Yetenek

On-Prem DNSSEC

Yetkili zone'ları kendi altyapınızda imzalayın — DNSSEC bütünlüğü için anahtar emanetini üçüncü tarafa devretmeden.

DNSSEC, DNS'i kimliği doğrulanmamış bir aramadan kriptografik olarak doğrulanabilir bir servise dönüştürür. Çoğu kurumun ödediği fiyat emanettir: bulut DNS sağlayıcıları imzalama anahtarlarını yönetir, imzalamayı gerçekleştirir ve imzalı yanıtları sunar — kullanışlıdır, ancak anahtarlar asla güvenlik sınırınızın içinde durmaz. TR7 GTM, cihaz üzerinde DNSSEC sign-and-serve sunar. Domain başına DNSSEC opt-in, kullanıma alımı ayrıntılı tutar. Desteklenen 35 DNS kayıt tipinin tümü DNSSEC katmanıyla birlikte var olur — DNSKEY, DS, NSEC, NSEC3, NSEC3PARAM, RRSIG, CDS, CDNSKEY kayıtları şema içinde birinci sınıftır, AXFR/IXFR üzerinden diğer kayıt tipleri gibi transfer edilir ve zone'un geri kalanıyla birlikte sunulur. SOA edit modları (DEFAULT YYYYMMDD01, INCREASE, EPOCH, OFF) operatörlere zone serilerinin nasıl ilerleyeceği üzerinde kontrol verir — hem DNSSEC hem alt akış slave tutarlılığı için önemlidir. Zone transferi imzalı kayıtları olduğu gibi taşır, böylece Express modlu slave'ler master'ın imzalı yanıtlarını yeniden imzalamadan sunar. Sonuç: imzalama anahtarlarını, anahtar dönüşüm kararlarını ve zone bütünlüğünü operasyonel kontrolünüz altında tutan DNSSEC-uyumlu bir yetkili DNS düzlemi — bir SaaS sözleşmesi altında değil.

DNSSEC kayıt tipi — DNSKEY, DS, NSEC, NSEC3, NSEC3PARAM, RRSIG, CDS, CDNSKEY

Domain başına

DNSSEC opt-in — karışık imzalı ve imzasız zone'lar bir arada

DNSSEC

Dönüş yolunda doğrulanır — sahte yanıt önbelleğe hiç ulaşmaz

On-prem

Anahtar emaneti operatör kontrolünde kalır

DNSSEC benimsenmesi kriptografik karmaşıklık tarafından değil, anahtar emaneti tarafından engellenir.

DNSSEC on yılı aşkın süredir bir standarttır, ancak benimsenme dengesiz kalır. Kriptografi iyi anlaşılır; operasyonel model iyi belgelenmiştir. Birçok kuruluşu etkinleştirmekten alıkoyan emanettir: imzalama anahtarı (KSK) ve zone imzalama anahtarı (ZSK) tüm zone'un güven kökleridir ve çoğu kurum bu anahtarları satıcının ellerinde istemez.

Bulut DNS sağlayıcıları DNSSEC sign-and-serve sunar, ancak anahtarlar sağlayıcının KMS'sinde durur. Sağlayıcı iptal edebilir, döndürebilir veya celbedilebilir — zone bütünlüğünüz sağlayıcının devam eden operasyonuna koşulludur. Bazı kurumlar bu uzlaşmayı kabul eder; regüle sektörlerdeki birçoğu (kamu, savunma, finans) edemez.

Tarihsel alternatif, kendi yönetilen DNSSEC imzalama boru hattını işletmektir: özel anahtar yönetimi olan BIND, anahtarları planlı döndürmek için scriptler, harici HSM entegrasyonu, imzalı kayıtları almak için slave yapılandırması. Bu işe yarar, ancak operasyonel yük önemlidir ve başarısızlık modları sessizdir (süresi dolmuş RRSIG, eksik NSEC zinciri).

TR7 GTM, DNSSEC'i yetkili DNS düzleminin geri kalanı ile aynı operatör yüzeyine getirir — domain başına opt-in, birinci sınıf veri olarak imzalı kayıtlar, imzalamayı taşıyan zone transferi — harici bir imzalama servisine bağımlı olmadan.

Yaklaşımımız

DNSSEC, tüm DNSSEC kayıt tipleri için birinci sınıf destekle birleştirilmiş domain başına bir özellik bayrağıdır. Sign-and-serve TR7 GTM düğümünde gerçekleşir; anahtar emaneti operatörde kalır.

Domain başına DNSSEC opt-in

TR7 GTM'deki her DNS domain'i boolean bir şema alanı aracılığıyla DNSSEC'i bağımsız etkinleştirir veya devre dışı bırakır. Karışık dağıtımlar — bazı imzalı zone'lar, bazı imzasız — fleet genelinde taahhüt zorunlu kılmadan aynı fleet'te bir arada bulunur.

Birinci sınıf veri olarak sekiz DNSSEC kayıt tipi

DNSKEY, DS, NSEC, NSEC3, NSEC3PARAM, RRSIG, CDS, CDNSKEY desteklenen kayıt tipi listesinin A, AAAA, CNAME, MX ve diğerleriyle birlikte parçasıdır. Şema bunları ayrı bir alt sistem olarak değil, veri olarak ele alır.

Seri ilerlemesini kontrol eden SOA edit modları

Operatör SOA serisinin nasıl artacağını seçer: DEFAULT (YYYYMMDD01 formatı), INCREASE (her değişiklikte +1), EPOCH (UNIX zaman damgası) veya OFF (manuel kontrol). Seri ilerlemesi DNSSEC doğrulayıcıları ve alt akış slave'ler için önemlidir.

Zone transferi imzalı kayıtları olduğu gibi taşır

AXFR/IXFR, DNSSEC kayıtlarını diğer kayıt tipleriyle birlikte transfer eder. Express modlu slave'ler master'ın imzalı yanıtlarını yeniden imzalamadan sunar — tek imzalama noktası, birden çok sunma noktası.

Yetenekler

TR7 GTM'de DNSSEC, üçüncü taraf bir imzalayıcıya devretmeden operasyonel yüzeyi kapsar — şema, transfer, sunma, bütünlük.

Yalnız imzalamak değil, doğrulamak

İmzalamak, bölgelerinizi dünyaya kanıtlar. Doğrulamak ise kendi kullanıcılarınızı korur: özyinelemeli çözücüden dönen yanıtlar güven zincirine karşı denetlenir, böylece sahte ya da değiştirilmiş bir cevap önbelleğe girmeden kırılır — ve bogus oranındaki ani artış alarm üretir, çünkü bu ya bir saldırıdır ya da bozuk bir bölge; ikisi de hemen bilinmelidir.

Domain başına DNSSEC boolean bayrağı

Her DNS domain'i bir `dnssec` boolean alanı taşır. True olduğunda zone DNSSEC-aktif olarak ele alınır: DNSKEY ve DS kayıtları beklenir, RRSIG kayıtları kabloda her RRset'e eşlik eder ve NSEC/NSEC3 kayıtları zone'un ad alanını kapsar.

DNSKEY kayıt yönetimi

DNSKEY kayıtları (zone'un açık anahtarları) şemadaki normal kayıtlar olarak yönetilir. Operatörler DNSKEY içeriğini içe aktarır veya tanımlar; dönüşüm, eskileri kaldırmadan önce yeni DNSKEY kayıtları ekleyerek, standart önceden-yayımla dönüşüm desenlerini izleyerek ele alınır.

Üst-zone devri için DS kayıt desteği

DS kayıtları (Delegation Signer) üst zone'da yönetilir. Üst ve alt zone'lar her ikisi de TR7 GTM'de barındırıldığında DS kayıtları doğal olarak yayılır; üst başka yerdeyse operatörler DS kayıtlarını yukarı akış teslimi için dışa aktarır.

NSEC ve NSEC3 kimliği doğrulanmış var-olmama kanıtı

NSEC ve NSEC3 kayıtları sorgulanan bir adın var olmadığını kanıtlar. NSEC3 zone numaralandırmasını yenmek için tuz ve yineleme ekler. Her iki kayıt tipi de şemada birinci sınıftır ve zone'un parçası olarak sunulur.

RRSIG imza kayıtları

RRSIG kayıtları RRset'ler üzerindeki kriptografik imzaları taşır. Şema RRSIG'i bir kayıt tipi olarak destekler; AXFR/IXFR transferi RRSIG'leri imzalı RRset'lerle birlikte taşır.

Otomatik üst güncellemeler için CDS ve CDNSKEY

CDS ve CDNSKEY kayıtları alt zone'un amaçlanan DS durumunu üste iletir — üst tarafı otomasyonunu (RFC 7344) etkinleştirir. Birden çok DNS sağlayıcısı arasında devirler işleten kurumlar için kullanışlıdır.

Seri kontrolü için SOA edit modları

SOA seri ilerlemesi için dört operatör-seçilebilir mod: DEFAULT (tarih-temelli YYYYMMDD01), INCREASE (her değişiklikte +1), EPOCH (UNIX zaman damgası), OFF (manuel kontrol). Seri değerleri DNSSEC için kritiktir çünkü imzalı zone'lar önbelleğe alınmış imzaları geçersiz kılmak için her değişiklikte seriyi ilerletmelidir.

İmzalı-zone replikasyonu için slave sunucu IP'leri

Her domain, NOTIFY üzerinden imzalı zone güncellemelerini gönderdiği slave sunucu IP'lerini listeleyebilir. Operatörler kendi alt akış slave'lerini çalıştırır (PowerDNS, BIND, NSD) ve dağıtık sunma için imzalı kopyalar alır.

Gizli-master imzalama için Express modu ile uyumlu

Yukarı akış master'dan çekilen Express modlu domain'ler master'ın DNSSEC durumunu miras alır. Master imzalarsa TR7 imzalı yanıtları sunar; master imzalamazsa TR7 imzasız sunar. İmzalama kararı master'a aittir.

8 DNSSEC tipi dahil toplam 35 DNS kayıt tipi

Tam kayıt tipi listesi (A, AAAA, AFSDB, ALIAS, CAA, CERT, CDNSKEY, CDS, CNAME, DNSKEY, DNAME, DS, HINFO, KEY, LOC, MX, NAPTR, NS, NSEC, NSEC3, NSEC3PARAM, OPENPGPKEY, PTR, RP, RRSIG, SOA, SPF, SSHFP, SRV, TKEY, TSIG, TLSA, SMIMEA, TXT, URI) birinci sınıf üye olarak sekiz DNSSEC-ilişkili tipi içerir.

Operasyonel derinlik

TR7 GTM'de DNSSEC, zone transferi, anahtar döndürmesi, üst devri ve doğrulayıcı beklentileri ile birlikte işletilir.

Domain başına opt-in ayrıntısı

DNSSEC domain başına etkinleştirilir. Operatörler DNSSEC'i zone başına dağıtır, her birini genişletmeden önce doğrular. Karışık durumlar süresiz desteklenir — bazı zone'lar imzalı, bazıları imzasız, aynı TR7 fleet'inde.

Kayıt yönetimi yoluyla anahtar dönüşümü

DNSKEY dönüşümü standart önceden-yayımla / çift-imza desenlerini izler: yeni anahtarı DNSKEY kaydı olarak ekle, önbelleklerin yenilenmesini bekle, aktif imzalayıcıyı değiştir, eski anahtarı emekli et. Şema her anahtarı veri olarak ele alır; dönüşüm zamanlaması operatör kontrolündedir.

RRSIG geçerlilik pencereleri

RRSIG kayıtları geçerlilik aralıkları taşır. Operatörler yenileme kadansını tanımlar — tipik olarak imzalar süresi dolmadan önce yenilenir; böylece geçici imzalama-boru hattı sorunları sırasında doğrulayıcı başarısızlıkları önlenir. Platform yaklaşan süre dolumlarını operatör eylemi için yüzeye çıkarır.

NSEC ve NSEC3 seçimi

NSEC zone yürümeyi sağlar (bir saldırgan tüm adları numaralandırabilir); NSEC3 yürümeyi önlemek için tuz ve yineleme ekler. Operatörler zone başına seçer — kamuya açık zone'lar numaralandırmayı önlemek için sıklıkla NSEC3 kullanır; kapalı zone'lar basitlik için NSEC kullanabilir.

Üst devir koordinasyonu

Zone-kesim devri üstün bir DS kaydı yayımlamasını gerektirir. Üst zone TR7'de barındırıldığında DS kayıtları üstün kayıt setinin parçasıdır. Üst başka yerdeyken operatörler CDS kayıtlarından DS değerlerini dışa aktarır ve yukarı akışa teslim eder.

Slave sunucu uyumluluğu

Alt akış slave sunucular imzalı zone'ları AXFR/IXFR ile alır ve sunar. Slave'ler yeniden imzalamaz; master'ın imzalarına güvenir. Bu, yeniden imzalama yükü olmadan dağıtık sunmayı (birden çok slave POP, bölgesel önbellekler) destekler.

Ne zaman kullanılır

Kamu ve savunma DNS bütünlüğü

Uyum için DNSSEC bütünlüğü gerektiren kamu-sektörü zone'ları, imzalama anahtarlarını güvenlik sınırının içinde tutmak zorundadır. TR7'nin on-prem DNSSEC'i, bir bulut sağlayıcısına devretmeden bu gereksinimi karşılar.

Finans sektörü imzalı zone'ları

Bankacılık ve ödeme-işleme zone'ları, müşteriye bakan servislere karşı DNS sahteciliği saldırılarını önlemek için DNSSEC kullanır. Domain başına opt-in, bankaların DNSSEC'i daha geniş kullanıma alımdan önce her birini doğrulayarak zone başına dağıtmasına izin verir.

İmzalı sunumlu gizli-master mimarileri

Master zone'u imzalar; TR7 düğümleri Express slave'ler olarak hareket eder ve master'ın imzalı yanıtlarını sunar. İmzalama bir kez gerçekleşir; sunum kenar başına yeniden imzalama yükü olmadan ölçekte gerçekleşir.

CDS-tabanlı üst koordinasyonu ile çoklu-sağlayıcı DNS

Yedeklilik için birden çok DNS sağlayıcısı kullanan kurumlar, üst zone'un mevcut DS değerlerini otomatik olarak öğrenebilmesi için TR7 üzerinden CDS kayıtları yayımlar. Üst-tarafı otomasyonu manuel dönüşüm koordinasyonunu azaltır.

Sıkça sorulan sorular

TR7 DNSSEC anahtarlarını yönetir mi, yoksa kendiminkini mi getirmeliyim?

DNSSEC anahtarları (DNSKEY kayıtları) şemada kayıtlar olarak yönetilir. Operatörler mevcut anahtarları içe aktarır veya yenilerini oluşturur; TR7 bunları depolar ve sunar, yaşam döngülerini veri olarak yönetir ve onları RRSIG kayıtlarıyla eşleştirir. Anahtar oluşturma araçları ve HSM entegrasyonu operatör seçimleridir — şema anahtarları neyin tuttuğu konusunda açıktır.

Express modlu zone'larda DNSSEC kullanabilir miyim?

Evet. Express modlu zone'lar master'ın DNSSEC durumunu miras alır. Master imzalar; TR7 imzalı kayıtları AXFR/IXFR ile çeker ve sunar. TR7 katmanında yeniden imzalama gerçekleşmez — master'ın imzaları olduğu gibi sunulur.

SOA edit modu DNSSEC'i nasıl etkiler?

DNSSEC, doğrulayıcıların ve önbellekleme çözümleyicilerinin zone'un güncellendiğini bilmesi için SOA serisinin her zone değişikliğinde ilerlemesini gerektirir. SOA edit modları — DEFAULT (YYYYMMDD01), INCREASE (+1), EPOCH (UNIX zaman damgası), OFF (manuel) — operatörlerin bu ilerlemenin nasıl hesaplandığını seçmesine izin verir. İmzalı zone'lar için DEFAULT ve INCREASE en yaygın olanlardır.

Peki NSEC zone yürüme ne olacak?

NSEC kayıtları tüm zone'u numaralandırmak için yürünebilir, bu da bazen bir gizlilik veya keşif endişesidir. NSEC3 numaralandırmayı yenmek için tuz ve yineleme ekler. NSEC ve NSEC3 arasındaki seçim zone başınadır — operatörler basitliği (NSEC) yürüme direncine (NSEC3) karşı değiş tokuş eder.

Slave sunucular DNSSEC ile nasıl ele alınır?

Slave sunucular imzalı zone'ları AXFR/IXFR transferi ile alır. Slave'ler master'ın imzalarını yeniden imzalamadan sunar. TR7 GTM hem master (imzalama) hem de başka bir master'a slave (yukarı akış imzalarını sunma) olarak hareket edebilir. Dağıtık sunma yeniden imzalama yükü olmadan çalışır.

DNSSEC GSLB ve DC seçim özellikleriyle uyumlu mu?

Evet. DNSSEC zone-bütünlüğü katmanında çalışır; GSLB ve DC seçimi yanıt-seçim katmanında çalışır. GSLB hangi kayıtların döndürüleceğini seçer; DNSSEC katmanı bu kayıtların geçerli imzalarla geldiğini sağlar. İkisi diktir — DNSSEC'i ağırlıklı, coğrafi ve çoklu-kaynaklı GSLB ile birleştirmek desteklenir.

Zone'larınızı kendi altyapınızda imzalayın.

TR7 GTM ile on-prem DNSSEC'i deneyin: domain başına opt-in, birinci sınıf veri olarak tüm DNSSEC kayıt tipleri, imzaları sağlam taşıyan zone transferi.