Alibaba Cloud DNS:DNSSEC

Qu'est-ce que le DNSSEC

Les extensions de sécurité du système de noms de domaine (DNSSEC) protègent votre domaine contre l'usurpation DNS et l'empoisonnement de cache. Le DNSSEC utilise des signatures numériques pour vérifier l'authenticité et l'intégrité des réponses DNS, empêchant ainsi la redirection des utilisateurs vers des adresses non désirées.

Notes d'utilisation

1. Le DNSSEC est disponible pour toutes les éditions payantes d'Alibaba Cloud DNS.

2. Vous ne pouvez pas activer le DNSSEC si un sous-domaine utilise un hébergement DNS indépendant.

3. Vous ne pouvez pas activer le DNSSEC si la fonctionnalité Secondary DNS est activée.

4. Vous ne pouvez pas activer le DNSSEC pour un domaine qui possède un ALIAS record.

5. Si votre abonnement payant à Alibaba Cloud DNS expire sans renouvellement, supprimez d'abord l'enregistrement DS auprès de votre registraire de domaine, puis désactivez le DNSSEC dans la console Alibaba Cloud DNS pour éviter tout échec de résolution.

6. Si le DNSSEC est activé et que vous devez transférer un nom de domaine entre comptes, supprimez d'abord l'enregistrement DS auprès de votre registraire de domaine, puis désactivez le DNSSEC dans la console Alibaba Cloud DNS pour éviter tout échec de résolution.

7. Si le DNSSEC est activé et que vous devez transférer la résolution DNS entre comptes, supprimez d'abord l'enregistrement DS auprès de votre registraire de domaine, puis désactivez le DNSSEC dans la console Alibaba Cloud DNS pour éviter tout échec de résolution.

8. Si le DNSSEC est activé et que vous devez détacher un nom de domaine, supprimez d'abord l'enregistrement DS auprès de votre registraire de domaine, puis désactivez le DNSSEC dans la console Alibaba Cloud DNS pour éviter tout échec de résolution.

9. Le DNSSEC nécessite la prise en charge par le fournisseur de service DNS et par le registraire de domaine. Alibaba Cloud prend en charge le DNSSEC pour ces deux services.

Activer le DNSSEC

1. Connectez-vous à la page Alibaba Cloud DNS - Public Authoritative DNS, localisez votre domaine, puis cliquez sur DNSSEC Settings > DNSSEC Settings.

2. Sur la page DNSSEC Settings, activez l'interrupteur DNSSEC.

3. Copiez les détails de l'enregistrement DS (Key Tag, Algorithm, Digest Type et Digest) et ajoutez un enregistrement DS auprès de votre registraire de domaine.

4. Pour les domaines enregistrés auprès d'Alibaba Cloud, suivez la procédure décrite dans Configure DNSSEC.

Vérifier le DNSSEC

Utilisez l'outil DNSViz pour vérifier votre configuration.

Vérifier si le DNSSEC est activé

Si le rapport pour dns-example.com n'affiche pas d'enregistrement DS dans la zone mise en évidence, le DNSSEC n'est pas activé.

Le DNSSEC est actif

Si le rapport affiche un enregistrement DS pour chaque niveau de la chaîne de confiance et qu'aucune boîte d'erreur rouge n'apparaît, le DNSSEC fonctionne correctement.

Échec de la validation

Les boîtes d'erreur rouges indiquent un échec de la validation DNSSEC. Ouvrez un ticket pour résoudre le problème.

Désactiver le DNSSEC

Étape 1 : Supprimer l'enregistrement DS

Pour un domaine enregistré auprès d'Alibaba Cloud :

1. Connectez-vous à la Domain Names Console.

2. Sur la page Domain Names, localisez le domaine et cliquez sur Manage dans la colonne Actions.

3. Dans le volet de navigation de gauche, sous DNS Management, cliquez sur DNSSEC Settings. Localisez l'enregistrement DS et cliquez sur Delete.

Étape 2 : Désactiver le DNSSEC

1. Sur la page Alibaba Cloud DNS - Public Authoritative DNS, localisez votre domaine, puis cliquez sur DNSSEC Settings > DNSSEC Settings.

2. Sur la page DNSSEC Settings, désactivez l'interrupteur DNSSEC.

   Avertissement

   Effectuez ces étapes dans l'ordre spécifié pour éviter tout échec de résolution.

FAQ

Les avertissements jaunes dans les rapports DNSSEC posent-ils problème ?

Non. Les avertissements jaunes n'affectent pas la fonctionnalité du DNSSEC. Alibaba Cloud DNS utilise une résolution intelligente. Il est normal que l'adresse IP renvoyée par le DNS faisant autorité diffère de l'enregistrement d'adresse glue authentifié.

Pourquoi le DNSSEC échoue-t-il pour les enregistrements CNAME ?

Le DNSSEC valide les données via une chaîne de confiance. Pour les enregistrements CNAME, cette chaîne s'étend jusqu'au domaine cible, qui doit également avoir le DNSSEC activé. La validation échoue si le domaine cible ne dispose pas du DNSSEC.