Documentation Produit
ADC
14.1 - Current Release 13.1 13.0 12.1
Voir PDF

Configurer DNSSEC

December 5, 2023
Contributeur: 
C

Procédez comme suit pour configurer DNSSEC :

  1. Activez DNSSEC sur l’appliance NetScaler.
  2. Créez une clé de signature de zone et une clé de signature pour la zone.
  3. Ajoutez les deux clés à la zone.
  4. Signer la zone avec les clés.

L’appliance NetScaler n’agit pas en tant que résolveur DNSSEC. Le protocole DNSSEC sur l’ADC n’est pris en charge que dans les scénarios de déploiement suivants :

  1. ADNS : NetScaler est l’ADNS et génère lui-même les signatures.
  2. Proxy : NetScaler agit en tant que proxy DNSSEC. On suppose que le NetScaler est placé devant les serveurs ADNS/LDNS en mode sécurisé. L’ADC agit uniquement en tant qu’entité de mise en cache par proxy et ne valide aucune signature.

Activer et désactiver DNSSEC

Activez DNSSEC sur NetScaler pour que l’ADC réponde aux clients compatibles DNSSEC. Par défaut, DNSSEC est activé.

Vous pouvez désactiver la fonctionnalité DNSSEC si vous ne souhaitez pas que NetScaler réponde aux clients avec des informations spécifiques au DNSSEC.

Activer ou désactiver DNSSEC à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour activer ou désactiver DNSSEC et vérifier la configuration :

-  set dns parameter -dnssec ( ENABLED | DISABLED )
-  show dns parameter  
<!--NeedCopy-->

Exemple :

> set dns parameter -dnssec ENABLED
 Done
> show dns parameter
        DNS parameters:
        DNS retries: 5
         .
         .
         .
         DNSEC Extension: ENABLED
        Max DNS Pipeline Requests: 255
 Done

<!--NeedCopy-->

Activer ou désactiver DNSSEC à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS.
  2. Dans le volet d’informations, cliquez sur Modifier les paramètres DNS.
  3. Dans la boîte de dialogue Configurer les paramètres DNS, cochez ou décochez la case Activer l’extension DNSSEC .

Création de clés DNS pour une zone

Pour chaque zone DNS que vous souhaitez signer, vous devez créer deux paires de clés asymétriques. Une paire, appelée clé de signature de zone (ZSK), est utilisée pour signer tous les ensembles d’enregistrements de ressources de la zone. La seconde paire est appelée clé de signature (KSK) et est utilisée pour signer uniquement les enregistrements de ressources DNSKEY de la zone.

Lorsque le ZSK et le KSK sont créés, le suffix.key est ajouté aux noms des composants publics des clés. Le suffix.private est ajouté aux noms de leurs composants privés. L’ajout se fait automatiquement.

NetScaler crée également un enregistrement de délégation de signature (DS) et ajoute le suffixe .ds au nom de l’enregistrement. Si la zone parent est une zone signée, vous devez publier l’enregistrement DS dans la zone parent pour établir la chaîne de confiance.

Lorsque vous créez une clé, celle-ci est stockée dans le /nsconfig/dns/ répertoire, mais elle n’est pas automatiquement publiée dans la zone. Après avoir créé une clé à l’aide de la create dns key commande, vous devez publier la clé de manière explicite dans la zone à l’aide de la add dns key commande. Le processus de génération d’une clé est distinct du processus de publication de la clé dans une zone afin de vous permettre d’utiliser d’autres moyens pour générer des clés. Par exemple, vous pouvez importer des clés générées par d’autres programmes de génération de clés (tels que bind-keygen) à l’aide de Secure FTP (SFTP), puis publier les clés dans la zone. Pour plus d’informations sur la publication d’une clé dans une zone, voir Publier une clé DNS dans une zone.

Effectuez les étapes décrites dans cette rubrique pour créer une clé de signature de zone, puis répétez les étapes pour créer une clé de signature de clé. L’exemple qui suit la syntaxe de commande crée d’abord une paire de clés de signature de zone pour la zone example.com. L’exemple utilise ensuite la commande pour créer une paire de clés de signature pour la zone.

À partir de la version 13.0 build 61.x, l’appliance NetScaler prend désormais en charge des algorithmes de chiffrement plus puissants, tels que RSASHA256 et RSASHA512, pour authentifier une zone DNS. Auparavant, seul l’algorithme RSASHA1 était pris en charge.

Création d’une clé DNS à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

create dns key -zoneName <string> -keyType <keyType> -algorithm <algorithm> -keySize <positive_integer> -fileNamePrefix <string>

Exemple :

> create dns key -zoneName example.com -keyType zsk -algorithm RSASHA256 -keySize 1024 -fileNamePrefix example.com.zsk.rsasha1.1024
File Name: /nsconfig/dns/example.com.zsk.rsasha1.1024.key (public); /nsconfig/dns/example.com.zsk.rsasha1.1024.private (private); /nsconfig/dns/example.com.zsk.rsasha1.1024.ds (ds)
This operation may take some time, Please wait...
 Done
> create dns key -zoneName example.com -keyType ksk -algorithm RSASHA512 -keySize 4096 -fileNamePrefix example.com.ksk.rsasha1.4096
File Name: /nsconfig/dns/example.com.ksk.rsasha1.4096.key (public); /nsconfig/dns/example.com.ksk.rsasha1.4096.private (private); /nsconfig/dns/example.com.ksk.rsasha1.4096.ds (ds)
This operation may take some time, Please wait...
 Done
<!--NeedCopy-->

Création d’une clé DNS à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS.
  2. Dans la zone de détails, cliquez sur Créer une clé DNS.

  3. Entrez les valeurs des différents paramètres et cliquez sur Créer.

    Création d'une clé DNS

    Remarque : Pour modifier le préfixe du nom de fichier d’une clé existante :

    • Cliquez sur la flèche à côté du bouton Parcourir .
    • Cliquez sur Local ou sur Appliance (selon que la clé existante est stockée sur votre ordinateur local ou dans le /nsconfig/dns/ répertoire de l’appliance)
    • Naviguez jusqu’à l’emplacement de la clé, puis double-cliquez sur la touche. La zone Préfixe du nom de fichier est remplie uniquement avec le préfixe de la clé existante. Modifiez le préfixe en conséquence.

Publier une clé DNS dans une zone

Une clé (clé de signature de zone ou clé de signature de clé) est publiée dans une zone en ajoutant la clé à NetScaler. Une clé doit être publiée dans une zone avant de signer la zone.

Avant de publier une clé dans une zone, celle-ci doit être disponible dans le répertoire /nsconfig/dns/ . Si vous avez créé la clé DNS sur un autre ordinateur (par exemple, à l’aide du bind-keygen programme), assurez-vous que la clé est ajoutée au /nsconfig/dns/ répertoire. Publiez ensuite la clé dans la zone. Utilisez l’interface graphique ADC pour ajouter la clé au /nsconfig/dns/ répertoire. Vous pouvez également utiliser un autre programme pour importer la clé dans le répertoire, tel que le FTP sécurisé (SFTP).

Utilisez la add dns key commande pour chaque paire de clés publique-privée que vous souhaitez publier dans une zone donnée. Si vous avez créé une paire ZSK et une paire KSK pour une zone, utilisez la add dns key commande pour publier d’abord l’une des paires de clés de la zone. Répétez la commande pour publier l’autre paire de clés. Pour chaque clé que vous publiez dans une zone, un enregistrement de ressource DNSKEY est créé dans la zone.

L’exemple qui suit la syntaxe de commande publie d’abord la paire de clés de signature de zone (qui a été créée pour la zone example.com) dans la zone. L’exemple utilise ensuite la commande pour publier la paire de clés de signature dans la zone.

Publier une clé dans une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour publier une clé dans une zone et vérifier la configuration :

-  add dns key <keyName> <publickey> <privatekey> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns zone [<zoneName> | -type <type>]
<!--NeedCopy-->

Exemple :

> add dns key example.com.zsk example.com.zsk.rsasha1.1024.key example.com.zsk.rsasha1.1024.private -expires 121 -TTL 5
 Done
> add dns key example.com.ksk example.com.ksk.rsasha1.4096.key example.com.ksk.rsasha1.4096.private -expires 121 -TTL 5
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done
<!--NeedCopy-->

Publier une clé dans une zone DNS à l’aide de l’interface graphique

Accédez à Gestion du trafic > DNS > Clés.

Remarque : Pour la clé publique et la clé privée, pour ajouter une clé stockée sur votre ordinateur local, cliquez sur la flèche à côté du bouton Parcourir, cliquez sur Local, accédez à l’emplacement de la clé, puis double-cliquez sur la clé.

Configuration d’une clé DNS

Vous pouvez configurer les paramètres d’une clé qui a été publiée dans une zone. Vous pouvez modifier la période d’expiration, la période de notification et les paramètres de durée de vie (TTL) de la clé. Si vous modifiez la période d’expiration d’une clé, l’appliance signe automatiquement à nouveau tous les enregistrements de ressources de la zone contenant la clé. La nouvelle signature se produit si la zone est signée avec la clé en question.

Configurer une clé à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour configurer une clé et vérifier la configuration :

-  set dns key <keyName> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns key [<keyName>]
<!--NeedCopy-->

Exemple :

> set dns key example.com.ksk -expires 30 DAYS -notificationPeriod 3 DAYS -TTL 3600
 Done
> show dns key example.com.ksk
1)      Key Name: example.com.ksk
        Expires: 30 DAYS        Notification: 3 DAYS    TTL: 3600
        Public Key File: example.com.ksk.rsasha1.4096.key
        Private Key File: example.com.ksk.rsasha1.4096.private
 Done
<!--NeedCopy-->

Configuration d’une clé à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Clés.

  2. Dans le volet de détails, cliquez sur la touche que vous souhaitez configurer, puis cliquez sur Ouvrir.

  3. Dans la boîte de dialogue Configurer la clé DNS, modifiez les valeurs des paramètres suivants comme indiqué :

    • Expire : expire
    • Période de notification — notificationPeriod
    • TTL — TTL

  4. Cliquez sur OK.

Signer et annuler la signature d’une zone DNS

Pour sécuriser une zone DNS, vous devez signer la zone avec les clés qui y ont été publiées. Lorsque vous signez une zone, NetScaler crée un enregistrement de ressource Next Secure (NSEC) pour chaque nom de propriétaire. Il utilise ensuite la clé de signature pour signer le jeu d’enregistrements de ressources DNSKEY. Enfin, il utilise le ZSK pour signer tous les jeux d’enregistrements de ressources de la zone, y compris les jeux d’enregistrements de ressources DNSKEY et les jeux d’enregistrements de ressources NSEC. Chaque opération de signature génère une signature pour les ensembles d’enregistrements de ressources de la zone. La signature est capturée dans un nouvel enregistrement de ressource appelé enregistrement de ressource RRSIG.

Après avoir signé une zone, enregistrez la configuration.

Signer une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour signer une zone et vérifier la configuration :

-  sign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]
-  save config
<!--NeedCopy-->

Exemple :

> sign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY RRSIG NSEC
         Domain Name : ns1.example.com
                 Record Types : A RRSIG NSEC
         Domain Name : ns2.example.com
                 Record Types : A RRSIG
         Domain Name : ns2.example.com
                 Record Types : RRSIG NSEC
Done
> save config
 Done
<!--NeedCopy-->

Annuler la signature d’une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour annuler la signature d’une zone et vérifier la configuration :

-  unsign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]
<!--NeedCopy-->

Exemple :

> unsign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done
<!--NeedCopy-->

Signer ou annuler la signature d’une zone à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Zones.
  2. Dans le volet d’informations, cliquez sur la zone que vous souhaitez signer, puis cliquez sur Signer/Annuler la signature.
  3. Dans la boîte de dialogue Signer/Annuler la signature de la zone DNS, effectuez l’une des opérations suivantes :

    • Pour signer la zone, cochez les cases correspondant aux clés (clé de signature de zone et clé de signature de clé) avec lesquelles vous souhaitez signer la zone.

      Vous pouvez signer la zone à l’aide de plusieurs clés de signature de zone ou de plusieurs paires de clés de signature de zone.

    • Pour annuler la signature de la zone, décochez les cases correspondant aux clés (clé de signature de zone et clé de signature de clé) avec lesquelles vous souhaitez annuler la signature de la zone.

      Vous pouvez annuler la signature de la zone à l’aide de plusieurs clés de signature de zone ou de plusieurs paires de clés de signature de zone.

  4. Cliquez sur OK.

Afficher les enregistrements NSEC pour un enregistrement donné dans une zone

Vous pouvez consulter les enregistrements NSEC que NetScaler crée automatiquement pour chaque nom de propriétaire de la zone.

Afficher l’enregistrement NSEC pour un enregistrement donné dans une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour afficher l’enregistrement NSEC pour un enregistrement donné dans une zone :

show dns nsecRec [<hostName> | -type (ADNS | PROXY | ALL)]

Exemple :

> show dns nsecRec example.com
1)      Domain Name : example.com
        Next Nsec Name: ns1.example.com
        Record Types : NS SOA DNSKEY RRSIG NSEC
 Done
<!--NeedCopy-->

Afficher l’enregistrement NSEC pour un enregistrement donné dans une zone à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Enregistrements > Enregistrements sécurisés suivants.
  2. Dans le volet de détails, cliquez sur le nom de l’enregistrement pour lequel vous souhaitez consulter l’enregistrement NSEC. L’enregistrement NSEC correspondant à l’enregistrement que vous sélectionnez s’affiche dans la zone Détails.

Supprimer une clé DNS

Supprimez une clé de la zone dans laquelle elle est publiée lorsqu’elle a expiré ou si elle a été compromise. Lorsque vous supprimez une clé de la zone, la zone est automatiquement désignée avec la clé. La suppression de la clé à l’aide de cette commande ne supprime pas les fichiers clés présents dans le répertoire /nsconfig/dns/. Si les fichiers clés ne sont plus nécessaires, ils doivent être explicitement supprimés du répertoire.

Supprimer une clé de NetScaler à l’aide de la CLI

À l’invite de commandes, tapez la commande suivante pour supprimer une clé et vérifier la configuration :

-  rm dns key <keyName>
-  show dns key <keyName>
<!--NeedCopy-->

Exemple :

> rm dns key example.com.zsk
 Done
> show dns key example.com.zsk
ERROR: No such resource [keyName, example.com.zsk]

<!--NeedCopy-->

Supprimer une clé de NetScaler à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Clés.
  2. Dans le volet de détails, cliquez sur le nom de la clé que vous souhaitez supprimer de l’ADC, puis cliquez sur Supprimer.

Révoquer une clé DNS

Bien que la remise des clés soit généralement programmée à l’avance, il est parfois nécessaire de retourner la clé immédiatement si l’on soupçonne que la clé est compromise. Dans de tels cas, la clé compromise doit être supprimée rapidement avant que la nouvelle clé puisse être activée. Pour garantir une transition en douceur, il est recommandé de conserver une clé secondaire prête, qui peut être activée immédiatement en cas de compromission de la clé. En utilisant la méthode de révocation de la clé, vous pouvez gagner du temps lors de l’activation de la clé secondaire et de la suppression de la clé compromise.

Remarque :

Si vous révoquez la clé, elle restera dans le système à moins que vous ne la supprimiez explicitement. L’option de report automatique étant activée, le système annulera automatiquement la clé après la date d’expiration configurée si vous ne la supprimez pas manuellement. Au cours du processus de transfert automatique, une nouvelle clé sera créée que vous pourrez utiliser en fonction de vos besoins.

Activer la révocation à l’aide de la CLI

À l’invite de commandes, tapez :

set dns key <keyName> [-revoke]

Exemple :

Set dns key secure.example.zsk -revoke

Activer la révocation à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Clés.
  2. Dans le volet d’informations, cliquez sur la clé que vous souhaitez configurer, puis cliquez sur Ouvrir.
  3. Sur la page Configurer la clé DNS, sélectionnez ou désactivez Révoquer.
  4. Cliquez sur OK.

Renvoi automatique des clés

Dans NetScaler, vous pouvez automatiser le processus de transfert des clés en fonction de la période de fréquence configurée. En automatisant le processus de transfert, vous pouvez éliminer les risques de rater le transfert des clés. NetScaler se charge de créer les clés, de les publier, de les activer, de les signer et de les désigner, et de supprimer automatiquement l’ancienne clé si l’option de remplacement automatique est activée. En outre, une notification SNMP concernant l’ajout, l’activation et la suppression de l’ancienne clé est envoyée.

Remarque :

Si le paramètre de transfert de zone est activé dans les sites GSLB, les clés de transfert sont transférées vers tous les sites GSLB.

Si vous effectuez une mise à niveau d’une version qui ne prend pas en charge le transfert de zone vers une version qui le prend en charge, activez la fonction de remplacement pour une clé existante. Avant d’activer l’option de transfert de clé, assurez-vous que la clé n’a pas expiré.

Configurer le transfert automatique des clés à l’aide de la CLI

À l’invite de commandes, tapez :

set dns key <keyName> [-autoRollover (ENABLED | DISABLED)] [-RolloverMethod <PrePublication | DoubleSignature | DoubleRRset>]
<!--NeedCopy-->

Exemple :

Set dns key secure.example.zsk – autoRollover Enabled -RolloverMethod Prepublication

Configurer le roulement automatique des touches à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Clés.
  2. Dans le volet de détails, cliquez sur la touche que vous souhaitez configurer, puis cliquez sur Ouvrir.
  3. Sur la page Configurer la clé DNS, mettez à jour les paramètres suivants :
    • Auto Rollover - Activez l’option permettant d’automatiser le transfert des clés.
    • Méthode de report : sélectionnez une méthode de report.
  4. Cliquez sur OK.

Alarme SNMP

vous pouvez activer l’alarme SNMP pour les événements liés aux clés DNSSEC lorsque le report automatique est activé. Lorsque vous activez une alarme SNMP, NetScaler génère une alarme correspondante (DNSSEC-KEY-AUTOMGMT-STATUS-SUCCESS ou DNSSEC-KEY-AUTOMGMT-STATUS-FAILURE) selon que l’événement est un succès ou un échec. Par exemple, lorsque vous créez une clé DNSSEC et que l’événement de création aboutit, une alarme DNSSEC-KEY-AUTOMGMT-STATUS-SUCCESS est générée.

Pour plus d’informations sur les alarmes SNMP, consultez [Configuration du NetScaler pour générer des interruptions SNMP] (/en-us/citrix-adc/current-release/system/snmp/generating-snmp-traps-on-citrix-adc.html)

Transfert de zone DNS

Pour synchroniser les clés DNSSEC avec d’autres serveurs DNS, vous devez activer le paramètre Zone Transfer. La synchronisation des clés d’un serveur DNS vers d’autres serveurs DNS du site GSLB n’est possible que si l’option AutomaticConfigSync est activée. Pour plus d’informations sur la synchronisation en temps réel, voir Synchronisation en temps réel entre les sites participant à la GSLB. Le transfert de zone DNS est possible dans Netscaler où le GSLB est configuré pour chaque serveur DNS à un emplacement différent.

Pour plus d’informations sur la synchronisation, voir Synchroniser la configuration dans une configuration GSLB.

Le transfert de zone DNS est possible dans NetScaler où GSLB est configuré. Assurez-vous de configurer GSLB pour chaque serveur DNS à un emplacement différent.

Activer ou désactiver le transfert de zone à l’aide de la CLI

À l’invite de commandes, tapez :

set dns parameter - ZoneTransfer (ENABLED | DISABLED)

Exemple :

set dns parameter - ZoneTransfer ENABLED

Done
<!--NeedCopy-->

Activer ou désactiver le transfert de zone à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS.
  2. Dans le volet d’informations, sous Paramètres, cliquez sur Modifier les paramètres DNS.
  3. Sur la page Configurer les paramètres DNS, sélectionnez ou désactivez le transfert de zone.
Configurer DNSSEC
December 5, 2023
Contributeur: 
C
December 5, 2023
Contributeur: 
C

Dans cet article

Commentaires sur le site | Your privacy choices footer linkVos préférences de confidentialité | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.