DNSSEC (Domain Name System Security Extensions), alan adınızın DNS kayıtlarına dijital imzalar ekler. Bu sayede çözümleyiciler sahte yanıtları tespit edip reddedebilir ve kullanıcılar her zaman gerçek hizmete ulaşır.
Nasıl çalışır?
DNSSEC, DNS sorgulama sürecini değiştirmez. Bunun yerine dijital imzalar ve bir güven zinciri kullanarak çözümleme sonuçlarının gerçek olduğunu doğrular.
Süreç iki aşamadan oluşur:
Yapılandırma aşaması (yönetici eylemi)
Alibaba Cloud DNS gibi yetkili DNS sağlayıcınızda DNSSEC özelliğini etkinleştirin. Sistem anahtarları oluşturur, tüm kayıtları imzalar ve genel anahtarın kriptografik parmak izi olan bir DS kaydı üretir.
DS kaydını alan adı kayıt kuruluşuna gönderin. Kayıt kuruluşu bu kaydı, üst düzey alan adı (TLD) resmi kayıt defteriyle (örneğin
.com) senkronize eder.
Bu işlem, genel anahtarınızı daha üst düzey bir yetkiliye kaydetmeye eşdeğerdir.
Doğrulama aşaması (otomatik)
Bir kullanıcı alan adını ziyaret ettiğinde DNSSEC uyumlu bir çözümleyici şu adımları izler:
.comTLD'sinden kayıtlı DS kaydını (resmi parmak izini) alır.Alan adının DNS sağlayıcısından mevcut genel anahtarı (DNSKEY) alır.
Genel anahtardan bir parmak izi hesaplar ve bunu DS kaydıyla karşılaştırır. Eşleşme durumunda çözümleyici yanıtı güvenilir kabul eder; aksi takdirde yanıtı reddeder.
Çözümleyici yalnızca doğrulanmış DNS verilerini döndürerek DNS önbellek zehirlenmesini ve ortadaki adam saldırılarını önler.
Yordam
Adım 1: DS kaydını alın
-
DNS hizmetiniz Alibaba Cloud üzerindeyse: Public Zone sayfasında hedef alan adını bulun ve sağ taraftaki DNSSEC Settings seçeneğine tıklayın. DNSSEC özelliğini etkinleştirdikten sonra DS kaydını yapılandırma sayfasından alın.
DNSSEC Settings seçeneği, İşlemler sütunundaki ⋮ (Diğer) menüsünde yer alır.
Yapılandırma sayfasında Key Tag, Algorithm, Digest Type ve Digest olmak üzere dört DS kaydı alanı gösterilir. DNSSEC'nin etkili olması için bu bilgileri alan adı kayıt kuruluşunuza gönderin. Public Key ve Flags değerlerini görüntülemek için More DS Record Information bölümünü genişletin.
DNS hizmetiniz Alibaba Cloud üzerinde değilse: DS kaydını DNS sağlayıcınızdan alın.
Adım 2: DS kaydını ekleyin
Domain List sayfasına gidin, hedef alan adını bulun ve Manage sütunundaki Actions seçeneğine tıklayın. DNSSEC Configurations sayfasında Add DS Record seçeneğine tıklayın.
DNS sağlayıcınızdan aldığınız DS verilerini girin ve Submit seçeneğine tıklayın.
Her alan adı en fazla sekiz DS kaydını destekler.
Adım 3: Yapılandırmayı doğrulayın
Önerilen doğrulama aracı: DNSViz
Alan adınızı girin ve analizi çalıştırın. Her düzeyde DS kayıtları görünüyorsa ve kırmızı hata kutusu yoksa DNSSEC düzgün çalışıyor demektir.
DNSSEC kayıtlarını yönetin
DS kayıtlarını senkronize edin
Bir alan adını Alibaba Cloud'a aktardıysanız ve önceki kayıt kuruluşunda DNSSEC yapılandırdıysanız DNSSEC Configurations sayfasına gidin ve Synchronize DS Record seçeneğine tıklayın. Bu işlem, mevcut DNSSEC kayıtlarınızı manuel giriş yapmadan Alibaba Cloud ile senkronize eder.
DNSSEC özelliğini devre dışı bırakın
Alan adının DNSSEC Configurations sayfasında DS kayıtlarını silin.
DNS sağlayıcınızın konsolunda DNSSEC özelliğini devre dışı bırakın.
Üretim ortamı önerileri
Ücretli DNS planınızın süresi doluyorsa ve yenilemeyi planlamıyorsanız öncelikle alan adı kayıt kuruluşunuzdaki DS kayıtlarını silin ve Alibaba Cloud DNS konsolunda DNSSEC özelliğini devre dışı bırakın. Aksi takdirde alan adı çözümlemesi başarısız olur.
Bir alan adını Alibaba Cloud hesapları arasında taşımak için Hesaplar Arası Alan Adı Aktarımı özelliğini kullanmadan önce alan adı kayıt kuruluşunuzdaki DS kayıtlarını silin ve Alibaba Cloud DNS konsolunda DNSSEC özelliğini devre dışı bırakın. Aksi takdirde alan adı çözümlemesi başarısız olur.
DNS barındırmayı Alibaba Cloud hesapları arasında taşımak için Hesaplar Arası DNS Çözümleme Aktarımı özelliğini kullanmadan önce alan adı kayıt kuruluşunuzdaki DS kayıtlarını silin ve Alibaba Cloud DNS konsolunda DNSSEC özelliğini devre dışı bırakın. Aksi takdirde alan adı çözümlemesi başarısız olur.
SSS
Alan adı aktarırken neden DNSSEC özelliğini devre dışı bırakmam gerekiyor?
Alan adı aktarmadan önce DNSSEC özelliğini devre dışı bırakın. DNSSEC, DNS yanıtlarını doğrulamak için alan adı kayıt kuruluşundaki DS kaydına güvenir. DS kaydını silmeden aktarım yaparsanız güven zinciri kopar ve özyinelemeli çözümleyiciler yanıtları reddeder; bu da hizmet kesintisine neden olur. Aktarım tamamlandıktan sonra DNSSEC özelliğini yeniden etkinleştirin.
Konsolda alan adım için DNSSEC Settings girişi neden eksik?
Alan adınızın TLD'si DNSSEC'yi desteklemiyor. Desteklenen TLD'ler: .com, .net, .cc, .tv, .name, .biz, .club, .cn ve .top. Domain Names konsolunda DNSSEC Settings seçeneği görünmüyorsa TLD'niz henüz desteklenmiyor demektir.