Documentación de productos
ADC
14.1 - Current Release 13.1 13.0 12.1
Ver PDF

Configurar DNSSEC

August 11, 2023
Contribución de: 
C

Realice los siguientes pasos para configurar DNSSEC:

  1. Habilite DNSSEC en el dispositivo NetScaler.
  2. Cree una clave de firma de zona y una clave de firma clave para la zona.
  3. Añada las dos teclas a la zona.
  4. Firme la zona con las llaves.

El dispositivo NetScaler no actúa como un solucionador de DNSSEC. El DNSSEC en el ADC solo se admite en los siguientes casos de implementación:

  1. ADNS: NetScaler es el ADNS y genera las firmas por sí mismo.
  2. Proxy: NetScaler actúa como un proxy de DNSSEC. Se supone que el NetScaler se coloca delante de los servidores ADNS/LDNS en un modo confiable. El ADC actúa únicamente como una entidad de almacenamiento en caché proxy y no valida ninguna firma.

Habilitar y inhabilitar DNSSEC

Habilite DNSSEC en NetScaler para que el ADC responda a los clientes compatibles con DNSSEC. De forma predeterminada, DNSSEC está activado.

Puede inhabilitar la función DNSSEC si no desea que NetScaler responda a los clientes con información específica de DNSSEC.

Habilitar o inhabilitar DNSSEC mediante la CLI

En la línea de comandos, escriba los siguientes comandos para habilitar o inhabilitar DNSSEC y comprobar la configuración:

-  set dns parameter -dnssec ( ENABLED | DISABLED )
-  show dns parameter  
<!--NeedCopy-->

Ejemplo:

> set dns parameter -dnssec ENABLED
 Done
> show dns parameter
        DNS parameters:
        DNS retries: 5
         .
         .
         .
         DNSEC Extension: ENABLED
        Max DNS Pipeline Requests: 255
 Done

<!--NeedCopy-->

Habilitar o inhabilitar DNSSEC mediante la interfaz gráfica de usuario

  1. Vaya a Administración del tráfico > DNS.
  2. En el panel de detalles, haga clic en Cambiar la configuración de DNS.
  3. En el cuadro de diálogo Configurar parámetros de DNS, active o desactive la casilla Habilitar extensión DNSSEC.

Crear claves DNS para una zona

Para cada zona DNS que desee firmar, debe crear dos pares de claves asimétricas. Un par, denominado clave de firma de zona (ZSK), se utiliza para firmar todos los conjuntos de registros de recursos de la zona. El segundo par se denomina clave de firma clave (KSK) y se usa para firmar solo los registros de recursos DNSKEY de la zona.

Cuando se crean el ZSK y el KSK, suffix.key se añade a los nombres de los componentes públicos de las claves. suffix.private Se adjunta a los nombres de sus componentes privados. La adición se realiza automáticamente.

NetScaler también crea un registro de firmantes delegados (DS) y añade el sufijo .ds al nombre del registro. Si la zona principal es una zona firmada, debe publicar el registro DS en la zona principal para establecer la cadena de confianza.

Al crear una clave, la clave se almacena en el directorio /nsconfig/dns/, pero no se publica automáticamente en la zona. Después de crear una clave mediante el comando create dns key, debe publicar explícitamente la clave en la zona mediante el comando add dns key. El proceso de generación de una clave es independiente del proceso de publicación de la clave en una zona para que pueda utilizar medios alternativos para generar claves. Por ejemplo, puede importar claves generadas por otros programas de generación de claves (comobind-keygen) mediante Secure FTP (SFTP) y, a continuación, publicar las claves en la zona. Para obtener más información sobre cómo publicar una clave en una zona, consulte Publicar una clave DNS en una zona.

Realice los pasos descritos en este tema para crear una clave de firma de zona y, a continuación, repita los pasos para crear una clave de firma de clave. El ejemplo que sigue a la sintaxis del comando crea primero un par de claves de firma de zona para la zona example.com. A continuación, el ejemplo usa el comando para crear un par de claves de firma de claves para la zona.

A partir de la versión 13.0, compilación 61.x, el dispositivo NetScaler ahora admite algoritmos criptográficos más sólidos, como RSASHA256 y RSASHA512, para autenticar una zona DNS. Anteriormente, solo se admitía el algoritmo RSASHA1.

Crear una clave DNS mediante la CLI

En el símbolo del sistema, escriba:

create dns key -zoneName <string> -keyType <keyType> -algorithm <algorithm> -keySize <positive_integer> -fileNamePrefix <string>

Ejemplo:

> create dns key -zoneName example.com -keyType zsk -algorithm RSASHA256 -keySize 1024 -fileNamePrefix example.com.zsk.rsasha1.1024
File Name: /nsconfig/dns/example.com.zsk.rsasha1.1024.key (public); /nsconfig/dns/example.com.zsk.rsasha1.1024.private (private); /nsconfig/dns/example.com.zsk.rsasha1.1024.ds (ds)
This operation may take some time, Please wait...
 Done
> create dns key -zoneName example.com -keyType ksk -algorithm RSASHA512 -keySize 4096 -fileNamePrefix example.com.ksk.rsasha1.4096
File Name: /nsconfig/dns/example.com.ksk.rsasha1.4096.key (public); /nsconfig/dns/example.com.ksk.rsasha1.4096.private (private); /nsconfig/dns/example.com.ksk.rsasha1.4096.ds (ds)
This operation may take some time, Please wait...
 Done
<!--NeedCopy-->

Crear una clave DNS mediante la interfaz gráfica de usuario

  1. Vaya a Administración del tráfico > DNS.
  2. En el área de detalles, haz clic en Crear clave DNS.

  3. Introduzca los valores de los distintos parámetros y haga clic en Crear.

    Crear una clave DNS

    Nota: Para modificar el prefijo del nombre de archivo de una clave existente:

    • Haga clic en la flecha situada junto al botón Examinar .
    • Haga clic en Local o Dispositivo (en función de si la clave existente está almacenada en el equipo local o en el directorio /nsconfig/dns/ del dispositivo)
    • Busque la ubicación de la clave y, a continuación, haga doble clic en ella. El cuadro Prefijo del nombre de archivo se rellena únicamente con el prefijo de la clave existente. Modifique el prefijo en consecuencia.

Publicar una clave DNS en una zona

Se publica una clave (clave de firma de zona o clave de firma de clave) en una zona añadiendo la clave al dispositivo ADC. Se debe publicar una clave en una zona antes de firmarla.

Antes de publicar una clave en una zona, la clave debe estar disponible en el directorio /nsconfig/dns/. Si ha creado la clave DNS en otro equipo (por ejemplo, mediante el bind-keygen programa), asegúrese de agregar la clave al /nsconfig/dns/ directorio. A continuación, publique la clave en la zona. Utilice la GUI de ADC para agregar la clave al /nsconfig/dns/ directorio. O bien, utilice algún otro programa para importar la clave al directorio, como el FTP seguro (SFTP).

Utilice el comando add dns key para cada par de claves públicas y privadas que desee publicar en una zona determinada. Si ha creado un par ZSK y un par KSK para una zona, utilice el comando add dns key para publicar primero uno de los pares de claves de la zona. Repita el comando para publicar el otro par de claves. Por cada clave que publique en una zona, se crea un registro de recursos DNSKEY en la zona.

El ejemplo que sigue a la sintaxis del comando publica primero el par de claves de firma de zona (que se creó para la zona example.com) en la zona. A continuación, el ejemplo usa el comando para publicar el par de claves de firma de claves en la zona.

Publicar una clave en una zona mediante la CLI

En la línea de comandos, escriba el siguiente comando para publicar una clave en una zona y comprobar la configuración:

-  add dns key <keyName> <publickey> <privatekey> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns zone [<zoneName> | -type <type>]
<!--NeedCopy-->

Ejemplo:

> add dns key example.com.zsk example.com.zsk.rsasha1.1024.key example.com.zsk.rsasha1.1024.private
 Done
> add dns key example.com.ksk example.com.ksk.rsasha1.4096.key example.com.ksk.rsasha1.4096.private
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done
<!--NeedCopy-->

Publicar una clave en una zona DNS mediante la interfaz gráfica de usuario

Vaya a Administración del tráfico > DNS > Claves.

Nota: Para la clave pública y la clave privada, para agregar una clave que esté almacenada en el equipo local, haga clic en la flecha situada junto al botón Examinar, haga clic en Local, busque la ubicación de la clave y, a continuación, haga doble clic en la clave.

Configurar una clave DNS

Puede configurar los parámetros de una clave que se ha publicado en una zona. Puede modificar el período de caducidad, el período de notificación y los parámetros de tiempo de vida (TTL) de la clave. Si cambia el período de caducidad de una clave, el dispositivo vuelve a firmar automáticamente todos los registros de recursos de la zona con la clave. La nueva firma se produce si la zona está firmada con una clave determinada.

Configurar una clave mediante la CLI

En la línea de comandos, escriba el siguiente comando para configurar una clave y comprobar la configuración:

-  set dns key <keyName> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns key [<keyName>]
<!--NeedCopy-->

Ejemplo:

> set dns key example.com.ksk -expires 30 DAYS -notificationPeriod 3 DAYS -TTL 3600
 Done
> show dns key example.com.ksk
1)      Key Name: example.com.ksk
        Expires: 30 DAYS        Notification: 3 DAYS    TTL: 3600
        Public Key File: example.com.ksk.rsasha1.4096.key
        Private Key File: example.com.ksk.rsasha1.4096.private
 Done
<!--NeedCopy-->

Configurar una clave mediante la interfaz gráfica

  1. Vaya a Administración del tráfico > DNS > Claves.

  2. En el panel de detalles, haga clic en la clave que desee configurar y, a continuación, haga clic en Abrir.

  3. En el cuadro de diálogo Configurar clave DNS, modifique los valores de los siguientes parámetros como se muestra:

    • Caduca: caduca
    • Período de notificación: notificationPeriod
    • TTL—TTL

  4. Haga clic en Aceptar.

Firmar y anular la firma de una zona DNS

Para proteger una zona DNS, debe firmar la zona con las claves que se han publicado en la zona. Al firmar una zona, NetScaler crea un registro de recursos de Next Secure (NSEC) para cada nombre de propietario. A continuación, utiliza la clave de firma clave para firmar el conjunto de registros de recursos DNSKEY. Por último, utiliza el ZSK para firmar todos los conjuntos de registros de recursos de la zona, incluidos los conjuntos de registros de recursos DNSKEY y los conjuntos de registros de recursos NSEC. Cada operación de firma da como resultado una firma para los conjuntos de registros de recursos de la zona. La firma se captura en un nuevo registro de recursos denominado registro de recursos RRSIG.

Después de firmar una zona, guarde la configuración.

Firmar una zona mediante la CLI

En la línea de comandos, escriba el siguiente comando para firmar una zona y comprobar la configuración:

-  sign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]
-  save config
<!--NeedCopy-->

Ejemplo:

> sign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY RRSIG NSEC
         Domain Name : ns1.example.com
                 Record Types : A RRSIG NSEC
         Domain Name : ns2.example.com
                 Record Types : A RRSIG
         Domain Name : ns2.example.com
                 Record Types : RRSIG NSEC
Done
> save config
 Done
<!--NeedCopy-->

Anular la firma de una zona mediante la CLI

En la línea de comandos, escriba el siguiente comando para anular la firma de una zona y comprobar la configuración:

-  unsign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]
<!--NeedCopy-->

Ejemplo:

> unsign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done
<!--NeedCopy-->

Firmar o anular la firma de una zona mediante la interfaz gráfica

  1. Vaya a Administración del tráfico > DNS > Zonas.
  2. En el panel de detalles, haga clic en la zona que desee firmar y, a continuación, en Firmar/anular firma.
  3. En el cuadro de diálogo Firmar/anular la zona DNS, realice una de las siguientes acciones:

    • Para firmar la zona, active las casillas de verificación de las claves (clave de firma de zona y clave de firma de clave) con las que desea firmar la zona.

      Puede firmar la zona con más de una clave de firma de zona o un par de claves de firma de claves.

    • Para anular la firma de la zona, desactive las casillas de verificación de las claves (clave de firma de zona y clave de firma de clave) con las que desee anular la firma de la zona.

      Puede anular la firma de la zona con más de una clave de firma de zona o un par de claves de firma de claves.

  4. Haga clic en Aceptar.

Ver los registros NSEC de un registro determinado en una zona

Puede ver los registros NSEC que NetScaler crea automáticamente para cada nombre de propietario de la zona.

Ver el registro NSEC de un registro determinado en una zona mediante la CLI

En la línea de comandos, escriba el siguiente comando para ver el registro NSEC de un registro determinado de una zona:

show dns nsecRec [<hostName> | -type (ADNS | PROXY | ALL)]

Ejemplo:

> show dns nsecRec example.com
1)      Domain Name : example.com
        Next Nsec Name: ns1.example.com
        Record Types : NS SOA DNSKEY RRSIG NSEC
 Done
<!--NeedCopy-->

Ver el registro NSEC de un registro determinado en una zona mediante la interfaz gráfica de usuario

  1. Vaya a Administración del tráfico > DNS > Registros > Próximos registros seguros.
  2. En el panel de detalles, haga clic en el nombre del registro del que desea ver el registro NSEC. El registro NSEC del registro que seleccione se muestra en el área de detalles.

Eliminar una clave DNS

Elimine una clave de la zona en la que está publicada cuando la clave haya caducado o si la clave se ha visto comprometida. Cuando eliminas una clave de la zona, la zona se desfirma automáticamente con la clave. Al eliminar la clave con este comando, no se eliminan los archivos de clave presentes en el directorio /nsconfig/dns/. Si los archivos clave ya no son necesarios, deben eliminarse explícitamente del directorio.

Elimine una clave de NetScaler mediante la CLI

En la línea de comandos, escriba el siguiente comando para eliminar una clave y comprobar la configuración:

-  rm dns key <keyName>
-  show dns key <keyName>
<!--NeedCopy-->

Ejemplo:

> rm dns key example.com.zsk
 Done
> show dns key example.com.zsk
ERROR: No such resource [keyName, example.com.zsk]

<!--NeedCopy-->

Elimine una clave de NetScaler mediante la interfaz gráfica de usuario

  1. Vaya a Administración del tráfico > DNS > Claves.
  2. En el panel de detalles, haga clic en el nombre de la clave que desee quitar del ADC y, a continuación, haga clic en Eliminar.
Configurar DNSSEC
August 11, 2023
Contribución de: 
C
August 11, 2023
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Your privacy choices footer linkSus opciones de privacidad | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.