ADC

Mantenimiento de zona

August 11, 2023

Contribución de:

Desde la perspectiva de DNSSEC, el mantenimiento de la zona implica transferir las claves de firma de zona y las claves de firma de claves cuando la caducidad de la clave es inminente. Estas tareas de mantenimiento de la zona se deben realizar de forma manual. La zona se vuelve a firmar automáticamente y no requiere ninguna intervención manual.

Volver a firmar una zona actualizada

Cuando se actualiza una zona (agregar un registro o modificar un registro existente), el dispositivo vuelve a firmar automáticamente el registro nuevo (o modificado). Si una zona contiene varias claves de firma de zona, el dispositivo vuelve a firmar el registro nuevo (o modificado) con la clave utilizada para firmar la zona.

Pase el cursor sobre las claves DNSSEC

Nota: Pase manualmente las claves DNSSEC (KSK, ZSK) antes de que caduquen.

En NetScaler, puede utilizar los métodos de publicación previa y firma doble para transferir la clave de firma de zona y la clave de firma de clave. Encontrará más información sobre estos dos métodos de transferencia en la RFC 4641, “Prácticas operativas de DNSSEC”.

Los siguientes temas asignan los comandos del ADC a los pasos de los procedimientos de transferencia descritos en el RFC 4641.

La notificación de caducidad de la clave se envía a través de una captura SNMP llamada dnskeyExpiry. Se envían tres variables MIB, DNSKeyName, DNSKeyTimeToExpirate y DNSKeyUnitsSofExpirate junto con la captura SNMP de DNSKeyExpirate. Para obtener más información, consulte la referencia de OID de SNMP de NetScaler en la referencia de OID de SNMP de NetScaler 12.0.

Prepublicar el rollover de claves

RFC 4641, “Prácticas operativas de DNSSEC” define cuatro etapas para el método de conversión de clave previa a la publicación: inicial, nuevo DNSKEY, RRSIGs nuevos y eliminación de DNSKEY. Cada etapa está asociada a un conjunto de tareas que debe realizar en el ADC. Las siguientes son las descripciones de cada etapa y las tareas que debe realizar. El procedimiento de transferencia que se describe aquí se puede utilizar tanto para las claves de firma de claves como para las claves de firma de zona.

Etapa 1: inicial. La zona contiene solo los conjuntos de claves con los que se ha firmado actualmente la zona. El estado de la zona en la fase inicial es el estado de la zona justo antes de comenzar el proceso de transferencia de claves.

Ejemplo:

Considere la clave example.com.zsk1, con la que se firma la zona example.com. La zona contiene solo los RRSIG generados por la clave example.com.zsk1, que está a punto de caducar. La clave de firma de claves es example.com.ksk1.
Etapa 2: Nuevo DNSKEY. Se crea y publica una nueva clave en la zona. Es decir, la clave se añade al ADC, pero la zona no se firma con la nueva clave hasta que se complete la fase previa a la tirada. En esta etapa, la zona contiene la clave antigua, la clave nueva y los RRSIG generados por la clave anterior. Al publicar la nueva clave durante toda la fase previa a la publicación, el registro de recursos DNSKEY correspondiente al tiempo de propagación de la nueva clave a los servidores de nombres secundarios.

Ejemplo:

Se agrega una nueva clave example.com.zsk2 a la zona example.com. La zona no se firma con example.com.zsk2 hasta que se complete la fase previa a la tirada. La zona example.com contiene registros de recursos DNSKEY para example.com.zsk1 y example.com.zsk2.

Comandos de NetScaler:

Realice las siguientes tareas en el ADC:
- Cree una clave DNS mediante el comando create dns key.
  
  Para obtener más información sobre cómo crear una clave DNS, incluido un ejemplo, consulte Crear claves DNS para una zona.
- Publique la nueva clave DNS en la zona mediante el comando add dns key.
  
  Para obtener más información sobre cómo publicar la clave en la zona, incluido un ejemplo, consulte Publicar una clave DNS en una zona.
Etapa 3: Nuevos RRSIG. La zona se firma con la nueva clave DNS y, a continuación, se desfirma con la clave DNS anterior. La clave DNS antigua no se elimina de la zona y permanece publicada hasta que caduquen los RRSIG generados por la clave anterior.

Ejemplo:

La zona se firma con example.com.zsk2 y, a continuación, se desfirma con example.com.zsk1. La zona seguirá publicando example.com.zsk1 hasta que caduquen los RRSIG generados por example.com.zsk1.

Comandos de NetScaler:

Realice las siguientes tareas en el ADC:
- Firme la zona con la nueva clave DNS mediante el comando sign dns zone.
- Anule la firma de la zona con la clave DNS antigua mediante el comando unsign dns zone.
Para obtener más información sobre cómo firmar y anular la firma de una zona, incluidos ejemplos, consulte Firmar y anular la firma de una zona DNS.
Etapa 4: Eliminación de DNSKEY. Cuando los RRSIG generados por la clave DNS anterior caducan, la clave DNS anterior se elimina de la zona.

Ejemplo:

La antigua clave DNS example.com.zsk1 se elimina de la zona example.com.

Comandos de NetScaler

En el ADC, quite la clave DNS antigua mediante el comando rm dns key. Para obtener más información sobre cómo quitar una clave de una zona, incluido un ejemplo, consulte Eliminar una clave DNS.

Rollover de clave de firma doble

El RFC 4641, “Prácticas operativas de DNSSEC”, define tres etapas para la transferencia de claves de doble firma: inicial, nueva de DNSKEY y eliminación de DNSKEY. Cada etapa está asociada a un conjunto de tareas que debe realizar en el ADC. Las siguientes son las descripciones de cada etapa y las tareas que debe realizar. El procedimiento de transferencia que se describe aquí se puede utilizar tanto para las claves de firma de claves como para las claves de firma de zona.

Etapa 1: inicial. La zona contiene solo los conjuntos de claves con los que se ha firmado actualmente la zona. El estado de la zona en la fase inicial es el estado de la zona justo antes de comenzar el proceso de transferencia de claves.

Ejemplo:

Considere la clave example.com.zsk1, con la que se firma la zona example.com. La zona contiene solo los RRSIG generados por la clave example.com.zsk1, que está a punto de caducar. La clave de firma de claves es example.com.ksk1.
Etapa 2: Nuevo DNSKEY. La nueva clave se publica en la zona y la zona se firma con la nueva clave. La zona contiene los RRSIG generados por las claves antigua y nueva. La duración mínima durante la que la zona debe contener ambos conjuntos de RRSIG es el tiempo necesario para que caduquen todos los RRSIG.

Ejemplo:

Se agrega una nueva clave example.com.zsk2 a la zona example.com. La zona está firmada con example.com.zsk2. La zona example.com ahora contiene los RRSIG generados a partir de ambas claves.

Comandos de NetScaler

Realice las siguientes tareas en el ADC:
- Cree una clave DNS mediante el comando create dns key.
  
  Para obtener más información sobre cómo crear una clave DNS, incluido un ejemplo, consulte Crear claves DNS para una zona.
- Publique la nueva clave en la zona mediante el comando add dns key.
  
  Para obtener más información sobre cómo publicar la clave en la zona, incluido un ejemplo, consulte Publicar una clave DNS en una zona.
- Firme la zona con la nueva clave mediante el comando sign dns zone.
  
  Para obtener más información sobre cómo firmar una zona, incluidos ejemplos, consulte Firmar y anular la firma de una zona DNS.
Etapa 3: Eliminación de DNSKEY. Cuando los RRSIG generados por la clave DNS anterior caducan, la clave DNS anterior se elimina de la zona.

Ejemplo:

La antigua clave DNS example.com.zsk1 se elimina de la zona example.com.

Comandos de NetScaler:

En el ADC, quite la clave DNS antigua mediante el comando rm dns key.

Para obtener más información sobre cómo quitar una clave de una zona, incluido un ejemplo, consulte Eliminar una clave DNS.

La versión oficial de este contenido está en inglés. Para mayor comodidad, parte del contenido de la documentación de Cloud Software Group solo tiene traducción automática. Cloud Software Group no puede controlar el contenido con traducción automática, que puede contener errores, imprecisiones o un lenguaje inadecuado. No se ofrece ninguna garantía, ni implícita ni explícita, en cuanto a la exactitud, la fiabilidad, la idoneidad o la precisión de las traducciones realizadas del original en inglés a cualquier otro idioma, o que su producto o servicio de Cloud Software Group se ajusten a cualquier contenido con traducción automática, y cualquier garantía provista bajo el contrato de licencia del usuario final o las condiciones de servicio, o cualquier otro contrato con Cloud Software Group, de que el producto o el servicio se ajusten a la documentación no se aplicará en cuanto dicha documentación se ha traducido automáticamente. Cloud Software Group no se hace responsable de los daños o los problemas que puedan surgir del uso del contenido traducido automáticamente.

Mantenimiento de zona

August 11, 2023

Contribución de:

August 11, 2023

Contribución de: