Documentación de productos
ADC
14.1 - Current Release 13.1 13.0 12.1
Ver PDF

Configurar DNSSEC

October 4, 2021
Contribución de: 
C

Realice los siguientes pasos para configurar DNSSEC:

  1. Habilite DNSSEC en el dispositivo Citrix ADC.
  2. Cree una clave de firma de zona y una clave de firma de clave para la zona.
  3. Agregue las dos teclas a la zona.
  4. Firma la zona con las llaves.

El dispositivo Citrix ADC no actúa como un solucionador DNSSEC. DNSSEC en ADC solo se admite en los siguientes casos de implementación:

  1. ADNs: Citrix ADC es el ADNS y genera las firmas en sí.
  2. Proxy: Citrix ADC actúa como proxy DNSSEC. Se supone que Citrix ADC se coloca frente a los servidores ADNS/LDNS en un modo de confianza. El ADC actúa solo como una entidad de almacenamiento en caché de proxy y no valida ninguna firma.

Habilitar e inhabilitar DNSSEC

Habilite las DNSSEC en Citrix ADC para que el ADC responda a clientes con DNSSEC. De forma predeterminada, DNSSEC está habilitado.

Puede inhabilitar la función DNSSEC si no quiere que Citrix ADC responda a los clientes con información específica de DNSSEC.

Habilitar o inhabilitar DNSSEC mediante la CLI

En el símbolo del sistema, escriba los siguientes comandos para habilitar o inhabilitar DNSSEC y verificar la configuración:

-  set dns parameter -dnssec ( ENABLED | DISABLED )
-  show dns parameter  
<!--NeedCopy-->

Ejemplo:

> set dns parameter -dnssec ENABLED
 Done
> show dns parameter
        DNS parameters:
        DNS retries: 5
         .
         .
         .
         DNSEC Extension: ENABLED
        Max DNS Pipeline Requests: 255
 Done

<!--NeedCopy-->

Habilitar o inhabilitar DNSSEC mediante la interfaz gráfica de usuario

  1. Vaya a Administración del tráfico > DNS.
  2. En el panel de detalles, haga clic en Cambiar configuración DNS.
  3. En el cuadro de diálogo Configurar parámetros DNS, active o desactive la casilla de verificación Habilitar extensión DNSSEC.

Crear claves DNS para una zona

Para cada zona DNS que quiera firmar, debe crear dos pares de claves asimétricas. Un par, denominado clave de firma de zona (ZSK), se utiliza para firmar todos los conjuntos de registros de recursos de la zona. El segundo par se denomina clave de firma de claves (KSK) y se utiliza para firmar solo los registros de recursos DNSKEY en la zona.

Cuando se crean el ZSK y el KSK, el suffix.key se anexa a los nombres de los componentes públicos de las claves. Elsuffix.private se anexa a los nombres de sus componentes privados. El anexamiento ocurre automáticamente.

Citrix ADC también crea un registro de Delegación Signer (DS) y agrega el sufijo .ds al nombre del registro. Si la zona principal es una zona firmada, debe publicar el registro DS en la zona principal para establecer la cadena de confianza.

Al crear una clave, la clave se almacena en el /nsconfig/dns/ directorio, pero no se publica automáticamente en la zona. Después de crear una clave mediante el create dns key comando, debe publicar explícitamente la clave en la zona mediante el add dns key comando. El proceso de generación de una clave es independiente del proceso de publicación de la clave en una zona para permitirle utilizar medios alternativos para generar claves. Por ejemplo, puede importar claves generadas por otros programas de generación de claves (comobind-keygen) mediante Secure FTP (SFTP) y, a continuación, publicar las claves en la zona. Para obtener más información sobre cómo publicar una clave en una zona, consulte Publicar una clave DNS en una zona.

Realice los pasos descritos en este tema para crear una clave de firma de zona y, a continuación, repita los pasos para crear una clave de firma de clave. El ejemplo que sigue a la sintaxis del comando crea primero un par de claves de firma de zona para la zona example.com. A continuación, el ejemplo utiliza el comando para crear un par de claves de firma de claves para la zona.

Desde la versión 13.0 compilación 61.x, el dispositivo Citrix ADC ahora admite algoritmos criptográficos más sólidos, como RSASHA256 y RSASHA512, para autenticar una zona DNS. Anteriormente, solo se soportaba el algoritmo RSASHA1.

Crear una clave DNS mediante la CLI

En el símbolo del sistema, escriba:

create dns key -zoneName <string> -keyType <keyType> -algorithm <algorithm> -keySize <positive_integer> -fileNamePrefix <string>

Ejemplo:

> create dns key -zoneName example.com -keyType zsk -algorithm RSASHA256 -keySize 1024 -fileNamePrefix example.com.zsk.rsasha1.1024
File Name: /nsconfig/dns/example.com.zsk.rsasha1.1024.key (public); /nsconfig/dns/example.com.zsk.rsasha1.1024.private (private); /nsconfig/dns/example.com.zsk.rsasha1.1024.ds (ds)
This operation may take some time, Please wait...
 Done
> create dns key -zoneName example.com -keyType ksk -algorithm RSASHA512 -keySize 4096 -fileNamePrefix example.com.ksk.rsasha1.4096
File Name: /nsconfig/dns/example.com.ksk.rsasha1.4096.key (public); /nsconfig/dns/example.com.ksk.rsasha1.4096.private (private); /nsconfig/dns/example.com.ksk.rsasha1.4096.ds (ds)
This operation may take some time, Please wait...
 Done
<!--NeedCopy-->

Crear una clave DNS mediante la interfaz gráfica de usuario

  1. Vaya a Administración del tráfico > DNS.
  2. En el área de detalles, haga clic en Crear clave DNS.

  3. Introduzca valores para los diferentes parámetros y haga clic en Crear.

    Crear una clave DNS

    Nota: Para modificar el prefijo de nombre de archivo de una clave existente:

    • Haga clic en la flecha situada junto al botón Examinar.
    • Haga clic en Local o Appliance (en función de si la clave existente está almacenada en el equipo local o en el /nsconfig/dns/ directorio del dispositivo)
    • Busque la ubicación de la clave y, a continuación, haga doble clic en ella. El cuadro Prefijo de nombre de archivo se rellena únicamente con el prefijo de la clave existente. Modifique el prefijo en consecuencia.

Publicar una clave DNS en una zona

Una clave (clave de firma de zona o clave de firma de clave) se publica en una zona agregando la clave al dispositivo ADC. Una clave debe publicarse en una zona antes de firmar la zona.

Antes de publicar una clave en una zona, la clave debe estar disponible en el directorio /nsconfig/dns/. Si creó la clave DNS en otro equipo (por ejemplo, mediante el programa bind-keygen), asegúrese de que la clave se agrega al directorio /nsconfig/dns/. A continuación, publique la clave en la zona. Utilice la GUI de ADC para agregar la clave al directorio /nsconfig/dns/. O bien, utilice algún otro programa para importar la clave al directorio, como Secure FTP (SFTP).

Utilice el add dns key comando para cada par de claves público-privadas que quiera publicar en una zona determinada. Si ha creado un par ZSK y un par KSK para una zona, utilice el add dns key comando para publicar primero uno de los pares de claves de la zona. Repita el comando para publicar el otro par de claves. Para cada clave que publique en una zona, se crea un registro de recursos DNSKEY en la zona.

El ejemplo que sigue a la sintaxis del comando publica primero el par de claves de firma de zona (creado para la zona example.com) en la zona. A continuación, el ejemplo utiliza el comando para publicar el par de claves de firma de claves en la zona.

Publicar una clave en una zona mediante la CLI

En el símbolo del sistema, escriba el siguiente comando para publicar una clave en una zona y verificar la configuración:

-  add dns key <keyName> <publickey> <privatekey> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns zone [<zoneName> | -type <type>]
<!--NeedCopy-->

Ejemplo:

> add dns key example.com.zsk example.com.zsk.rsasha1.1024.key example.com.zsk.rsasha1.1024.private
 Done
> add dns key example.com.ksk example.com.ksk.rsasha1.4096.key example.com.ksk.rsasha1.4096.private
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done
<!--NeedCopy-->

Publicar una clave en una zona DNS mediante la interfaz gráfica de usuario

Vaya a Administración del tráfico > DNS > Claves.

Nota: Para Clave pública y Clave privada, para agregar una clave almacenada en el equipo local, haga clic en la flecha situada junto al botón Examinar, haga clic en Local, busque la ubicación de la clave y, a continuación, haga doble clic en la clave.

Configurar una clave DNS

Puede configurar los parámetros de una clave publicada en una zona. Puede modificar los parámetros de tiempo de caducidad, período de notificación y tiempo de vida (TTL) de la clave. Si cambia el período de expiración de una clave, el dispositivo vuelve a firmar automáticamente todos los registros de recursos de la zona con la clave. La refirma ocurre si la zona está firmada con la clave en particular.

Configurar una clave mediante la CLI

En el símbolo del sistema, escriba el siguiente comando para configurar una clave y verificar la configuración:

-  set dns key <keyName> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns key [<keyName>]
<!--NeedCopy-->

Ejemplo:

> set dns key example.com.ksk -expires 30 DAYS -notificationPeriod 3 DAYS -TTL 3600
 Done
> show dns key example.com.ksk
1)      Key Name: example.com.ksk
        Expires: 30 DAYS        Notification: 3 DAYS    TTL: 3600
        Public Key File: example.com.ksk.rsasha1.4096.key
        Private Key File: example.com.ksk.rsasha1.4096.private
 Done
<!--NeedCopy-->

Configurar una clave mediante la interfaz gráfica de usuario

  1. Vaya a Administración del tráfico > DNS > Claves.

  2. En el panel de detalles, haga clic en la clave que quiere configurar y, a continuación, haga clic en Abrir.

  3. En el cuadro de diálogo Configurar clave DNS, modifique los valores de los siguientes parámetros como se muestra:

    • Caduca: Caduca
    • Notification Period—notificationPeriod
    • TTL—TTL

  4. Haga clic en Aceptar.

Firmar y anular la firma de una zona DNS

Para proteger una zona DNS, debe firmar la zona con las claves que se han publicado en la zona. Al firmar una zona, Citrix ADC crea un registro de recursos Next Secure (NSEC) para cada nombre de propietario. A continuación, utiliza la clave de firma de clave para firmar el conjunto de registros de recursos DNSKEY. Por último, utiliza ZSK para firmar todos los conjuntos de registros de recursos de la zona, incluidos los conjuntos de registros de recursos DNSKEY y los conjuntos de registros de recursos NSEC. Cada operación de signo da como resultado una firma para los conjuntos de registros de recursos en la zona. La firma se captura en un nuevo registro de recursos denominado registro de recursos RRSIG.

Después de firmar una zona, guarde la configuración.

Firmar una zona mediante la CLI

En el símbolo del sistema, escriba el siguiente comando para firmar una zona y verificar la configuración:

-  sign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]
-  save config
<!--NeedCopy-->

Ejemplo:

> sign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY RRSIG NSEC
         Domain Name : ns1.example.com
                 Record Types : A RRSIG NSEC
         Domain Name : ns2.example.com
                 Record Types : A RRSIG
         Domain Name : ns2.example.com
                 Record Types : RRSIG NSEC
Done
> save config
 Done
<!--NeedCopy-->

Anular la firma de una zona mediante la CLI

En el símbolo del sistema, escriba el siguiente comando para anular la firma de una zona y verificar la configuración:

-  unsign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]
<!--NeedCopy-->

Ejemplo:

> unsign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done
<!--NeedCopy-->

Firmar o anular la firma de una zona mediante la interfaz gráfica de usuario

  1. Vaya a Administración del tráfico > DNS > Zonas.
  2. En el panel de detalles, haga clic en la zona que quiere firmar y, a continuación, haga clic en Firmar/Anular firma.
  3. En el cuadro de diálogo Firmar/Anular firma de la zona DNS, realice una de las acciones siguientes:

    • Para firmar la zona, active las casillas de verificación de las claves (clave de firma de zona y clave de firma de clave) con las que quiere firmar la zona.

      Puede firmar la zona con más de una clave de firma de zona o un par de claves de firma de clave.

    • Para anular la firma de la zona, desactive las casillas de verificación de las claves (clave de firma de zona y clave de firma de clave) con las que quiere anular la firma de la zona.

      Puede anular la firma de la zona con más de una clave de firma de zona o un par de claves de firma de clave.

  4. Haga clic en Aceptar.

Ver los registros NSEC de un registro dado en una zona

Puede ver los registros NSEC que Citrix ADC crea automáticamente para cada nombre de propietario en la zona.

Ver el registro NSEC de un registro dado en una zona mediante la CLI

En el símbolo del sistema, escriba el comando siguiente para ver el registro NSEC de un registro dado en una zona:

show dns nsecRec [<hostName> | -type (ADNS | PROXY | ALL)]

Ejemplo:

> show dns nsecRec example.com
1)      Domain Name : example.com
        Next Nsec Name: ns1.example.com
        Record Types : NS SOA DNSKEY RRSIG NSEC
 Done
<!--NeedCopy-->

Ver el registro NSEC de un registro dado en una zona mediante la GUI

  1. Vaya a Administración del tráfico > DNS > Registros > Siguiente registros seguros.
  2. En el panel de detalles, haga clic en el nombre del registro para el que quiere ver el registro NSEC. El registro NSEC del registro seleccionado se muestra en el área Detalles.

Quitar una clave DNS

Elimine una clave de la zona en la que se publica cuando la clave ha caducado o si la clave ha sido comprometida. Cuando quita una clave de la zona, la zona se desfirma automáticamente con la clave. Al quitar la clave con este comando no se eliminan los archivos de clave presentes en el directorio /nsconfig/dns/. Si los archivos clave ya no son necesarios, deben eliminarse explícitamente del directorio.

Quitar una clave del Citrix ADC mediante la CLI

En el símbolo del sistema, escriba el siguiente comando para quitar una clave y verificar la configuración:

-  rm dns key <keyName>
-  show dns key <keyName>
<!--NeedCopy-->

Ejemplo:

> rm dns key example.com.zsk
 Done
> show dns key example.com.zsk
ERROR: No such resource [keyName, example.com.zsk]

<!--NeedCopy-->

Elimine una clave del Citrix ADC mediante la interfaz gráfica de usuario

  1. Vaya a Administración del tráfico > DNS > Claves.
  2. En el panel de detalles, haga clic en el nombre de la clave que quiere quitar del ADC y, a continuación, haga clic en Quitar.
Configurar DNSSEC
October 4, 2021
Contribución de: 
C
October 4, 2021
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Your privacy choices footer linkSus opciones de privacidad | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.