DNSSEC

DNSSEC добавляет цифровые подписи к ответам DNS. Рекурсивный резолвер с поддержкой проверки DNSSEC может убедиться, что ответ действительно получен от авторитетных серверов домена и не был изменён. Это защищает от атак, например от отравления кеша.

В Yeap Cloud DNS после включения DNSSEC серверы имён подписывают ответы на лету, поэтому управлять подписанием самостоятельно не требуется. Чтобы DNSSEC действительно работал, необходимо также добавить запись DS платформы у регистратора домена. Это создаёт цепочку доверия от родительской зоны (например, .com).

#Перед началом

• Зона должна быть активна, а для домена уже должны быть указаны серверы имён, назначенные платформой (см. Зоны и записи).
• Убедитесь, что регистратор позволяет добавлять для домена записи DS с алгоритмом 13 (ECDSA P-256 / SHA-256) и типом дайджеста 2 (SHA-256). Крупные регистраторы и распространённые доменные зоны верхнего уровня поддерживают оба значения.
• Если DNSSEC для этого домена был включён у предыдущего DNS-провайдера, сначала удалите старую запись DS у регистратора. Перед сменой серверов имён дождитесь истечения срока её хранения в кешах. Иначе после перехода домен может перестать разрешаться.

#Шаг 1. Включите DNSSEC для зоны

1. Перейдите в DNS → Зоны и нажмите значок Настройки DNSSEC в строке зоны. Либо на странице записей зоны выберите Другие действия → Настройки DNSSEC.
2. В окне Настройки DNSSEC нажмите Включить DNSSEC и подтвердите действие.
3. Система создаст ключи подписи (KSK и ZSK). Значение Статус DNSSEC в окне изменится на Включено. Также отобразятся Алгоритм подписи, ECDSAP256SHA256 и Key Tag.

С этого момента серверы имён публикуют записи DNSKEY для зоны. На запросы с поддержкой DNSSEC возвращаются подписанные ответы (записи RRSIG), а для несуществующих имён — подписанные отрицательные ответы.

#Шаг 2. Получите запись DS

После включения DNSSEC в окне Настройки DNSSEC отображаются все поля записи DS. У каждого поля есть кнопка копирования:

Ниже, в разделе Полный формат записи DS, показана запись целиком, например:

example.com. 3600 IN DS 12345 13 2 3F8A...(digest)

Некоторые регистраторы запрашивают Key Tag, алгоритм, тип дайджеста и дайджест в отдельных полях. Другие принимают строку DS целиком. Используйте формат, который требует ваш регистратор.

#Шаг 3. Добавьте запись DS у регистратора

Если домен зарегистрирован у другого регистратора: войдите в его панель управления, найдите настройки DNSSEC или записей DS для домена, введите значения из таблицы выше и сохраните их.

Если домен зарегистрирован в Yeap Cloud: откройте Домены → Мои домены, перейдите к сведениям о домене и откройте вкладку DNSSEC:

• Состояние DNSSEC в службе DNS показывает состояние DNSSEC домена в Yeap Cloud DNS.
• В разделе Синхронизация DNSSEC нажмите Синхронизировать с регистратором, чтобы передать запись DS в реестр.
• Либо заполните поля в разделе Добавить запись DS вручную и нажмите Отправить запись DS.
• Если Состояние DNSSEC у регистратора показывает Настроено, запись успешно отправлена.

Возможность выполнения этой операции зависит от поддержки DNSSEC подключением к регистратору для данной доменной зоны верхнего уровня. Если поддержки нет, появится соответствующее сообщение.

#Шаг 4. Проверьте работу

После публикации записи DS проверьте целостность цепочки доверия:

# Check that the parent zone publishes the DS record
dig +short DS example.com

# Look at the zone's DNSKEY and signatures (use a nameserver assigned to the zone)
dig +dnssec DNSKEY example.com @<assigned-nameserver>

# Query a validating public resolver; the "ad" flag means validation passed
dig +dnssec www.example.com @1.1.1.1

Онлайн-инструменты, например DNSViz, также позволяют наглядно отобразить всю цепочку доверия.

#Повторное создание ключей

Действие Создать ключи заново в окне Настройки DNSSEC одновременно заменяет KSK и ZSK и формирует новую запись DS. Новые ключи начинают действовать сразу. Платформа не выполняет постепенную ротацию с одновременной публикацией старых и новых ключей. Старая запись DS у регистратора перестаёт соответствовать новым ключам, и резолверы с проверкой DNSSEC не смогут разрешать домен, пока новая запись DS не будет опубликована, а срок хранения старой записи DS в кешах не истечёт.

#Безопасное отключение DNSSEC

Если отключить DNSSEC в консоли, пока у регистратора остаётся запись DS, резолверы с проверкой DNSSEC сочтут ответы подменёнными, и домен перестанет разрешаться. Выполните действия в следующем порядке:

1. Удалите запись DS домена у регистратора. Для доменов, зарегистрированных в Yeap Cloud, её можно удалить на вкладке DNSSEC в сведениях о домене.
2. Дождитесь истечения срока хранения записи DS в кешах. Рекомендуется подождать не менее 24–48 часов. Выполните dig +short DS example.com, чтобы убедиться, что родительская зона больше не возвращает запись DS.
3. Вернитесь в окно Настройки DNSSEC, нажмите Отключить DNSSEC и подтвердите действие.

При переносе домена с платформы соблюдайте тот же порядок: удалите запись DS, дождитесь истечения срока хранения в кешах, затем измените серверы имён или удалите зону.