Documentation Produit
ADC
14.1 - Current Release 13.1 13.0 12.1
Voir PDF

Configurer DNSSEC

October 4, 2021
Contributeur: 
C

Procédez comme suit pour configurer DNSSEC :

  1. Activez DNSSEC sur l’appliance Citrix ADC.
  2. Créez une clé de signature de zone et une clé de signature de clé pour la zone.
  3. Ajoutez les deux clés à la zone.
  4. Signez la zone avec les clés.

L’appliance Citrix ADC n’agit pas en tant que résolveur DNSSEC. Le DNSSEC sur ADC est pris en charge uniquement dans les scénarios de déploiement suivants :

  1. ADNS : Citrix ADC est l’ADNS et génère les signatures elle-même.
  2. Proxy : Citrix ADC agit comme un proxy DNSSEC. Il est supposé que Citrix ADC est placé devant les serveurs ADNS/LDNS en mode approuvé. ADC agit uniquement comme une entité de mise en cache proxy et ne valide aucune signature.

Activer et désactiver DNSSEC

Activez DNSSEC sur Citrix ADC pour que ADC réponde aux clients prenant en charge DNSSEC. Par défaut, DNSSEC est activé.

Vous pouvez désactiver la fonctionnalité DNSSEC si vous ne souhaitez pas que Citrix ADC réponde aux clients avec des informations spécifiques à DNSSEC.

Activer ou désactiver DNSSEC à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour activer ou désactiver DNSSEC et vérifier la configuration :

-  set dns parameter -dnssec ( ENABLED | DISABLED )
-  show dns parameter  
<!--NeedCopy-->

Exemple :

> set dns parameter -dnssec ENABLED
 Done
> show dns parameter
        DNS parameters:
        DNS retries: 5
         .
         .
         .
         DNSEC Extension: ENABLED
        Max DNS Pipeline Requests: 255
 Done

<!--NeedCopy-->

Activer ou désactiver DNSSEC à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS.
  2. Dans le volet d’informations, cliquez sur Modifier les paramètres DNS.
  3. Dans la boîte de dialogue Configurer les paramètres DNS, activez ou désactivez la case à cocher Activer l’extension DNSSEC.

Créer des clés DNS pour une zone

Pour chaque zone DNS que vous souhaitez signer, vous devez créer deux paires de clés asymétriques. Une paire, appelée la clé de signature de zone (ZSK), est utilisée pour signer tous les jeux d’enregistrements de ressources dans la zone. La deuxième paire est appelée clé de signature de clé (KSK) et est utilisée pour signer uniquement les enregistrements de ressource DNSKEY dans la zone.

Lorsque le ZSK et le KSK sont créés, suffix.key est ajouté aux noms des composants publics des clés. Le suffix.private est ajouté aux noms de leurs composants privés. L’ajout se produit automatiquement.

Citrix ADC crée également un enregistrement DS (Délégation Signer) et ajoute le suffixe .ds au nom de l’enregistrement. Si la zone parent est une zone signée, vous devez publier l’enregistrement DS dans la zone parent pour établir la chaîne d’approbation.

Lorsque vous créez une clé, la clé est stockée dans le /nsconfig/dns/ répertoire, mais elle n’est pas publiée automatiquement dans la zone. Après avoir créé une clé à l’aide de la create dns key commande, vous devez publier explicitement la clé dans la zone à l’aide de la add dns key commande. Le processus de génération d’une clé est distinct du processus de publication de la clé dans une zone pour vous permettre d’utiliser d’autres moyens pour générer des clés. Par exemple, vous pouvez importer des clés générées par d’autres programmes de génération de clés (tels que bind-keygen) à l’aide de Secure FTP (SFTP), puis publier les clés dans la zone. Pour plus d’informations sur la publication d’une clé dans une zone, voir Publier une clé DNS dans une zone.

Effectuez les étapes décrites dans cette rubrique pour créer une clé de signature de zone, puis répétez les étapes pour créer une clé de signature de clé. L’exemple suivant la syntaxe de commande crée d’abord une paire de clés de signature de zone pour la zone exemple.com. L’exemple utilise ensuite la commande pour créer une paire de clés de signature de clé pour la zone.

À partir de la version 13.0 build 61.x, l’appliance Citrix ADC prend désormais en charge des algorithmes de chiffrement plus puissants, tels que RSASHA256 et RSASHA512, pour authentifier une zone DNS. Auparavant, seul l’algorithme RSASHA1 était pris en charge.

Créer une clé DNS à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

create dns key -zoneName <string> -keyType <keyType> -algorithm <algorithm> -keySize <positive_integer> -fileNamePrefix <string>

Exemple :

> create dns key -zoneName example.com -keyType zsk -algorithm RSASHA256 -keySize 1024 -fileNamePrefix example.com.zsk.rsasha1.1024
File Name: /nsconfig/dns/example.com.zsk.rsasha1.1024.key (public); /nsconfig/dns/example.com.zsk.rsasha1.1024.private (private); /nsconfig/dns/example.com.zsk.rsasha1.1024.ds (ds)
This operation may take some time, Please wait...
 Done
> create dns key -zoneName example.com -keyType ksk -algorithm RSASHA512 -keySize 4096 -fileNamePrefix example.com.ksk.rsasha1.4096
File Name: /nsconfig/dns/example.com.ksk.rsasha1.4096.key (public); /nsconfig/dns/example.com.ksk.rsasha1.4096.private (private); /nsconfig/dns/example.com.ksk.rsasha1.4096.ds (ds)
This operation may take some time, Please wait...
 Done
<!--NeedCopy-->

Créer une clé DNS à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS.
  2. Dans la zone Détails, cliquez sur Créer une clé DNS.

  3. Entrez des valeurs pour les différents paramètres et cliquez sur Créer.

    Créer une clé DNS

    Remarque : Pour modifier le préfixe de nom de fichier d’une clé existante :

    • Cliquez sur la flèche en regard du bouton Parcourir.
    • Cliquez sur Local ou Appliance (selon que la clé existante est stockée sur votre ordinateur local ou dans le /nsconfig/dns/ répertoire de l’appliance)
    • Accédez à l’emplacement de la clé, puis double-cliquez sur la clé. La zone Préfixe du nom de fichier est renseignée uniquement avec le préfixe de la clé existante. Modifiez le préfixe en conséquence.

Publier une clé DNS dans une zone

Une clé (clé de signature de zone ou clé de signature de clé) est publiée dans une zone en ajoutant la clé à l’appliance ADC. Une clé doit être publiée dans une zone avant de signer la zone.

Avant de publier une clé dans une zone, la clé doit être disponible dans le répertoire /nsconfig/dns/. Si vous avez créé la clé DNS sur un autre ordinateur (par exemple, à l’aide bind-keygen du programme), assurez-vous que la clé est ajoutée au /nsconfig/dns/ répertoire. Ensuite, publiez la clé dans la zone. Utilisez l’interface graphique ADC pour ajouter la clé au /nsconfig/dns/ répertoire. Ou bien, utilisez un autre programme pour importer la clé dans le répertoire, tel que Secure FTP (SFTP).

Utilisez la add dns key commande pour chaque paire de clés public-privé que vous souhaitez publier dans une zone donnée. Si vous avez créé une paire ZSK et une paire KSK pour une zone, utilisez la add dns key commande pour publier d’abord l’une des paires de clés dans la zone. Répétez la commande pour publier l’autre paire de clés. Pour chaque clé que vous publiez dans une zone, un enregistrement de ressource DNSKEY est créé dans la zone.

L’exemple suivant la syntaxe de commande publie d’abord la paire de clés de signature de zone (créée pour la zone example.com) dans la zone. L’exemple utilise ensuite la commande pour publier la paire de clés de signature de clé dans la zone.

Publier une clé dans une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour publier une clé dans une zone et vérifier la configuration :

-  add dns key <keyName> <publickey> <privatekey> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns zone [<zoneName> | -type <type>]
<!--NeedCopy-->

Exemple :

> add dns key example.com.zsk example.com.zsk.rsasha1.1024.key example.com.zsk.rsasha1.1024.private
 Done
> add dns key example.com.ksk example.com.ksk.rsasha1.4096.key example.com.ksk.rsasha1.4096.private
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done
<!--NeedCopy-->

Publier une clé dans une zone DNS à l’aide de l’interface graphique

Accédez à Gestion du trafic > DNS > Clés.

Remarque : Pour Clé publique et Private Key, pour ajouter une clé stockée sur votre ordinateur local, cliquez sur la flèche en regard du bouton Parcourir, cliquez sur Local, accédez à l’emplacement de la clé, puis double-cliquez sur la clé.

Configurer une clé DNS

Vous pouvez configurer les paramètres d’une clé publiée dans une zone. Vous pouvez modifier la période d’expiration, la période de notification et les paramètres de durée de vie (TTL) de la clé. Si vous modifiez la période d’expiration d’une clé, l’appliance resigne automatiquement tous les enregistrements de ressource de la zone à l’aide de la clé. La resignature se produit si la zone est signée avec la clé particulière.

Configurer une clé à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour configurer une clé et vérifier la configuration :

-  set dns key <keyName> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns key [<keyName>]
<!--NeedCopy-->

Exemple :

> set dns key example.com.ksk -expires 30 DAYS -notificationPeriod 3 DAYS -TTL 3600
 Done
> show dns key example.com.ksk
1)      Key Name: example.com.ksk
        Expires: 30 DAYS        Notification: 3 DAYS    TTL: 3600
        Public Key File: example.com.ksk.rsasha1.4096.key
        Private Key File: example.com.ksk.rsasha1.4096.private
 Done
<!--NeedCopy-->

Configurer une clé à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Clés.

  2. Dans le volet d’informations, cliquez sur la clé à configurer, puis cliquez sur Ouvrir.

  3. Dans la boîte de dialogue Configurer la clé DNS, modifiez les valeurs des paramètres suivants comme indiqué :

    • Expiration : Expire
    • Période de notification — notificationPeriod
    • TTL—TTL

  4. Cliquez sur OK.

Signer et supprimer la signature d’une zone DNS

Pour sécuriser une zone DNS, vous devez signer la zone avec les clés qui ont été publiées dans la zone. Lorsque vous signez une zone, Citrix ADC crée un enregistrement de ressource NSEC (Next Secure) pour chaque nom de propriétaire. Ensuite, il utilise la clé de signature de clé pour signer le jeu d’enregistrements de ressources DNSKEY. Enfin, il utilise le ZSK pour signer tous les jeux d’enregistrements de ressources de la zone, y compris les jeux d’enregistrements de ressources DNSKEY et les jeux d’enregistrements de ressources NSEC. Chaque opération de signe génère une signature pour les jeux d’enregistrements de ressources dans la zone. La signature est capturée dans un nouvel enregistrement de ressource appelé enregistrement de ressource RRSIG.

Après avoir signé une zone, enregistrez la configuration.

Signer une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour signer une zone et vérifier la configuration :

-  sign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]
-  save config
<!--NeedCopy-->

Exemple :

> sign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY RRSIG NSEC
         Domain Name : ns1.example.com
                 Record Types : A RRSIG NSEC
         Domain Name : ns2.example.com
                 Record Types : A RRSIG
         Domain Name : ns2.example.com
                 Record Types : RRSIG NSEC
Done
> save config
 Done
<!--NeedCopy-->

Désigner une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour désigner une zone et vérifier la configuration :

-  unsign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]
<!--NeedCopy-->

Exemple :

> unsign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done
<!--NeedCopy-->

Signer ou désigner une zone à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Zones.
  2. Dans le volet d’informations, cliquez sur la zone à signer, puis cliquez sur Signer/Désigner.
  3. Dans la boîte de dialogue Sign/Désigner la zone DNS, effectuez l’une des opérations suivantes :

    • Pour signer la zone, activez les cases à cocher des clés (clé de signature de zone et clé de signature de clé) avec lesquelles vous souhaitez signer la zone.

      Vous pouvez signer la zone avec plus d’une clé de signature de zone ou une paire de clés de signature de clé.

    • Pour déconnecter la zone, désactivez les cases à cocher des clés (clé de signature de zone et clé de signature de clé) avec lesquelles vous souhaitez déconnecter la zone.

      Vous pouvez déconnecter la zone avec plus d’une clé de signature de zone ou une paire de clés de signature de clé.

  4. Cliquez sur OK.

Afficher les enregistrements NSEC d’un enregistrement donné dans une zone

Vous pouvez afficher les enregistrements NSEC créés automatiquement par Citrix ADC pour chaque nom de propriétaire dans la zone.

Afficher l’enregistrement NSEC d’un enregistrement donné dans une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour afficher l’enregistrement NSEC d’un enregistrement donné dans une zone :

show dns nsecRec [<hostName> | -type (ADNS | PROXY | ALL)]

Exemple :

> show dns nsecRec example.com
1)      Domain Name : example.com
        Next Nsec Name: ns1.example.com
        Record Types : NS SOA DNSKEY RRSIG NSEC
 Done
<!--NeedCopy-->

Afficher l’enregistrement NSEC pour un enregistrement donné dans une zone à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Enregistrements > Enregistrements sécurisés suivants.
  2. Dans le volet d’informations, cliquez sur le nom de l’enregistrement pour lequel vous souhaitez afficher l’enregistrement NSEC. L’enregistrement NSEC de l’enregistrement sélectionné s’affiche dans la zone Détails.

Supprimer une clé DNS

Supprimez une clé de la zone dans laquelle elle est publiée lorsque la clé a expiré ou si la clé a été compromise. Lorsque vous supprimez une clé de la zone, celle-ci est automatiquement désignée avec la clé. La suppression de la clé avec cette commande ne supprime pas les fichiers clés présents dans le répertoire /nsconfig/dns/. Si les fichiers clés ne sont plus nécessaires, ils doivent être explicitement supprimés du répertoire.

Supprimer une clé de Citrix ADC à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour supprimer une clé et vérifier la configuration :

-  rm dns key <keyName>
-  show dns key <keyName>
<!--NeedCopy-->

Exemple :

> rm dns key example.com.zsk
 Done
> show dns key example.com.zsk
ERROR: No such resource [keyName, example.com.zsk]

<!--NeedCopy-->

Supprimer une clé de Citrix ADC à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Clés.
  2. Dans le volet d’informations, cliquez sur le nom de la clé que vous souhaitez supprimer de ADC, puis cliquez sur Supprimer.
Configurer DNSSEC
October 4, 2021
Contributeur: 
C
October 4, 2021
Contributeur: 
C

Dans cet article

Commentaires sur le site | Your privacy choices footer linkVos préférences de confidentialité | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.