Produktdokumentation
ADC
14.1 - Current Release 13.1 13.0 12.1
PDF anzeigen

Konfigurieren von DNSSEC

August 15, 2023
Beitrag von: 
C

Gehen Sie wie folgt vor, um DNSSEC zu konfigurieren:

  1. Aktivieren Sie DNSSEC auf der NetScaler-Appliance.
  2. Erstellen Sie einen Zonensignierschlüssel und einen Schlüsselsignierschlüssel für die Zone.
  3. Füge die beiden Schlüssel zur Zone hinzu.
  4. Unterschreibe die Zone mit den Schlüsseln.

Die NetScaler-Appliance fungiert nicht als DNSSEC-Resolver. DNSSEC auf dem ADC wird nur in den folgenden Bereitstellungsszenarien unterstützt:

  1. ADNS — NetScaler ist das ADNS und generiert die Signaturen selbst.
  2. Proxy — NetScaler fungiert als DNSSEC-Proxy. Es wird davon ausgegangen, dass der NetScaler in einem vertrauenswürdigen Modus vor den ADNS/LDNS-Servern platziert wird. Der ADC fungiert nur als Proxy-Caching-Entität und validiert keine Signaturen.

DNSSEC aktivieren und deaktivieren

Aktivieren Sie DNSSEC auf dem NetScaler, damit der ADC auf DNSSEC-fähige Clients reagiert. Standardmäßig ist DNSSEC aktiviert.

Sie können die DNSSEC-Funktion deaktivieren, wenn Sie nicht möchten, dass der NetScaler auf Clients mit DNSSEC-spezifischen Informationen reagiert.

Aktivieren oder deaktivieren Sie DNSSEC mithilfe der CLI

Geben Sie an der Befehlszeile die folgenden Befehle ein, um DNSSEC zu aktivieren oder zu deaktivieren und die Konfiguration zu überprüfen:

-  set dns parameter -dnssec ( ENABLED | DISABLED )
-  show dns parameter  
<!--NeedCopy-->

Beispiel:

> set dns parameter -dnssec ENABLED
 Done
> show dns parameter
        DNS parameters:
        DNS retries: 5
         .
         .
         .
         DNSEC Extension: ENABLED
        Max DNS Pipeline Requests: 255
 Done

<!--NeedCopy-->

Aktivieren oder deaktivieren Sie DNSSEC mithilfe der GUI

  1. Navigieren Sie zu Traffic Management > DNS.
  2. Klicken Sie im Detailbereich auf DNS-Einstellungen ändern.
  3. Aktivieren oder deaktivieren Sie im Dialogfeld DNS-Parameter konfigurieren das Kontrollkästchen DNSSEC-Erweiterung aktivieren .

Erstellen von DNS-Schlüsseln für eine Zone

Für jede DNS-Zone, die Sie signieren möchten, müssen Sie zwei asymmetrische Schlüsselpaare erstellen. Ein Paar, der sogenannte Zone Signing Key (ZSK), wird verwendet, um alle Ressourcendatensätze in der Zone zu signieren. Das zweite Paar wird als Key Signing Key (KSK) bezeichnet und wird verwendet, um nur die DNSKEY-Ressourceneinträge in der Zone zu signieren.

Wenn der ZSK und der KSK erstellt werden, wird der suffix.key an die Namen der öffentlichen Komponenten der Schlüssel angehängt. Das suffix.private wird an die Namen ihrer privaten Komponenten angehängt. Das Anhängen erfolgt automatisch.

Der NetScaler erstellt außerdem einen Delegation Signer (DS) -Datensatz und fügt das Suffix .ds an den Namen des Datensatzes an. Wenn es sich bei der übergeordneten Zone um eine signierte Zone handelt, müssen Sie den DS-Eintrag in der übergeordneten Zone veröffentlichen, um die Vertrauenskette einzurichten.

Wenn Sie einen Schlüssel erstellen, wird der Schlüssel im /nsconfig/dns/ Verzeichnis gespeichert, aber er wird nicht automatisch in der Zone veröffentlicht. Nachdem Sie mithilfe des Befehls create dns key einen Schlüssel erstellt haben, müssen Sie den Schlüssel mithilfe des Befehls add dns key explizit in der Zone veröffentlichen. Das Generieren eines Schlüssels ist vom Prozess der Veröffentlichung des Schlüssels in einer Zone getrennt, sodass Sie alternative Methoden zum Generieren von Schlüsseln verwenden können. Sie können beispielsweise Schlüssel importieren, die von anderen Schlüsselgenerierungsprogrammen (z. B. bind-keygen) generiert wurden, indem Sie Secure FTP (SFTP) verwenden und dann die Schlüssel in der Zone veröffentlichen. Weitere Informationen zum Veröffentlichen eines Schlüssels in einer Zone finden Sie unter Veröffentlichen eines DNS-Schlüssels in einer Zone.

Führen Sie die in diesem Thema beschriebenen Schritte aus, um einen Zonensignierungsschlüssel zu erstellen, und wiederholen Sie dann die Schritte zum Erstellen eines Schlüsselsignierungsschlüssels. Das Beispiel, das der Befehlssyntax folgt, erstellt zunächst ein Schlüsselpaar für die Zonensignierung für die Zone example.com. Das Beispiel verwendet dann den Befehl, um ein Schlüsselsignierschlüsselpaar für die Zone zu erstellen.

Ab Version 13.0 Build 61.x unterstützt die NetScaler-Appliance jetzt stärkere Kryptoalgorithmen wie RSASHA256 und RSASHA512, um eine DNS-Zone zu authentifizieren. Bisher wurde nur der RSASHA1-Algorithmus unterstützt.

Erstellen Sie einen DNS-Schlüssel mithilfe der CLI

Geben Sie an der Eingabeaufforderung Folgendes ein:

create dns key -zoneName <string> -keyType <keyType> -algorithm <algorithm> -keySize <positive_integer> -fileNamePrefix <string>

Beispiel:

> create dns key -zoneName example.com -keyType zsk -algorithm RSASHA256 -keySize 1024 -fileNamePrefix example.com.zsk.rsasha1.1024
File Name: /nsconfig/dns/example.com.zsk.rsasha1.1024.key (public); /nsconfig/dns/example.com.zsk.rsasha1.1024.private (private); /nsconfig/dns/example.com.zsk.rsasha1.1024.ds (ds)
This operation may take some time, Please wait...
 Done
> create dns key -zoneName example.com -keyType ksk -algorithm RSASHA512 -keySize 4096 -fileNamePrefix example.com.ksk.rsasha1.4096
File Name: /nsconfig/dns/example.com.ksk.rsasha1.4096.key (public); /nsconfig/dns/example.com.ksk.rsasha1.4096.private (private); /nsconfig/dns/example.com.ksk.rsasha1.4096.ds (ds)
This operation may take some time, Please wait...
 Done
<!--NeedCopy-->

Erstellen Sie einen DNS-Schlüssel mithilfe der GUI

  1. Navigieren Sie zu Traffic Management > DNS.
  2. Klicken Sie im Detailbereich auf DNS-Schlüssel erstellen.

  3. Geben Sie Werte für die verschiedenen Parameter ein und klicken Sie auf Erstellen.

    Erstellen Sie einen DNS-Schlüssel

    Hinweis: Um das Dateinamenpräfix eines vorhandenen Schlüssels zu ändern:

    • Klicken Sie auf den Pfeil neben der Schaltfläche Durchsuchen .
    • Klicken Sie entweder auf Lokal oder auf Appliance (je nachdem, ob der vorhandene Schlüssel auf Ihrem lokalen Computer oder im /nsconfig/dns/ Verzeichnis auf der Appliance gespeichert ist)
    • Navigieren Sie zum Speicherort des Schlüssels, und doppelklicken Sie dann auf den Schlüssel. Das Feld Dateinamenpräfix enthält nur das Präfix des vorhandenen Schlüssels. Ändern Sie das Präfix entsprechend.

Veröffentlichen eines DNS-Schlüssels in einer Zone

Ein Schlüssel (Zonensignierungsschlüssel oder Schlüsselsignierschlüssel) wird in einer Zone veröffentlicht, indem der Schlüssel zur ADC-Appliance hinzugefügt wird. Ein Schlüssel muss in einer Zone veröffentlicht werden, bevor Sie die Zone signieren.

Bevor Sie einen Schlüssel in einer Zone veröffentlichen, muss der Schlüssel im Verzeichnis /nsconfig/dns/ verfügbar sein. Wenn Sie den DNS-Schlüssel auf einem anderen Computer erstellt haben (z. B. mithilfe des Programms bind-keygen), stellen Sie sicher, dass der Schlüssel dem Verzeichnis /nsconfig/dns/ hinzugefügt wird. Veröffentlichen Sie dann den Schlüssel in der Zone. Verwenden Sie die ADC-GUI, um den Schlüssel zum /nsconfig/dns/ Verzeichnis hinzuzufügen. Oder verwenden Sie ein anderes Programm, um den Schlüssel in das Verzeichnis zu importieren, z. B. Secure FTP (SFTP).

Verwenden Sie den add dns key Befehl für jedes öffentlich-private Schlüsselpaar, das Sie in einer bestimmten Zone veröffentlichen möchten. Wenn Sie ein ZSK-Paar und ein KSK-Paar für eine Zone erstellt haben, verwenden Sie den add dns key Befehl, um zuerst eines der Schlüsselpaare in der Zone zu veröffentlichen. Wiederholen Sie den Befehl, um das andere Schlüsselpaar zu veröffentlichen. Für jeden Schlüssel, den Sie in einer Zone veröffentlichen, wird in der Zone ein DNSKEY-Ressourceneintrag erstellt.

Das Beispiel, das der Befehlssyntax folgt, veröffentlicht zuerst das Zonensignaturschlüsselpaar (das für die Zone example.com erstellt wurde) in der Zone. Das Beispiel verwendet dann den Befehl, um das Schlüsselpaar für die Signatur in der Zone zu veröffentlichen.

Veröffentlichen Sie einen Schlüssel in einer Zone mithilfe der CLI

Geben Sie an der Befehlszeile den folgenden Befehl ein, um einen Schlüssel in einer Zone zu veröffentlichen und die Konfiguration zu überprüfen:

-  add dns key <keyName> <publickey> <privatekey> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns zone [<zoneName> | -type <type>]
<!--NeedCopy-->

Beispiel:

> add dns key example.com.zsk example.com.zsk.rsasha1.1024.key example.com.zsk.rsasha1.1024.private
 Done
> add dns key example.com.ksk example.com.ksk.rsasha1.4096.key example.com.ksk.rsasha1.4096.private
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done
<!--NeedCopy-->

Veröffentlichen Sie einen Schlüssel in einer DNS-Zone mithilfe der GUI

Navigieren Sie zu Traffic Management > DNS > Keys.

Hinweis: Um für den öffentlichen Schlüssel und den privaten Schlüssel einen Schlüssel hinzuzufügen, der auf Ihrem lokalen Computer gespeichert ist, klicken Sie auf den Pfeil neben der Schaltfläche Durchsuchen, klicken Sie auf Lokal, suchen Sie nach dem Speicherort des Schlüssels, und doppelklicken Sie dann auf den Schlüssel.

Einen DNS-Schlüssel konfigurieren

Sie können die Parameter eines Schlüssels konfigurieren, der in einer Zone veröffentlicht wurde. Sie können die Parameter Ablaufzeit, Benachrichtigungszeitraum und Time-to-Live (TTL) des Schlüssels ändern. Wenn Sie die Ablaufzeit eines Schlüssels ändern, signiert die Appliance automatisch erneut alle Ressourceneinträge in der Zone mit dem Schlüssel. Die erneute Signierung erfolgt, wenn die Zone mit dem bestimmten Schlüssel signiert ist.

Konfigurieren Sie einen Schlüssel mithilfe der CLI

Geben Sie an der Befehlszeile den folgenden Befehl ein, um einen Schlüssel zu konfigurieren und die Konfiguration zu überprüfen:

-  set dns key <keyName> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns key [<keyName>]
<!--NeedCopy-->

Beispiel:

> set dns key example.com.ksk -expires 30 DAYS -notificationPeriod 3 DAYS -TTL 3600
 Done
> show dns key example.com.ksk
1)      Key Name: example.com.ksk
        Expires: 30 DAYS        Notification: 3 DAYS    TTL: 3600
        Public Key File: example.com.ksk.rsasha1.4096.key
        Private Key File: example.com.ksk.rsasha1.4096.private
 Done
<!--NeedCopy-->

Konfigurieren Sie einen Schlüssel mithilfe der GUI

  1. Navigieren Sie zu Traffic Management > DNS > Keys.

  2. Klicken Sie im Detailbereich auf den Schlüssel, den Sie konfigurieren möchten, und klicken Sie dann auf Öffnen.

  3. Ändern Sie im Dialogfeld DNS-Schlüssel konfigurieren die Werte der folgenden Parameter wie gezeigt:

    • Läuft ab — Läuft ab
    • Meldezeitraum — notificationPeriod
    • TTL—TTL

  4. Klicken Sie auf OK.

DNS-Zone signieren und abmelden

Um eine DNS-Zone zu sichern, müssen Sie die Zone mit den Schlüsseln signieren, die in der Zone veröffentlicht wurden. Wenn Sie eine Zone signieren, erstellt NetScaler für jeden Besitzernamen einen Next Secure (NSEC) -Ressourceneintrag. Anschließend verwendet es den Key Signing Key, um den DNSKEY-Ressourcendatensatz zu signieren. Schließlich verwendet es den ZSK, um alle Ressourcendatensätze in der Zone zu signieren, einschließlich der DNSKEY-Ressourcendatensätze und der NSEC-Ressourcendatensätze. Jeder Signiervorgang führt zu einer Signatur für die Ressourcendatensätze in der Zone. Die Signatur wird in einem neuen Ressourcendatensatz, dem RRSIG-Ressourcendatensatz, erfasst.

Nachdem Sie eine Zone signiert haben, speichern Sie die Konfiguration.

Signieren Sie eine Zone mit der CLI

Geben Sie an der Befehlszeile den folgenden Befehl ein, um eine Zone zu signieren und die Konfiguration zu überprüfen:

-  sign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]
-  save config
<!--NeedCopy-->

Beispiel:

> sign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY RRSIG NSEC
         Domain Name : ns1.example.com
                 Record Types : A RRSIG NSEC
         Domain Name : ns2.example.com
                 Record Types : A RRSIG
         Domain Name : ns2.example.com
                 Record Types : RRSIG NSEC
Done
> save config
 Done
<!--NeedCopy-->

Die Signierung einer Zone mithilfe der CLI aufheben

Geben Sie an der Befehlszeile den folgenden Befehl ein, um die Signierung einer Zone aufzuheben und die Konfiguration zu überprüfen:

-  unsign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]
<!--NeedCopy-->

Beispiel:

> unsign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done
<!--NeedCopy-->

Signieren oder Aufheben der Signierung einer Zone mithilfe der GUI

  1. Navigieren Sie zu Traffic Management > DNS > Zonen.
  2. Klicken Sie im Detailbereich auf die Zone, die Sie signieren möchten, und klicken Sie dann auf Anmelden/Abmelden.
  3. Führen Sie im Dialogfeld DNS-Zone signieren/unsign (DNS-Zone signieren/unsign sign) einen der folgenden Schritte aus:

    • Um die Zone zu signieren, aktivieren Sie die Kontrollkästchen für die Schlüssel (Zonensignierungsschlüssel und Schlüsselsignierschlüssel), mit denen Sie die Zone signieren möchten.

      Sie können die Zone mit mehr als einem Zonensignierschlüssel oder einem Schlüsselsignierschlüsselpaar signieren.

    • Um die Zone zu signieren, deaktivieren Sie die Kontrollkästchen für die Schlüssel (Zonensignierungsschlüssel und Schlüsselsignierungsschlüssel), mit denen Sie die Zone entsignieren möchten.

      Sie können die Signierung der Zone mit mehr als einem Zonensignierungsschlüssel oder einem Schlüsselsignierungsschlüsselpaar aufheben.

  4. Klicken Sie auf OK.

Zeigen Sie die NSEC-Datensätze für einen bestimmten Datensatz in einer Zone an

Sie können die NSEC-Datensätze einsehen, die der NetScaler automatisch für jeden Besitzernamen in der Zone erstellt.

Zeigen Sie den NSEC-Datensatz für einen bestimmten Datensatz in einer Zone mit der CLI an

Geben Sie in der Befehlszeile den folgenden Befehl ein, um den NSEC-Datensatz für einen bestimmten Datensatz in einer Zone anzuzeigen:

show dns nsecRec [<hostName> | -type (ADNS | PROXY | ALL)]

Beispiel:

> show dns nsecRec example.com
1)      Domain Name : example.com
        Next Nsec Name: ns1.example.com
        Record Types : NS SOA DNSKEY RRSIG NSEC
 Done
<!--NeedCopy-->

Zeigen Sie den NSEC-Datensatz für einen bestimmten Datensatz in einer Zone mithilfe der GUI an

  1. Navigieren Sie zu Traffic Management > DNS > Records > Next Secure Records.
  2. Klicken Sie im Detailbereich auf den Namen des Datensatzes, für den Sie den NSEC-Datensatz anzeigen möchten. Der NSEC-Datensatz für den ausgewählten Datensatz wird im Bereich Details angezeigt.

Entfernen Sie einen DNS-Schlüssel

Entfernen Sie einen Schlüssel aus der Zone, in der er veröffentlicht wurde, wenn der Schlüssel abgelaufen ist oder wenn der Schlüssel kompromittiert wurde. Wenn Sie einen Schlüssel aus der Zone entfernen, wird die Zone automatisch mit dem Schlüssel unsigniert. Das Entfernen des Schlüssels mit diesem Befehl entfernt nicht die Schlüsseldateien im Verzeichnis /nsconfig/dns/. Wenn die Schlüsseldateien nicht mehr benötigt werden, müssen sie explizit aus dem Verzeichnis entfernt werden.

Entfernen Sie mithilfe der CLI einen Schlüssel aus dem NetScaler

Geben Sie in der Befehlszeile den folgenden Befehl ein, um einen Schlüssel zu entfernen und die Konfiguration zu überprüfen:

-  rm dns key <keyName>
-  show dns key <keyName>
<!--NeedCopy-->

Beispiel:

> rm dns key example.com.zsk
 Done
> show dns key example.com.zsk
ERROR: No such resource [keyName, example.com.zsk]

<!--NeedCopy-->

Entfernen Sie mithilfe der GUI einen Schlüssel aus dem NetScaler

  1. Navigieren Sie zu Traffic Management > DNS > Keys.
  2. Klicken Sie im Detailbereich auf den Namen des Schlüssels, den Sie aus dem ADC entfernen möchten, und klicken Sie dann auf Entfernen.
Konfigurieren von DNSSEC
August 15, 2023
Beitrag von: 
C
August 15, 2023
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Your privacy choices footer linkIhre Datenschutzauswahl | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.