Produktdokumentation
ADC
14.1 - Current Release 13.1 13.0 12.1
PDF anzeigen

Wartung der Zonen

December 12, 2023
Beitrag von: 
C

Aus Sicht von DNSSEC beinhaltet die Zonenwartung die Übertragung von Zone Signing Keys und Key Signing Keys, wenn der Schlüsselablauf unmittelbar bevorsteht. Diese Zonenwartungsaufgaben können manuell ausgeführt werden, oder Sie können den Vorgang automatisieren, indem Sie die automatische Rollover-Funktion aktivieren. Bei der Automatisierung wird die Zone automatisch neu signiert. Für die Aktualisierung des DS-Eintrags in der übergeordneten Zone ist jedoch ein manuelles Eingreifen erforderlich.

Eine aktualisierte Zone erneut signieren

Wenn eine Zone aktualisiert wird (einen Datensatz hinzufügen oder einen vorhandenen Datensatz ändern), signiert die Appliance den neuen (oder geänderten) Datensatz automatisch erneut. Wenn eine Zone mehrere Zonensignierschlüssel enthält, signiert die Appliance den neuen (oder geänderten) Datensatz erneut mit dem Schlüssel, der zum Signieren der Zone verwendet wurde.

Zonentransfer in GSLB

Das Aktualisieren eines DNS-Schlüssels in allen GSLB-Sites kann zeitaufwändig sein, und es besteht die Möglichkeit, dass ein Update auf einer oder mehreren GSLB-Sites fehlt. Um dies zu verhindern, können Sie die Zonenübertragungsoption verwenden, um die DNS-Schlüssel in anderen GSLB-Sites zu synchronisieren, nachdem Sie sie auf einem DNS-Server aktualisiert haben. Wenn die Zonenübertragung aktiviert ist, werden alle DNS-Konfigurationsdatensätze, die sich auf alle Zonen beziehen, mit anderen GSLB-Sites synchronisiert.

Hinweis:

Die Zonen- oder DNSSEC-Einstellung ist für GSLB-Domänen optional.

Informationen zur Konfiguration der Zonenübertragung finden Sie unter DNSSEC konfigurieren.

Übertragen Sie DNSSEC-Schlüssel

Hinweis: Manuelles oder automatisches Rollover der DNSSEC-Schlüssel (KSK, ZSK), bevor sie ablaufen.

Auf dem NetScaler können Sie die Methoden Prepublish und Double Signature verwenden, um einen Rollover des Zone Signing Key und des Key Signing Key durchzuführen. Weitere Informationen zu diesen beiden Rollover-Methoden finden Sie in RFC 4641, „DNSSEC Operational Practices“.

In den folgenden Themen werden Befehle auf dem ADC den Schritten der in RFC 4641 beschriebenen Rollover-Verfahren zugeordnet.

Die Schlüsselablaufbenachrichtigung wird über ein SNMP-Trap namens dnskeyExpiry gesendet. Drei MIB-Variablen, DNSKeyName, DNSKeyTimeToExpire und DNSKeyUnitsOfExpiry werden zusammen mit dem SNMP-Trap DNSKeyExpiry gesendet. Weitere Informationen finden Sie in der NetScaler SNMP OID Reference unter NetScaler 12.0 SNMP OID Reference. Dieser SNMP-Alarm wird nur gesendet, wenn die automatische Schlüssel-Rollover-Option nicht aktiviert ist.

Automatischer Schlüsselübertrag

Durch die Automatisierung der Schlüsselübergabe müssen Sie das Verfallsdatum des Schlüssels nicht im Auge behalten und es besteht auch kein Risiko, dass die Schlüsselübergabe verpasst wird. Wenn Sie einen neuen Schlüssel erstellen, können Sie den Schlüsselübertrag an einem geplanten Datum automatisieren. Informationen zur Konfiguration eines automatischen Schlüssel-Rollovers finden Sie unter DNSSEC konfigurieren.

Schlüsselrollover für die Vorveröffentlichung

RFC 4641, „DNSSEC Operational Practices“, definiert vier Stufen für die Rollover-Methode vor dem Veröffentlichen von Schlüsseln: erster, neuer DNSKEY, neue RRSIGs und DNSKEY-Entfernung. Jede Phase ist mit einer Reihe von Aufgaben verknüpft, die Sie auf dem ADC ausführen müssen. Im Folgenden finden Sie die Beschreibungen der einzelnen Phasen und der Aufgaben, die Sie ausführen müssen. Das hier beschriebene Rollover-Verfahren kann sowohl für Key Signing Keys als auch für Zone Signing Keys verwendet werden.

  • Stufe 1: Anfänglich. Die Zone enthält nur die Schlüsselsätze, mit denen die Zone aktuell signiert wurde. Der Status der Zone in der Anfangsphase ist der Zustand der Zone kurz bevor Sie mit dem Key-Rollover-Vorgang beginnen.

    Beispiel:

    Betrachten Sie den Schlüssel example.com.zsk1, mit dem die Zone example.com signiert ist. Die Zone enthält nur die RRSigs, die durch den Schlüssel example.com.zsk1 generiert wurden und dessen Ablauf fällig ist. Der Key Signing Key ist example.com.ksk1.

  • Stufe 2: Neuer DNSKEY. Ein neuer Schlüssel wird erstellt und in der Zone veröffentlicht. Das heißt, der Schlüssel wird dem ADC hinzugefügt, aber die Zone wird erst mit dem neuen Schlüssel signiert, wenn die Pre-Roll-Phase abgeschlossen ist. In dieser Phase enthält die Zone den alten Schlüssel, den neuen Schlüssel und die vom alten Schlüssel generierten RRSIGs. Wenn der neue Schlüssel für die gesamte Dauer der Pre-Roll-Phase veröffentlicht wird, erhält der DNSKEY-Ressourceneintrag, der der neuen Schlüsselzeit entspricht, bis er an die sekundären Nameserver weitergegeben wird.

    Beispiel:

    Der Zone example.com wird ein neuer Schlüssel example.com.zsk2 hinzugefügt. Die Zone wird erst mit example.com.zsk2 signiert, wenn die Pre-Roll-Phase abgeschlossen ist. Die Zone example.com enthält DNSKEY-Ressourceneinträge sowohl für example.com.zsk1 als auch für example.com.zsk2.

    NetScaler-Befehle:

    Führen Sie die folgenden Aufgaben auf NetScaler aus:

    • Erstellen Sie mit dem Befehl create dns key einen DNS-Schlüssel.

      Weitere Informationen zum Erstellen eines DNS-Schlüssels, einschließlich eines Beispiels, finden Sie unter Erstellen von DNS-Schlüsseln für eine Zone.

    • Veröffentlichen Sie den neuen DNS-Schlüssel in der Zone mithilfe desadd dns key Befehls.

      Weitere Informationen zum Veröffentlichen des Schlüssels in der Zone, einschließlich eines Beispiels, finden Sie unter Veröffentlichen eines DNS-Schlüssels in einer Zone.

  • Stufe 3: Neue RRSIGs. Die Zone ist mit dem neuen DNS-Schlüssel signiert und dann mit dem alten DNS-Schlüssel unsigniert. Der alte DNS-Schlüssel wird nicht aus der Zone entfernt und bleibt veröffentlicht, bis die vom alten Schlüssel generierten RRSIGs ablaufen.

    Beispiel:

    Die Zone ist mit example.com.zsk2 signiert und dann mit example.com.zsk1 unsigniert. Die Zone veröffentlicht weiterhin example.com.zsk1, bis die von example.com.zsk1 generierten RRSigs ablaufen.

    NetScaler-Befehle:

    Führen Sie die folgenden Aufgaben auf NetScaler aus:

    • Signieren Sie die Zone mit dem neuen DNS-Schlüssel, indem Sie den sign dns zone Befehl verwenden.
    • Heben Sie die Signatur der Zone mit dem alten DNS-Schlüssel mithilfe desunsign dns zone Befehls auf.

    Weitere Informationen zum Signieren und Aufheben einer Zone, einschließlich Beispielen, finden Sie unter Signieren und Aufheben der Unterzeichnung einer DNS-Zone.

  • Stufe 4: DNSKEY Entfernung. Wenn die vom alten DNS-Schlüssel generierten RRSIGs ablaufen, wird der alte DNS-Schlüssel aus der Zone entfernt.

    Beispiel:

    Der alte DNS-Schlüssel example.com.zsk1 wird aus der Zone example.com entfernt.

    NetScaler-Befehle

    Auf dem ADC entfernen Sie den alten DNS-Schlüssel mit dem Befehl rm dns key. Weitere Informationen zum Entfernen eines Schlüssels aus einer Zone, einschließlich eines Beispiels, finden Sie unter Entfernen eines DNS-Schlüssels.

Doppelte Signaturschlüssel Rollover

RFC 4641, „DNSSEC Operational Practices“, definiert drei Stufen für die Schlüsselübergabe mit doppelter Signatur: erster, neuer DNSKEY und Entfernung von DNSKEY. Jede Phase ist mit einer Reihe von Aufgaben verknüpft, die Sie auf dem ADC ausführen müssen. Im Folgenden finden Sie die Beschreibungen der einzelnen Phasen und der Aufgaben, die Sie ausführen müssen. Das hier beschriebene Rollover-Verfahren kann sowohl für Key Signing Keys als auch für Zone Signing Keys verwendet werden.

  • Stufe 1: Anfänglich. Die Zone enthält nur die Schlüsselsätze, mit denen die Zone aktuell signiert wurde. Der Status der Zone in der Anfangsphase ist der Zustand der Zone kurz bevor Sie mit dem Key-Rollover-Vorgang beginnen.

    Beispiel:

    Betrachten Sie den Schlüssel example.com.zsk1, mit dem die Zone example.com signiert ist. Die Zone enthält nur die RRSigs, die durch den Schlüssel example.com.zsk1 generiert wurden und dessen Ablauf fällig ist. Der Key Signing Key ist example.com.ksk1.

  • Stufe 2: Neuer DNSKEY. Der neue Schlüssel wird in der Zone veröffentlicht und die Zone wird mit dem neuen Schlüssel signiert. Die Zone enthält die RRSigs, die durch den alten und den neuen Schlüssel generiert werden. Die Mindestdauer, für die die Zone beide Gruppen von RRSIGs enthalten muss, ist die Zeit, die benötigt wird, bis alle RRSIGs ablaufen.

    Beispiel:

    Der Zone example.com wird ein neuer Schlüssel example.com.zsk2 hinzugefügt. Die Zone ist mit example.com.zsk2 signiert. Die Zone example.com enthält jetzt die RRSigs, die aus beiden Schlüsseln generiert wurden.

    NetScaler-Befehle

    Führen Sie die folgenden Aufgaben auf NetScaler aus:

    • Erstellen Sie mit dem Befehl create dns key einen DNS-Schlüssel.

      Weitere Informationen zum Erstellen eines DNS-Schlüssels, einschließlich eines Beispiels, finden Sie unter Erstellen von DNS-Schlüsseln für eine Zone.

    • Veröffentlichen Sie den neuen Schlüssel in der Zone mithilfe desadd dns key Befehls.

      Weitere Informationen zum Veröffentlichen des Schlüssels in der Zone, einschließlich eines Beispiels, finden Sie unter Veröffentlichen eines DNS-Schlüssels in einer Zone.

    • Signieren Sie die Zone mit dem neuen Schlüssel, indem Sie densign dns zone Befehl verwenden.

      Weitere Informationen zum Signieren einer Zone, einschließlich Beispielen, finden Sie unter Signieren und Aufheben einer DNS-Zone.

  • Stufe 3: DNSKEY Entfernung. Wenn die vom alten DNS-Schlüssel generierten RRSIGs ablaufen, wird der alte DNS-Schlüssel aus der Zone entfernt.

    Beispiel:

    Der alte DNS-Schlüssel example.com.zsk1 wird aus der Zone example.com entfernt.

    NetScaler-Befehle:

    Entfernen Sie den alten DNS-Schlüssel auf NetScaler mit dem Befehl rm dns key.

    Weitere Informationen zum Entfernen eines Schlüssels aus einer Zone, einschließlich eines Beispiels, finden Sie unter Entfernen eines DNS-Schlüssels.

Doppelte Rückstellung

RFC 7583, „Überlegungen zum DNSSEC-Schlüssel-Rollover Timing“ definiert drei Stufen für den Double-Reset-Rollover: anfängliches, neues DNSKEY und DNSKEY-Entfernen. Jede Phase ist mit einer Reihe von Aufgaben verknüpft, die Sie auf NetScaler ausführen müssen. Im Folgenden finden Sie die Beschreibungen der einzelnen Phasen und der Aufgaben, die Sie ausführen müssen. Das hier beschriebene Rollover-Verfahren wird für Key Signing Keys verwendet.

  • Stufe 1: Anfänglich. Die Zone enthält nur die Schlüsselsätze und Datensätze, mit denen die Zone derzeit signiert wurde. Der Status der Zone in der Anfangsphase ist der Zustand der Zone kurz bevor Sie mit dem Key-Rollover-Vorgang beginnen.

    Beispiel:

    Betrachten Sie die Schlüssel example.com.zsk1 und key.example.com.ksk1, mit denen die Zonen example.com und DNSSEC Key jeweils signiert sind. Die Zone enthält nur die DNSKEY-RRSIGs, die mit dem Schlüssel example.com.ksk1 generiert wurden und ablaufen müssen.

  • Stufe 2: Neuer DNSKEY. Neuer DNSKEY. Der neue KSK-Schlüssel wird erstellt und in der Zone veröffentlicht. Zwei DNSSEC-Schlüssel und rrSig sind in der Zone verfügbar, einer wurde mit dem alten Schlüssel und einer mit dem neuen Schlüssel erstellt. Aktualisieren Sie den neuen DS-Eintrag in der übergeordneten Zone. Jetzt hat die übergeordnete Zone zwei DS-Einträge, einen für den neu erstellten Schlüssel und einen für den alten Schlüssel.

Hinweis:

Es kann einige Zeit dauern, bis der DS-Datensatz in der übergeordneten Zone verfügbar ist.

Die Zone enthält die RRSigs, die durch den alten und den neuen Schlüssel generiert werden. Damit die Zone beide Sätze von RRSigs enthält, muss auf den Ablauf aller RRSigs gewartet werden. Dies ist der TTL-Wert für den DNSKEY-Eintrag. Darüber hinaus müssen Sie die Propagierungsverzögerung im Fall einer DNS-Hierarchie berücksichtigen. Beispiel:

A new key example.com.ksk2 is added to the example.com zone. The zone is signed with example.com.ksk2. The example.com zone now contains the RRSIGs generated from both keys.

 **NetScaler commands**

Perform the following tasks on NetScaler:

-  Create a DNS key by using the `create dns key` command.

    For more information about creating a DNS key, including an example, see [Create DNS keys for a zone](/de-de/citrix-adc/current-release/dns/dnssec/configure-dnssec.html).

-  Publish the new key in the zone by using the `add dns key` command.

    For more information about publishing the key in the zone, including an example, see [Publish a DNS key in a zone](/de-de/citrix-adc/current-release/dns/dnssec/configure-dnssec.html).

-  Sign the zone with the new key by using the `sign dns zone` command.

    For more information about signing a zone, including examples, see [Sign and unsign a DNS zone](/de-de/citrix-adc/current-release/dns/dnssec/configure-dnssec.html).

  • Stufe 3: Zone mit altem Schlüssel abmelden.

    Sobald genügend Zeit verstrichen ist, um den neuen DNSSEC-Schlüssel in Resolvern zwischenzuspeichern, kann die Zone mit dem alten Schlüssel unsigniert werden.

    Heben Sie die Signatur der Zone mit dem alten Schlüssel auf, indem Sie den Befehl unsign dns zone verwenden.

    Weitere Informationen zum Aufheben der Signatur einer Zone, einschließlich Beispiele, finden Sie unter Signieren und Abmelden einer DNS-Zone.

  • Stufe 4: DNSKEY Entfernung. Wenn die vom alten DNS-Schlüssel generierten RRSIGs ablaufen, wird der alte DNS-Schlüssel aus der Zone entfernt.

Hinweis:

Stellen Sie sicher, dass Sie die Zone unsigniert haben, bevor Sie den Schlüssel löschen.

**Example:**

The old DNS key example.com.ksk1 is removed from the example.com zone.

**NetScaler commands:**

On the ADC, you remove the old DNS key by using the `rm dns key` command. For more information about removing a key from a zone, including an example, see [Remove a DNS key](/de-de/citrix-adc/current-release/dns/dnssec/configure-dnssec.html).
Wartung der Zonen
December 12, 2023
Beitrag von: 
C
December 12, 2023
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Your privacy choices footer linkIhre Datenschutzauswahl | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.