Esegui la migrazione o il trasferimento delle zone con DNSSEC abilitato

Questa pagina descrive come eseguire la migrazione di una zona DNSSEC abilitata attivata presso il registrar del dominio tra Cloud DNS e altri provider di hosting DNS mantenendo la catena di attendibilità DNSSEC.

Per una panoramica concettuale di DNSSEC, consulta la panoramica di DNSSEC.

Prima di iniziare

La migrazione DNSSEC è complessa e richiede il coordinamento per eseguire la migrazione di una zona tra operatori senza interruzioni del servizio. Leggi la guida completa prima di trasferire o eseguire la migrazione di una zona. Ti consigliamo di testare il processo di migrazione su una zona meno critica prima di tentare la migrazione delle zone di produzione critiche.

Coordinati con gli operatori DNS e il registrar di domini

Per impedire ai resolver di convalida di trattare il dominio come non valido, devi coordinare la migrazione sia con gli operatori DNS sia con il registrar del dominio. Questo passaggio ti consente di stabilire e mantenere una catena di verità valida dalla zona principale alle chiavi gestite da entrambi gli operatori DNS durante la transizione.

Se il tuo registrar di dominio fornisce anche l'hosting DNS, devi coordinarti con il tuo registrar di dominio per eseguire la migrazione della catena di attendibilità DNSSEC. Se il registrar non supporta questa operazione, non puoi eseguire la migrazione dei server dei nomi mantenendo la catena di attendibilità DNSSEC.

Attendi la scadenza delle cache del resolver

Durante la migrazione, dopo aver apportato aggiornamenti critici ai record, attendi che le cache del resolver scadano. Questo passaggio impedisce gli errori di convalida causati da vecchi record memorizzati nella cache incoerenti con la zona aggiornata dopo la migrazione ai nuovi server DNS.

Limitazioni

La migrazione di una zona DNSSEC presenta le seguenti limitazioni:

  • Puoi eseguire la migrazione di una zona mantenendo la catena di attendibilità DNSSEC solo se il nuovo operatore e il nuovo registrar supportano la migrazione DNSSEC, inclusa l'importazione dei record DNSKEY, l'impostazione di più record DS e la prevenzione della rotazione automatica delle chiavi durante la migrazione.

  • Devi utilizzare lo stesso algoritmo in entrambi gli operatori, poiché le zone devono essere firmate con tutti gli algoritmi in uso. Per maggiori dettagli, consulta la sezione 2.2 della RFC 4035. Cloud DNS può firmare con un solo algoritmo alla volta. Non puoi modificare gli algoritmi durante la migrazione tra provider.

  • Devi essere in grado di importare i record DNSKEY da Cloud DNS nella zona dell'altro operatore e di firmare questi record con le chiavi dell'operatore. Cloud DNS consente di aggiungere record DNSKEY per le zone in modalità Transfer.

  • Devi essere in grado di aggiungere un secondo record DS da Cloud DNS alla zona principale. Il registrar o la zona principale deve consentire i record DS che corrispondono a chiavi pubbliche che non firmano alcun record nella zona secondaria.

  • Devi essere in grado di interrompere la rotazione automatica delle chiavi da parte del vecchio o del nuovo operatore per la zona fino al completamento della migrazione. Cloud DNS interrompe automaticamente rotazione della chiave per le zone in modalità Transfer.

Se il nuovo operatore non supporta la migrazione:

  1. Disattiva DNSSEC presso il tuo registrar.
  2. Esegui il trasferimento o la migrazione.
  3. Attiva DNSSEC.
  4. Attiva DNSSEC presso il tuo registrar.

Per una presentazione informativa su DNSSEC e trasferimenti di dominio e potenziali problemi, consulta DNS/DNSSEC e trasferimenti di dominio: sono compatibili?.

Migrazione tra operatori

L'approccio tecnico utilizzato da Cloud DNS per le migrazioni DNSSEC è la variante di rollover KSK con doppio DS descritta nell'Appendice D del documento RFC 6781, Approccio alternativo al rollover per gli operatori cooperativi.

La migrazione DNSSEC funziona senza lo scambio di chiavi private o firme tra gli operatori DNS. Invece, i server dei nomi esistenti e la zona principale prepubblicano i record firmati per le chiavi pubbliche del nuovo operatore, oltre a quelle del vecchio operatore. Analogamente, i nuovi server dei nomi pubblicano record firmati per le chiavi del vecchio operatore, oltre a quelle del nuovo operatore.

Queste chiavi dell'altro operatore sono firmate, creando una relazione di attendibilità tra i due operatori e la zona principale in modo che i resolver di convalida possano utilizzare i record di un operatore per convalidare le risposte dell'altro operatore. Questa procedura consente la transizione ai nuovi server dei nomi dell'operatore senza interruzioni.

Dopo la propagazione di questi record, i resolver possono convalidare le risposte di entrambi gli operatori durante il successivo periodo di transizione, mentre i nuovi record di delega del server dei nomi vengono propagati a tutte le cache dei resolver.

Dopo la propagazione dei record del server dei nomi aggiornati, puoi completare la migrazione. Puoi rimuovere la zona secondaria dai vecchi server DNS e rimuovere l'ancora di attendibilità dell'operatore precedente dalla zona principale.

Esegui la migrazione delle zone con firma DNSSEC a Cloud DNS

Prima di iniziare, esamina tutte le istruzioni. Devi anche verificare che il tuo provider supporti la migrazione. In caso contrario, non potrai eseguire la migrazione della zona utilizzando questa procedura.

Per eseguire la migrazione, segui questi passaggi:

  1. Interrompi tutta rotazione della chiave per la zona nel vecchio server dei nomi.

  2. Crea una nuova zona con firma DNSSEC nello stato DNSSEC Transfer. Lo stato Transfer interrompe rotazione della chiave e consente l'importazione di DNSKEY.

    Devi utilizzare gli stessi algoritmi in uso presso il fornitore esistente.

  3. Esporta i file zone non firmati e poi importali nella nuova zona.

    Segui le istruzioni del fornitore per esportare i dati delle zone.

    In questo passaggio puoi includere i DNSKEY, ma non altri tipi di record DNSSEC della zona esistente (CDS, CDNSKEY, NSEC, NSEC3, NSEC3PARAM o tipi RRSIG).

    Puoi importare le zone utilizzando il comando gcloud dns record-sets import.

  4. Recupera i record DNSKEY precedenti dal vecchio server dei nomi.

    Puoi anche utilizzare dig o delv per eseguire query sui record DNSKEY, ma devi verificare che le chiavi pubbliche restituite siano corrette e valide per la tua zona.

  5. Recupera i nuovi record DNSKEY da Cloud DNS. In modalità Transfer, i record DNSKEY vengono visualizzati come record normali nella zona.

  6. Aggiungi i record DNSKEY esistenti alla zona Cloud DNS oltre ai record DNSKEY generati automaticamente.

    Puoi anche importare i DNSKEY durante il passaggio 3 e saltare questo passaggio se il tuo fornitore esporta i DNSKEY insieme al resto dei dati della zona.

  7. Aggiungi i nuovi record DNSKEY da Cloud DNS alla zona nell'operatore esistente. Assicurati di firmare di nuovo la zona, se necessario.

  8. Aggiungi il record DS per la zona Cloud DNS al tuo registrar, oltre al record DS esistente.

  9. Attendi che i nuovi record vengano propagati e che quelli vecchi scadano da tutte le cache dei resolver. In caso contrario, i dati obsoleti potrebbero causare errori di convalida.

    Attendi che si verifichino tutte le seguenti condizioni:

    • I record vengono propagati a tutti i server dei nomi utilizzati dal vecchio operatore.

    • Il TTL del set di record NS della zona principale scade.

    • Il valore TTL del set di record DS della zona principale scade.

    • Il TTL del set di record NS della zona secondaria presso il vecchio operatore scade.

    • Il TTL del set di record DNSKEY della zona secondaria presso il vecchio operatore scade.

  10. Verifica che la zona sia pronta controllando che l'operatore precedente stia pubblicando tutti i record DNSKEY e che la zona principale stia pubblicando entrambi i record DS.

  11. Modifica le deleghe dei server dei nomi in modo che rimandino a Cloud DNS.

    Aggiorna i record dei server dei nomi presso il registrar con i server dei nomi Cloud DNS per la nuova zona.

  12. Attendi che i nuovi record del server dei nomi vengano propagati e che i vecchi record di delega scadano da tutte le cache dei resolver. In caso contrario, i dati obsoleti potrebbero causare errori di convalida.

    Attendi che si verifichino tutte le seguenti condizioni:

    • Il TTL del set di record NS della zona principale scade.

    • Il TTL del set di record NS della zona secondaria presso il vecchio operatore scade.

    Dopo questo passaggio, puoi interrompere in sicurezza la pubblicazione della zona presso il vecchio operatore.

  13. Rimuovi i record DNSKEY della vecchia zona aggiunti alla zona Cloud DNS.

  14. Modifica lo stato DNSSEC della zona da Transfer a On.

    Lo stato di trasferimento in uscita attiva la rotazione automatica delle chiavi per la zona. Le tue zone possono uscire in sicurezza dallo stato di trasferimento di DNSSEC dopo una settimana e non devono rimanere in questo stato per più di un mese o due.

  15. Rimuovi il record DS per la zona del vecchio operatore dal tuo registrar.

Esegui la migrazione delle zone con firma DNSSEC da Cloud DNS

Prima di iniziare la migrazione, esamina tutte le istruzioni. Devi anche verificare che il tuo provider supporti la migrazione. In caso contrario, non potrai eseguire la migrazione della zona utilizzando questa procedura.

Per eseguire la migrazione, segui questi passaggi:

  1. Modifica lo stato DNSSEC da On a Transfer. Questo passaggio interrompe rotazione della chiave.

  2. Esporta il file zone e importalo nel nuovo operatore.

    Puoi utilizzare gcloud dns record-sets export per esportare una zona.

    L'esportazione di una zona in modalità Transfer esporta anche i record DNSKEY da Cloud DNS. Se il tuo provider accetta DNSKEY in questo passaggio, puoi includerli ora e saltare i passaggi riportati di seguito che trasferiscono le chiavi pubbliche da Cloud DNS al nuovo provider.

  3. Firma la zona presso il nuovo provider.

    Devi utilizzare gli stessi algoritmi impiegati da Cloud DNS presso il nuovo provider.

    Devi interrompere rotazione della chiave per la zona sul nuovo server dei nomi fino al completamento della migrazione.

  4. Recupera i record DNSKEY da Cloud DNS. In modalità Transfer i record DNSKEY vengono visualizzati come record normali nella zona.

    Puoi anche utilizzare dig o delv per eseguire query sui server dei nomi Cloud DNS per i record DNSKEY, ma devi verificare che le chiavi pubbliche restituite siano corrette e valide per la tua zona.

  5. Recupera i nuovi record DNSKEY dal nuovo operatore.

    Per ottenere le chiavi, potrebbe essere necessario prima firmare la zona o configurare DNSSEC.

  6. Aggiungi i record DNSKEY di Cloud DNS alla zona del nuovo operatore, oltre ai record DNSKEY per la nuova zona.

  7. Aggiungi i record DNSKEY del nuovo operatore a Cloud DNS.

  8. Aggiungi il record DS per la zona del nuovo operatore al tuo registrar, oltre al record DS esistente di Cloud DNS.

  9. Attendi che i nuovi record vengano propagati e che quelli vecchi scadano da tutte le cache dei resolver. In caso contrario, i dati obsoleti potrebbero causare errori di convalida.

    Attendi che si verifichino tutte le seguenti condizioni:

    • Il TTL del set di record NS della zona principale scade.

    • Il valore TTL del set di record DS della zona principale scade.

    • Il TTL dell'insieme di record NS della zona Cloud DNS scade.

    • Il valore TTL dell'insieme di record DNSKEY della zona Cloud DNS scade.

    Puoi verificare che la zona sia pronta controllando che Cloud DNS stia pubblicando tutti i record DNSKEY e che la zona principale stia pubblicando entrambi i record DS.

  10. Esegui la migrazione delle deleghe dei server dei nomi in modo che rimandino al nuovo operatore.

    Aggiorna i record dei server dei nomi presso il registrar con i server dei nomi del nuovo operatore per la zona.

  11. Attendi che i nuovi record del server dei nomi vengano propagati e che i vecchi record di delega scadano da tutte le cache dei resolver. In caso contrario, i dati obsoleti potrebbero causare errori di convalida.

    Attendi la scadenza di tutti i seguenti elementi:

    • Il record NS della zona principale ha impostato il TTL.

    • Il TTL impostato per il record NS della zona Cloud DNS.

    Dopo questo passaggio, puoi eliminare in sicurezza la zona da Cloud DNS.

  12. Rimuovi i record DNSKEY di Cloud DNS aggiunti alla nuova zona.

  13. Rimuovi il record DS per Cloud DNS dal tuo registrar.

  14. Completa la migrazione al nuovo operatore, se necessario.

Se l'altro operatore DNS ha una procedura per la migrazione di una zona firmata DNSSEC, devi eseguire i passaggi in parallelo con questa procedura, dopo il passaggio 1.

Passaggi successivi