Gestisci la configurazione DNSSEC

Questa pagina descrive come abilitare e disabilitare le estensioni di sicurezza del sistema DNS (Domain Name System Security Extensions) e verificare il deployment DNSSEC.

Per una panoramica concettuale delle DNSSEC, consulta la panoramica di DNSSEC.

Nota: non puoi abilitare o disabilitare le DNSSEC per le zone esistenti con più di 3000 set di record di risorse. Per firmare le zone di grandi dimensioni esistenti, valuta la possibilità di configurare una nuova zona con lo stesso nome DNS con DNSSEC abilitato, inserendola con i tuoi set di record di risorse in operazioni aggiuntive e modificando la delega in modo che punti al server dei nomi impostato per la nuova zona con DNSSEC abilitato.

Abilita DNSSEC per zone pubbliche gestite esistenti

Per abilitare le DNSSEC per le zone pubbliche gestite esistenti, segui questi passaggi.

Console

1. Nella console Google Cloud, vai alla pagina Cloud DNS.

   Vai a Cloud DNS

2. Fai clic sul nome della zona per cui vuoi abilitare le DNSSEC.

3. Nella pagina Dettagli zona, fai clic su Modifica.

4. Nella pagina Edit a DNS zone (Modifica zona DNS), fai clic su DNSSEC.

5. In DNSSEC, seleziona On.

6. Fai clic su Salva.

Lo stato DNSSEC selezionato per la zona viene visualizzato nella colonna DNSSEC della pagina Cloud DNS.

gcloud

Esegui questo comando:

gcloud dns managed-zones update EXAMPLE_ZONE \
    --dnssec-state on

Sostituisci EXAMPLE_ZONE con l'ID zona.

Terraform

resource "google_dns_managed_zone" "example" {
  name        = "example-zone-name"
  dns_name    = "example.com."
  description = "Example Signed Zone"
  dnssec_config {
    state = "on"
  }
}

Abilita DNSSEC durante la creazione delle zone

Per abilitare le DNSSEC durante la creazione di una zona, segui questi passaggi.

Console

1. Nella console Google Cloud, vai alla pagina Cloud DNS.

   Vai a Cloud DNS

2. Fai clic su Crea zona.

3. Nel campo Nome zona, inserisci un nome.

4. Nel campo Nome DNS, inserisci un nome.

5. In DNSSEC, seleziona On.

6. (Facoltativo) Aggiungi una descrizione.

7. Fai clic su Crea.

   

gcloud

Esegui questo comando:

gcloud dns managed-zones create EXAMPLE_ZONE \
    --description "Signed Zone" \
    --dns-name myzone.example.com \
    --dnssec-state on

Sostituisci EXAMPLE_ZONE con l'ID zona.

Verifica il deployment DNSSEC

Per verificare il corretto deployment della zona abilitata per DNSSEC, assicurati di aver inserito il record DS corretto nella zona padre. La risoluzione delle DNSSEC può non riuscire se si verifica una delle seguenti condizioni:

• La configurazione è errata o l'hai digitata in modo errato.
• Hai inserito il record DS errato nella zona principale.

Per verificare di avere la configurazione corretta e eseguire un controllo incrociato del record DS prima di inserirlo nella zona padre, utilizza i seguenti strumenti:

• DNSViz
• Debugger DNSSEC di Verisign
• Zonemaster

Puoi utilizzare il debugger Verisign DNSSEC e i siti Zonemaster per convalidare la configurazione DNSSEC prima di aggiornare il registrar con i server dei nomi Cloud DNS o il record DS. Un dominio configurato correttamente per le DNSSEC è example.com, visualizzabile utilizzando DNSViz.

Impostazioni TTL consigliate per le zone con firma DNSSEC

TTL è la durata (in secondi) di una zona con firma DNSSEC.

Importante: nelle zone abilitate per DNSSEC, evita TTL superiori a 259200 (3 giorni).

A differenza delle scadenze TTL, che sono relative al momento in cui un server dei nomi invia una risposta a una query, le firme DNSSEC scadono a un tempo assoluto fisso. I TTL configurati per più di una durata della firma possono portare molti client a richiedere record contemporaneamente alla scadenza della firma DNSSEC. I TTL brevi possono anche causare problemi ai resolver che convalidano le DNSSEC.

Per ulteriori suggerimenti sulla selezione del TTL, consulta le sezioni RFC 6781 sezione 4.4.1 Time Considerazioni e RFC 6781 Figura 11.

Nota: avere un TTL che sia almeno qualche volta inferiore al periodo di validità della firma evita i picchi di carico delle query.

Durante la lettura della sezione 4.4.1 di RFC 6781, tieni presente che molti parametri temporali della firma sono fissi da Cloud DNS e non puoi modificarli. Non puoi modificare i seguenti parametri (soggetto a modifiche senza preavviso o aggiornamenti del documento):

• Offset di inizio = 1 giorno
• Periodo di validità = 21 giorni
• Periodo per la nuova firma = 3 giorni
• Periodo di aggiornamento = 18 giorni
• Intervallo tremolio = 1⁄2 giorno (o ±6 ore)
• Validità minima della firma = aggiornamento - tremolio = 17,75 giorni = 1533600

Non devi mai utilizzare un TTL più lungo della validità minima della firma.

Disabilita DNSSEC per zone gestite

Importante: prima di disabilitare le DNSSEC per una zona gestita che vuoi utilizzare, devi disattivare le DNSSEC nel registrar di domini per assicurarti che i resolver con convalida DNSSEC possano comunque risolvere i nomi nella zona.

Dopo aver rimosso i record DS e atteso che scadano dalla cache, puoi utilizzare il seguente comando gcloud per disattivare le DNSSEC:

gcloud dns managed-zones update EXAMPLE_ZONE \
    --dnssec-state off

Sostituisci EXAMPLE_ZONE con l'ID zona.

Passaggi successivi

• Per ottenere informazioni su configurazioni DNSSEC specifiche, consulta Utilizzare le DNSSEC avanzate.
• Per lavorare con le zone gestite, consulta Creare, modificare ed eliminare zone.
• Per trovare soluzioni ai problemi comuni che potresti riscontrare quando utilizzi Cloud DNS, consulta Risoluzione dei problemi.
• Per una panoramica di Cloud DNS, consulta la panoramica di Cloud DNS.