DNSSEC yoqish: DS yozuv, to'g'ri tartib va tipik xatolar

Oddiy DNS javoblari hech qanday imzo bilan himoyalanmagan, shuning uchun hujumchi rezolver keshiga soxta javob joylab, foydalanuvchini boshqa serverga yo'naltirishi nazariy jihatdan mumkin. DNSSEC bu muammoni kriptografik imzolar orqali hal qiladi: har bir javob zona kaliti bilan imzolanadi, rezolver esa imzoni ota zonadan boshlab tekshiradi. Bu kuchli himoya, ammo u xatolarni kechirmaydi. Noto'g'ri DS yozuvi yoki muddati o'tgan imzo domenni tekshiruvchi rezolverlardan foydalanadigan barcha foydalanuvchilar uchun butunlay ochilmaydigan qilib qo'yadi.

Ishonch zanjiri qanday quriladi

DNSSEC'ning mohiyati ishonch zanjiridir. Ildiz zona .uz kabi yuqori darajali zonaning kalitini tasdiqlaydi, yuqori darajali zona esa sizning domeningiz kalitini tasdiqlaydi. Domen zonasida DNSKEY yozuvlari, ya'ni ochiq kalitlar va har bir yozuv to'plami uchun RRSIG imzolari joylashadi. Ota zonada esa DS yozuvi turadi: u sizning kalitingizning xeshi bo'lib, "bu domenning haqiqiy kaliti shu" degan tasdiqni beradi. DS yozuvi ota zonaga registrator orqali yuboriladi, shuning uchun DNSSEC ikki joyda sozlanadi: DNS xostingda va domen ro'yxatga olingan joyda.

Odatda ikki turdagi kalit ishlatiladi. KSK, ya'ni kalitlarni imzolovchi kalit, faqat DNSKEY to'plamini imzolaydi va uning xeshi DS sifatida ota zonaga beriladi. ZSK esa zonadagi boshqa yozuvlarni imzolaydi va tez-tez almashtirilishi mumkin. Zamonaviy sozlamalarda bitta umumiy kalit, ya'ni CSK ishlatish ham keng tarqalgan.

Boshlashdan oldin nimani aniqlash kerak

Birinchidan, DNS xizmatingiz zonani imzolay olishi kerak. Ko'plab boshqariladigan DNS xizmatlarida bu bitta tugma bilan yoqiladi va xizmat sizga DS ma'lumotlarini ko'rsatadi. O'z serveringizda esa BIND, Knot yoki PowerDNS kabi dastur imzolashni bajaradi. Ikkinchidan, domen zonasi va registrator DS yozuvini qabul qilishi kerak. Domeningiz sayt.uz'da bo'lsa, DS yozuvini qo'shish imkoniyatini kabinetdan yoki texnik yordam orqali aniqlang. Uchinchidan, kalit algoritmini tanlang: hozir eng ko'p tavsiya etiladigani 13-algoritm, ya'ni ECDSAP256SHA256, u qisqa imzolar beradi va keng qo'llab-quvvatlanadi.

To'g'ri tartib: avval imzo, keyin DS

Eng muhim qoida tartibga oid. Avval zona imzolanadi va DNSKEY yozuvlari e'lon qilinadi. So'ngra rezolverlar yangi kalitlarni ko'rishi uchun kamida DNSKEY TTL'i qadar kutiladi. Shundan keyingina DS yozuvi ota zonaga qo'shiladi. Agar tartib teskari bo'lsa, ya'ni DS bor-u zona hali imzolanmagan bo'lsa, tekshiruvchi rezolverlar javobni soxta deb hisoblaydi va SERVFAIL qaytaradi.

BIND 9.18 va undan yangi versiyalarda imzolash siyosat orqali avtomatlashtiriladi. Quyidagi sozlama kalitlarni yaratadi, zonani imzolaydi va imzolarni muddati tugashidan oldin yangilab turadi:

zone "example.uz" {
    type primary;
    file "/var/lib/bind/db.example.uz";
    dnssec-policy default;
    inline-signing yes;
};

Qayta yuklagandan keyin holatni tekshiring va KSK fayli asosida DS yozuvini hosil qiling. Kalit fayli nomidagi raqam, ya'ni kalit tegi, sizda boshqacha bo'ladi:

rndc reconfig
rndc dnssec -status example.uz
dig @127.0.0.1 example.uz DNSKEY +multi
dnssec-dsfromkey -2 /var/lib/bind/Kexample.uz.+013+12345.key

Natija quyidagi ko'rinishda bo'ladi. Registratorga odatda to'rtta qiymat kiritiladi: kalit tegi, algoritm, xesh turi va xeshning o'zi. Xesh turi 2 SHA-256'ni bildiradi.

example.uz. IN DS 12345 13 2 3F1A...C9D2

DS ota zonada paydo bo'lgandan keyin BIND'ga buni bildirish kerak, shunda u kalit almashtirish jarayonini to'g'ri davom ettiradi: rndc dnssec -checkds published example.uz.

Ishlayotganini qanday tekshirish

Tekshirish uchun DNSSEC'ni tekshiradigan ochiq rezolverga so'rov yuboring. Javob sarlavhasidagi ad bayrog'i imzo muvaffaqiyatli tekshirilganini bildiradi. delv vositasi esa natijani aniq so'z bilan yozadi.

dig @8.8.8.8 example.uz A +dnssec
dig example.uz DS +short
delv @1.1.1.1 example.uz A

Agar oddiy so'rov SERVFAIL qaytarsa-yu, +cd bayrog'i, ya'ni tekshiruvni o'chirish bilan javob kelsa, muammo aniq DNSSEC'da: dig @8.8.8.8 example.uz A +cd. Zanjirni vizual ko'rish uchun DNSViz kabi onlayn tahlil vositalari ham qulay, ular qaysi bo'g'in uzilganini ko'rsatadi.

Eng ko'p uchraydigan xatolar

Birinchi va eng xavfli xato DNS xostingni almashtirishda yuz beradi. Masalan, Buxorodagi xususiy maktab saytini yangi provayderga ko'chirishdi, NS serverlarni o'zgartirishdi, lekin eski DS yozuvini olib tashlashni unutishdi. Yangi provayder zonani imzolamagan edi yoki boshqa kalit bilan imzolagan edi, natijada tekshiruvchi rezolverlar orqali kelgan ota-onalar saytni ocha olmadi, boshqalar esa muammoni sezmadi. Shu sababli xato uzoq vaqt aniqlanmay qoldi. To'g'ri tartib: avval DS olib tashlanadi, DS TTL'i qadar kutiladi, keyin NS almashtiriladi va yangi joyda DNSSEC qaytadan yoqiladi.

Ikkinchi xato muddati o'tgan imzolardir. RRSIG imzolari cheklangan muddatga beriladi va doimiy yangilanib turishi kerak. Agar imzolash dasturi to'xtab qolsa yoki qo'lda bir marta imzolangan zona keyin yangilanmasa, bir necha haftadan keyin domen ochilmay qoladi. Uchinchi xato DS va kalit mos kelmasligi: registratorga ZSK xeshi kiritilgan, algoritm raqami noto'g'ri tanlangan yoki kalit almashtirilganda yangi DS qo'shilmagan. To'rtinchisi esa serverdagi noto'g'ri vaqt, chunki imzolar vaqt oralig'i bilan tekshiriladi va soat orqada yoki oldinda bo'lsa yangi imzolar yaroqsiz ko'rinadi.

DNSSEC'ni xavfsiz o'chirish

O'chirish ham yoqish kabi tartibga bog'liq, faqat teskari yo'nalishda. Avval registrator orqali DS yozuvi olib tashlanadi. Keyin ota zonadagi DS TTL'i va rezolverlar keshi tozalanishi uchun kamida bir-ikki kun kutiladi. Faqat shundan keyin zonadagi imzolash o'chiriladi. Bu oraliqda zona imzolangan holda qolishi zarar qilmaydi, aksincha, DS hali keshda turgan rezolverlar uchun sayt ochilishini ta'minlaydi.