno.
- Odprite nastavitve DNS.
- Poiščite razdelek DNSSEC.
- Vključite DNSSEC.
- Cloudflare bo prikazal podatke DS zapisa.
Te podatke boste nato vnesli pri registrarju domene.
Pomembno: DNSSEC morate vključiti pri tistem ponudniku, katerega imenske strežnike domena dejansko uporablja. Če domena uporablja Cloudflare imenske strežnike, DNSSEC vključite v Cloudflare in ne v cPanelu ali DirectAdminu.
3. Dodajanje DS zapisa v Moj Webicom
- Prijavite se v uporabniški račun Moj Webicom.
- Odprite domeno, za katero želite vključiti DNSSEC.
- Med možnostmi upravljanja domene izberite DNSSEC (DS zapisi).
- Odprla se bo stran za upravljanje DNSSEC oziroma DS zapisov.
V obrazec vnesite podatke, ki vam jih je prikazal vaš DNS ponudnik:
Key Tag
Vnesite številko Key Tag točno tako, kot jo prikazuje DNS ponudnik.
Algorithm
Vnesite številko algoritma.
Primer:
13
Algoritem 13 predstavlja ECDSAP256SHA256, vendar v Moj Webicom vnesete samo številčno vrednost, ki jo je posredoval DNS ponudnik.
Digest Type
Vnesite številko tipa zgoščene vrednosti oziroma Digest Type.
Primer:
2
Vrednost 2 predstavlja SHA-256.
Digest
Vnesite celotno vrednost polja Digest.
Gre za daljši niz znakov, na primer:
5B84EB532449840794F2845DFE5AAB2C...
POZOR: Vse štiri vrednosti morajo biti prepisane natančno tako, kot jih je ustvaril DNS ponudnik.
Že ena napačna številka ali znak lahko povzroči, da DNSSEC preverjanje ne bo uspešno in domena lahko pri DNS resolverjih, ki preverjajo DNSSEC, preneha pravilno delovati.
Ko so podatki pravilno vneseni, kliknite gumb za dodajanje DS zapisa.
Po uspešnem dodajanju se bo DS zapis prikazal na seznamu obstoječih DNSSEC zapisov.
4. Kaj se zgodi po dodajanju DS zapisa?
Po dodajanju se DS zapis posreduje registru domene. Sprememba ni nujno vidna po celotnem internetu takoj.
Če uporabljate Cloudflare, je lahko stanje DNSSEC najprej prikazano kot Pending. To pomeni, da Cloudflare čaka, da se DS zapis pojavi pri registrarju oziroma v nadrejeni DNS coni.
Ko Cloudflare zazna pravilni DS zapis, se stanje spremeni v Active.
Nasvet: Po dodajanju DS zapisa počakajte nekaj časa in nato stanje ponovno preverite pri svojem DNS ponudniku. DNS spremembe zaradi predpomnilnikov niso vedno vidne takoj.
5. Kako preveriti, ali DNSSEC deluje?
Najlažje je preveriti stanje pri ponudniku DNS storitve.
Pri Cloudflare mora biti stanje DNSSEC po uspešni aktivaciji prikazano kot:
Active
Če še vedno vidite:
Pending
DS zapis še ni zaznan oziroma sprememba še ni povsod vidna.
Če stanje dalj časa ostaja v čakanju, preverite predvsem:
- ali ste pravilno prepisali Key Tag,
- ali je pravilen Algorithm,
- ali je pravilen Digest Type,
- ali je celoten Digest pravilno prekopiran,
- ali domena uporablja DNS strežnike ponudnika, pri katerem ste vključili DNSSEC.
6. Spreminjanje oziroma urejanje DS zapisa
Obstoječega DS zapisa v Moj Webicom ne urejate neposredno.
Če ste vnesli napačne podatke oziroma morate DS zapis zamenjati, se sprememba opravi z:
- dodajanjem novega pravilnega DS zapisa oziroma
- brisanje starega DS zapisa, ko ta ni več potreben.
Pomembno pri menjavi DNSSEC ključa
Če vam DNS ponudnik zaradi menjave ključa prikaže nov DS zapis, starega ne brišite na slepo. Sledite postopku svojega DNS ponudnika. Pri menjavi ključa lahko začasno obstajata tudi dva veljavna DS zapisa.
Če ste pravkar vnesli napačen zapis in DNSSEC še ni aktiven, lahko napačni zapis izbrišete in nato dodate pravilne podatke.
7. Brisanje DS zapisa
Obstoječi DS zapisi so prikazani na strani:
DNSSEC (DS zapisi)
Za odstranitev:
- poiščite DS zapis, ki ga želite odstraniti,
- kliknite možnost za brisanje,
- preverite, da brišete pravi zapis,
- brisanje potrdite.
Po potrditvi bo zapis odstranjen.
POZOR: DS zapisa ne brišite samo zato, ker ga ne prepoznate.
Če je DNSSEC trenutno aktiven, je DS zapis del varnostne verige domene. Napačno brisanje ali napačna kombinacija DS zapisa in DNSSEC ključev lahko povzroči težave z delovanjem domene.
8. Kako pravilno izključiti DNSSEC?
Če želite DNSSEC popolnoma izključiti, je zelo pomemben pravilen vrstni red.
- Najprej odstranite DS zapis pri registrarju, torej v Moj Webicom → DNSSEC (DS zapisi).
- Počakajte, da odstranitev DS zapisa postane vidna v DNS sistemu.
- Šele nato popolnoma izključite DNSSEC oziroma podpisovanje DNS cone pri svojem DNS ponudniku.
Zelo pomembno: DNSSEC podpisovanja pri DNS ponudniku ne izključite, dokler je stari DS zapis še vedno aktiven pri registrarju.
Če DS zapis obstaja, DNS cona pa ni več pravilno podpisana z ustreznim ključem, lahko DNSSEC preverjanje odpove in uporabniki domene ne bodo mogli odpreti spletne strani oziroma uporabljati drugih storitev.
9. DNSSEC in sprememba DNS oziroma imenskih strežnikov
Posebej previdni bodite, kadar je DNSSEC vključen in želite domeno prenesti na druge imenske strežnike oziroma drugega DNS ponudnika.
Stari DS zapis je povezan s ključi starega DNS ponudnika. Če samo spremenite imenske strežnike, stari DS zapis pa ostane aktiven, novi DNS strežniki praviloma ne bodo imeli ustreznega ključa.
To lahko povzroči nedelovanje DNS-a pri resolverjih, ki preverjajo DNSSEC.
Priporočilo: Pred menjavo DNS ponudnika preverite njegova navodila za migracijo DNSSEC. Če ne uporabljate naprednega postopka z več podpisniki, je običajno potrebno najprej pravilno odstraniti stari DS zapis in šele nato menjati DNS ponudnika ter ustvariti nov DNSSEC zapis.
10. Kaj pomenijo posamezna polja?
Key Tag
Kratka številčna oznaka DNSSEC ključa. Omogoča prepoznavanje ključa, na katerega se DS zapis nanaša.
Algorithm
Določa kriptografski algoritem, ki se uporablja za DNSSEC podpisovanje.
Primer:
13 = ECDSAP256SHA256
Digest Type
Določa algoritem, s katerim je bila izdelana zgoščena vrednost ključa.
Primer:
2 = SHA-256
Digest
Kriptografska zgoščena vrednost DNSSEC ključa. To je dolg niz znakov, ki ga morate prekopirati natančno tako, kot vam ga posreduje DNS ponudnik.
Za običajnega uporabnika: pomena teh vrednosti vam ni treba poznati oziroma jih računati sami. Pomembno je samo, da vse štiri vrednosti pravilno prekopirate od DNS ponudnika v Moj Webicom.
11. Najpogostejše težave
Če DNSSEC ne postane aktiven oziroma domena po spremembi ne deluje pravilno, preverite:
- ali so vse štiri vrednosti DS zapisa pravilno vnesene,
- ali uporabljate DS zapis trenutnega DNS ponudnika,
- ali domena dejansko uporablja imenske strežnike tega DNS ponudnika,
- ali je DNSSEC pri DNS ponudniku vključen,
- ali je po spremembi preteklo dovolj časa za osvežitev DNS podatkov,
- ali v Moj Webicom ni ostal star DS zapis prejšnjega DNS ponudnika.
Če ste pred kratkim zamenjali imenske strežnike in domena vrača DNS napake, preverite predvsem, ali je pri registrarju ostal DS zapis starega ponudnika.
12. Povzetek – vklop DNSSEC
1. Vključite DNSSEC pri svojem DNS ponudniku.
2. Prekopirajte Key Tag, Algorithm, Digest Type in Digest.
3. V Moj Webicom odprite domeno → DNSSEC (DS zapisi).
4. Dodajte DS zapis.
5. Počakajte, da DNS ponudnik potrdi aktivno DNSSEC zaščito.
Če niste prepričani, katere DS podatke morate vnesti oziroma želite preveriti pravilnost DNSSEC nastavitve, lahko podporni zahtevek odprete v uporabniškem računu Moj Webicom ali nam pišete na pomoc@webicom.net. Posredujte nam domeno in podatke DS zapisa, ki jih prikazuje vaš DNS ponudnik.
(dnssec,ds zapis,ds record,key tag,algorithm,digest,digest type,dns,varnost dns,cloudflare,domena,si domena,imenski strežniki,nameserver,moj webicom)
