Gestisci la configurazione DNSSEC

In questa pagina viene descritto come attivare e disattivare le estensioni DNSSEC (Domain Name System Security Extensions) e verificare il deployment di DNSSEC.

Per una panoramica concettuale delle DNSSEC, consulta la panoramica di DNSSEC.

Nota: non puoi abilitare o disabilitare le DNSSEC per le zone esistenti con più di 3000 set di record di risorse. Per firmare zone di grandi dimensioni esistenti, valuta la possibilità di configurare una nuova zona con lo stesso nome DNS con DNSSEC abilitato, completarla con i set di record di risorse in operazioni aggiuntive e modificare la delega in modo che punti al server dei nomi impostato per la nuova zona con DNSSEC abilitato.

Abilita DNSSEC per zone pubbliche gestite esistenti

Per abilitare le DNSSEC per le zone pubbliche gestite esistenti, segui questi passaggi.

Console

1. Nella console Google Cloud, vai alla pagina Cloud DNS.

   Vai a Cloud DNS

2. Fai clic sul nome della zona per cui vuoi abilitare le DNSSEC.

3. Nella pagina Dettagli zona, fai clic su Modifica.

4. Nella pagina Modifica una zona DNS, fai clic su DNSSEC.

5. In DNSSEC, seleziona On.

6. Fai clic su Salva.

Lo stato DNSSEC selezionato per la zona viene visualizzato nella colonna DNSSEC sulla pagina Cloud DNS.

gcloud

Esegui questo comando:

gcloud dns managed-zones update EXAMPLE_ZONE \
    --dnssec-state on

Sostituisci EXAMPLE_ZONE con l'ID zona.

Terraform

dns/managed_zone_with_dnssec/main.tf

Visualizza su GitHub Feedback

resource "google_dns_managed_zone" "example" {
  name        = "example-zone-name"
  dns_name    = "example.com."
  description = "Example Signed Zone"
  dnssec_config {
    state = "on"
  }
}

Abilita DNSSEC durante la creazione delle zone

Per abilitare le DNSSEC quando crei una zona, segui questi passaggi.

Console

1. Nella console Google Cloud, vai alla pagina Cloud DNS.

   Vai a Cloud DNS

2. Fai clic su Crea zona.

3. Nel campo Nome zona, inserisci un nome.

4. Nel campo Nome DNS, inserisci un nome.

5. In DNSSEC, seleziona On.

6. (Facoltativo) Aggiungi una descrizione.

7. Fai clic su Crea.

   

gcloud

Esegui questo comando:

gcloud dns managed-zones create EXAMPLE_ZONE \
    --description "Signed Zone" \
    --dns-name myzone.example.com \
    --dnssec-state on

Sostituisci EXAMPLE_ZONE con l'ID zona.

Verifica il deployment di DNSSEC

Per verificare il corretto deployment della zona abilitata per DNSSEC, assicurati di aver inserito il record DS corretto nella zona padre. La risoluzione delle DNSSEC può non riuscire se si verifica una delle seguenti condizioni:

• La configurazione è errata o non l'hai digitata correttamente.
• Hai inserito il record DS errato nella zona principale.

Per verificare la corretta configurazione e per eseguire un controllo incrociato del record DS prima di posizionarlo nella zona padre, utilizza i seguenti strumenti:

• DNSViz
• Debugger DNSSEC Verisign
• Zonemaster

Puoi utilizzare il debugger di DNSSEC Verisign e i siti Zonemaster per convalidare la configurazione DNSSEC prima di aggiornare il registrar con i server dei nomi Cloud DNS o il record DS. Un dominio configurato correttamente per le DNSSEC è example.com, visibile tramite DNSViz.

Impostazioni TTL consigliate per le zone con firma DNSSEC

TTL è la durata (in secondi) di una zona con firma DNSSEC.

Importante: nelle zone abilitate per DNSSEC, evita TTL superiori a 259.200 (3 giorni).

A differenza delle scadenze TTL, relative al momento in cui un server dei nomi invia una risposta a una query, le firme DNSSEC scadono a un tempo assoluto fisso. I TTL configurati più di una durata della firma possono portare molti client a richiedere record contemporaneamente alla scadenza della firma DNSSEC. TTL brevi possono anche causare problemi ai resolver che convalidano le DNSSEC.

Per ulteriori suggerimenti sulla selezione del TTL, consulta le sezioni RFC 6781 section 4.4.1 Time Considerations e RFC 6781 Figure 11.

Nota: se un TTL è almeno qualche volta inferiore al periodo di validità della firma, eviti picchi di carico delle query.

Durante la lettura della sezione 4.4.1 di RFC 6781, tieni presente che molti parametri relativi al tempo di firma vengono corretti da Cloud DNS e non puoi modificarli. Non puoi modificare i seguenti parametri (soggetto a modifiche senza preavviso o aggiornamenti del documento):

• Offset inizio = 1 giorno
• Periodo di validità = 21 giorni
• Periodo di firma = 3 giorni
• Periodo di aggiornamento = 18 giorni
• Intervallo jitter = 1⁄2 giorno (o ±6 ore)
• Validità minima della firma = aggiornamento – tremolio = 17,75 giorni = 1533600

Non devi mai utilizzare un TTL superiore alla validità minima della firma.

Disabilita DNSSEC per zone gestite

Importante: prima di disabilitare le DNSSEC per una zona gestita che vuoi utilizzare, devi disattivare DNSSEC sul registrar di domini per assicurarti che i resolver che convalidano le DNSSEC possano comunque risolvere i nomi nella zona.

Dopo aver rimosso i record DS e atteso la loro scadenza dalla cache, puoi utilizzare il seguente comando gcloud per disattivare le DNSSEC:

gcloud dns managed-zones update EXAMPLE_ZONE \
    --dnssec-state off

Sostituisci EXAMPLE_ZONE con l'ID zona.

Passaggi successivi

• Per informazioni su configurazioni DNSSEC specifiche, consulta Utilizzare le DNSSEC avanzate.
• Per lavorare con le zone gestite, consulta Creare, modificare ed eliminare zone.
• Per trovare soluzioni ai problemi comuni che potresti riscontrare quando utilizzi Cloud DNS, consulta Risoluzione dei problemi.
• Per una panoramica di Cloud DNS, consulta la panoramica di Cloud DNS.