DNSSEC-fähige Zonen migrieren oder übertragen

Auf dieser Seite wird beschrieben, wie Sie eine DNSSEC-fähige Zone migrieren, die beim Domain-Registrator zwischen Cloud DNS und anderen DNS-Hostinganbietern aktiviert ist, während die DNSSEC-Vertrauenskette beibehalten wird.

Eine konzeptionelle Übersicht über DNSSEC finden Sie in der DNSSEC-Übersicht.

Vorbereitung

Die DNSSEC-Migration ist komplex und erfordert eine Koordination, um eine Zone zwischen Operatoren zu migrieren, ohne Ausfälle zu verursachen. Lesen Sie diesen Leitfaden vollständig, bevor Sie eine Zone übertragen oder migrieren. Wir empfehlen Ihnen, den Migrationsprozess in einer weniger kritischen Zone zu testen, bevor Sie die Migration kritischer Produktionszonen ausprobieren.

Um zu verhindern, dass Resolver die Domain als ungültig behandeln, müssen Sie die Migration sowohl mit DNS-Operatoren als auch mit dem Domain-Registrator koordinieren. Dadurch wird eine gültige Vertrauenskette zwischen der übergeordneten Zone und den Schlüsseln eingerichtet und verwaltet, die von beiden DNS-Betreibern während der Umstellung verwaltet werden.

Wenn Ihr Domain-Registrator auch DNS-Hosting bereitstellt, müssen Sie sich mit Ihrem Domain-Registrator abstimmen, um die DNSSEC-Vertrauenskette zu migrieren. Wenn der Registrator diesen Vorgang nicht unterstützt, können Sie die Nameserver nicht migrieren und gleichzeitig die DNSSEC-Vertrauenskette beibehalten.

Warten Sie während der Migration nach den kritischen Datensatzaktualisierungen, bis die Resolver-Caches ablaufen. Dadurch werden Validierungsfehler verhindert, die durch alte im Cache gespeicherte Einträge verursacht wurden, die nach der Migration zu den neuen Nameservern mit der aktualisierten Zone inkonsistent sind.

Beschränkungen

Für die Migration einer DNSSEC-Zone gelten die folgenden Einschränkungen:

  • Sie können eine Zone nur migrieren, während die DNSSEC-Vertrauenskette beibehalten wird, wenn der neue Operator und Registrator die DNSSEC-Migration unterstützt. Dazu gehören das Importieren von DNSKEY-Einträgen, das Festlegen mehrerer DS-Einträge und das Verhindern einer automatischen Schlüsselrotation während der Migration.

  • Sie müssen bei beiden Operatoren den gleichen Algorithmus verwenden, da Zonen mit allen verwendeten Algorithmen signiert werden müssen. Weitere Informationen finden Sie unter RFC 4035, Abschnitt 2.2. Cloud DNS kann nur mit einem Algorithmus signiert werden. Sie können Algorithmen während der Migration zwischen Anbietern nicht ändern.

  • Sie müssen DNSKEY-Einträge aus Cloud DNS in die Zone des anderen Operators importieren und mit den Schlüsseln des Operators signieren lassen können. Cloud DNS ermöglicht das Hinzufügen von DNSKEY-Einträgen für Zonen im Modus Transfer.

  • Sie müssen einen zweiten DS-Eintrag aus Cloud DNS in die übergeordnete Zone einfügen können. Der Registrator oder die übergeordnete Zone muss DS-Einträge zulassen, die öffentlichen Schlüsseln entsprechen, die keine Einträge in der untergeordneten Zone signieren.

  • Sie müssen die automatische Schlüsselrotation durch den alten oder neuen Operator für die Zone stoppen können, bis die Migration abgeschlossen ist. Cloud DNS stoppt die Schlüsselrotation für Zonen im Transfer-Modus automatisch.

Wenn der neue Operator die Migration nicht unterstützt, gehen Sie so vor:

  1. Deaktivieren Sie DNSSEC bei Ihrem Registrator.
  2. Führen Sie die Übertragung oder Migration aus.
  3. Aktivieren Sie DNSSEC.
  4. Aktivieren Sie DNSSEC bei Ihrem Registrator.

Eine informative Präsentation zu DNSSEC und zur Domainübertragung und zu möglichen Fehlern finden Sie unter DNS/DNSSEC und Domainübertragungen: Sind sie kompatibel?

Migration zwischen Operatoren

Cloud DNS verwendet für DNSSEC-Migrationen als technischen Ansatz die in RFC 6781 Anhang D Alternativer Rollout-Ansatz für zusammenarbeitende Operatoren beschriebene Rollover-Variante Double-DS KSK.

Die DNSSEC-Migration funktioniert ohne den Austausch privater Schlüssel oder Signaturen zwischen DNS-Operatoren. Stattdessen vorveröffentlichen die vorhandenen Nameserver und die übergeordnete Zone signierte Datensätze für die öffentlichen Schlüssel des neuen Operators zusätzlich zu den öffentlichen Schlüsseln des alten Operators. Ebenso veröffentlichen die neuen Nameserver signierte Datensätze für die Schlüssel des alten Operators zusätzlich zu den Schlüsseln des neuen Operators.

Diese Schlüssel des anderen Operators werden signiert, um eine Vertrauensstellung zwischen den beiden Operatoren und der übergeordneten Zone herzustellen, sodass Validierungs-Resolver Datensätze von einem Operator verwenden können, um Antworten des anderen Operators zu validieren. Dies ermöglicht die Umstellung auf die neuen Operator-Nameserver ohne Unterbrechung.

Sobald diese Datensätze verteilt wurden, können Resolver während des nachfolgenden Übergangszeitraums Antworten von beiden Operatoren validieren, während die neuen Nameserver-Delegierungsdatensätze an alle Resolver-Caches weitergegeben werden.

Nachdem die aktualisierten Nameserver-Einträge weitergegeben wurden, können Sie die Migration abschließen. Sie können die untergeordnete Zone aus den alten Nameservern entfernen und den Trust-Anchor des alten Operators aus der übergeordneten Zone entfernen.

DNSSEC-signierte Zonen zu Cloud DNS migrieren

Lesen Sie zuerst alle Anleitungen. Sie müssen auch prüfen, ob Ihr Anbieter die Migration unterstützt. Andernfalls können Sie die Zone nicht mithilfe dieses Prozesses migrieren.

So führen Sie die Migration aus:

  1. Beenden Sie die gesamte Schlüsselrotation für die Zone auf dem alten Nameserver.

  2. Erstellen Sie eine neue DNSSEC-signierte Zone mit dem DNSSEC-Status Transfer. Der Status Transfer stoppt die Schlüsselrotation und ermöglicht den DNSKEY-Import.

    Sie müssen dieselben Algorithmen verwenden, die beim vorhandenen Anbieter verwendet werden.

  3. Exportieren Sie Ihre nicht signierten Zonendateien und importieren Sie sie dann in die neue Zone.

    Folgen Sie der Anleitung Ihres Anbieters zum Exportieren von Zonendaten.

    Sie können in diesem Schritt DNSKEYs einschließen. Schließen Sie aber keine anderen DNSSEC-Eintragstypen aus der vorhandenen Zone (CDS, CDNSKEY, NSEC, NSEC3, NSEC3PARAM oder RRSIG) ein.

    Sie können Zonen mit dem Befehl gcloud dns record-sets import importieren.

  4. Rufen Sie die vorherigen DNSKEY-Einträge vom alten Nameserver ab.

    Sie können auch dig oder delv verwenden, um DNSKEY-Einträge abzufragen. Sie müssen jedoch prüfen, ob die zurückgegebenen öffentlichen Schlüssel für Ihre Zone korrekt und gültig sind.

  5. Rufen Sie die neuen DNSKEY-Einträge aus Cloud DNS ab. Im Transfer-Modus werden DNSKEY-Einträge wie normale Einträge in der Zone angezeigt.

  6. Fügen Sie die vorhandenen DNSKEY-Einträge der Cloud DNS-Zone zusätzlich zu den automatisch generierten DNSKEY-Einträgen hinzu.

    Sie können in Schritt 3 auch DNSKEYs importieren und diesen Schritt überspringen, wenn Ihr Anbieter DNSKEYs zusammen mit den restlichen Zonendaten exportiert.

  7. Fügen Sie die neuen DNSKEY-Einträge aus Cloud DNS der Zone im vorhandenen Operator hinzu. Achten Sie darauf, die Zone bei Bedarf neu zu signieren.

  8. Fügen Sie Ihren DS-Eintrag für die Cloud DNS-Zone zusätzlich zum vorhandenen DS-Eintrag hinzu.

  9. Warten Sie, bis die neuen Datensätze weitergegeben wurden und alte Datensätze aus allen Resolver-Caches ablaufen. Andernfalls können veraltete Daten zu Validierungsfehlern führen.

    Warten Sie, bis Folgendes passiert:

    • Einträge werden an alle Nameserver weitergegeben, die vom alten Operator verwendet wurden.

    • Die TTL des übergeordneten NS-Eintragssatzes läuft ab.

    • Die TTL des übergeordneten DS-Eintagssatzes läuft ab.

    • Die TTL des untergeordneten NS-Eintragssatzes am alten Operator läuft ab.

    • Die TTL des untergeordneten DNSKEY-Datensatzes am alten Operator läuft ab.

  10. Prüfen Sie, ob die Zone bereit ist, indem Sie überprüfen, ob der alte Operator alle DNSKEY-Einträge und die übergeordnete Zone beide DS-Einträge bereitstellt.

  11. Ändern Sie die Delegierungen der Nameserver so, dass sie auf Cloud DNS verweisen.

    Aktualisieren Sie die Nameserver-Einträge beim Registrator auf die Cloud DNS-Nameserver für die neue Zone.

  12. Warten Sie, bis die neuen Nameserver-Einträge weitergegeben wurden und die alten Delegierungseinträge aus allen Resolver-Caches ablaufen. Andernfalls können veraltete Daten zu Validierungsfehlern führen.

    Warten Sie, bis Folgendes passiert:

    • Die TTL des übergeordneten NS-Eintragssatzes läuft ab.

    • Die TTL des untergeordneten NS-Eintragssatzes am alten Operator läuft ab.

    Nach diesem Schritt können Sie die Bereitstellung der Zone am alten Operator sicher beenden.

  13. Entfernen Sie die DNSKEY-Einträge der alten Zone, die der Cloud DNS-Zone hinzugefügt wurden.

  14. Ändern Sie den DNSSEC-Status der Zone von Transfer in On.

    Wenn Sie den Übertragungsstatus verlassen, wird die automatische Schlüsselrotation für die Zone aktiviert. Ihre Zonen können den DNSSEC-Übertragungsstatus nach einer Woche sicher verlassen und dürfen nicht länger als ein oder zwei Monate im DNSSEC-Übertragungsstatus verbleiben.

  15. Entfernen Sie den DS-Eintrag für die Zone des alten Operators von Ihrem Registrator.

DNSSEC-signierte Zonen von Cloud DNS migrieren

Lesen Sie vor der Migration alle Anleitungen. Sie müssen auch prüfen, ob Ihr Anbieter die Migration unterstützt. Andernfalls können Sie die Zone nicht mithilfe dieses Prozesses migrieren.

So führen Sie die Migration aus:

  1. Ändern Sie den DNSSEC-Status von On zu Transfer. Dadurch wird die Schlüsselrotation gestoppt.

  2. Exportieren Sie die Zonendatei und importieren Sie sie in den neuen Operator.

    Sie können gcloud dns record-sets export zum Exportieren einer Zone verwenden.

    Beim Exportieren einer Zone im Transfer-Modus werden auch DNSKEY-Einträge aus Cloud DNS exportiert. Wenn Ihr Anbieter in diesem Schritt DNSKEY akzeptiert, können Sie ihn jetzt hinzufügen und die folgenden Schritte überspringen, mit denen öffentliche Schlüssel von Cloud DNS an den neuen Anbieter übertragen werden.

  3. Signieren Sie die Zone beim neuen Anbieter.

    Sie müssen beim neuen Anbieter dieselben Algorithmen verwenden, die von Cloud DNS verwendet werden.

    Sie müssen die Schlüsselrotation für die Zone auf dem neuen Nameserver beenden, bis die Migration abgeschlossen ist.

  4. Rufen Sie die DNSKEY-Einträge aus Cloud DNS ab. Im Transfer-Modus werden DNSKEY-Einträge wie normale Einträge in der Zone angezeigt.

    Sie können auch dig oder delv verwenden, um die Cloud DNS-Nameserver nach DNSKEY-Einträgen abzufragen. Sie müssen jedoch prüfen, ob die zurückgegebenen öffentlichen Schlüssel für Ihre Zone korrekt und gültig sind.

  5. Rufen Sie die neuen DNSKEY-Einträge vom neuen Operator ab.

    Möglicherweise müssen Sie zuerst die Zone signieren oder DNSSEC konfigurieren, um Schlüssel abzurufen.

  6. Fügen Sie die Cloud DNS DNSKEY-Einträge in der Zone des neuen Operators zusätzlich zu den DNSKEY-Einträgen für die neue Zone hinzu.

  7. Fügen Sie Cloud DNS die DNSKEY-Einträge des neuen Operators hinzu.

  8. Fügen Sie den DS-Eintrag für die Zone des neuen Operators Ihrem Registrator zusätzlich zum vorhandenen DS-Eintrag aus Cloud DNS hinzu.

  9. Warten Sie, bis die neuen Datensätze weitergegeben wurden und alte Datensätze aus allen Resolver-Caches ablaufen. Andernfalls können veraltete Daten zu Validierungsfehlern führen.

    Warten Sie, bis Folgendes passiert:

    • Die TTL des übergeordneten NS-Eintragssatzes läuft ab.

    • Die TTL des übergeordneten DS-Eintagssatzes läuft ab.

    • Die TTL des Cloud DNS-Zonen-NS-Eintragssatzes läuft ab.

    • Die TTL des Cloud DNS-Zonen-DNSKEY-Eintragssatzes läuft ab.

    Sie können prüfen, ob die Zone bereit ist, indem Sie überprüfen, ob Cloud DNS alle DNSKEY-Einträge und die übergeordnete Zone beide DS-Einträge bereitstellt.

  10. Migrieren Sie die Nameserver-Delegierungen so, dass sie auf den neuen Operator verweisen.

    Aktualisieren Sie die Nameserver-Einträge beim Registrator auf die Nameserver des neuen Operators für die Zone.

  11. Warten Sie, bis die neuen Nameserver-Einträge weitergegeben wurden und die alten Delegierungseinträge aus allen Resolver-Caches ablaufen. Andernfalls können veraltete Daten zu Validierungsfehlern führen.

    Warten Sie, bis alle folgenden abgelaufen sind:

    • Die TTL des übergeordneten NS-Eintragssatzes.

    • Die TTL des Cloud DNS-Zonen-NS-Eintragssatzes.

    Nach diesem Schritt können Sie die Zone sicher aus Cloud DNS löschen.

  12. Entfernen Sie die Cloud DNS DNSKEY-Einträge, die der neuen Zone hinzugefügt wurden.

  13. Entfernen Sie den DS-Eintrag für Cloud DNS von Ihrem Registrator.

  14. Schließen Sie die Migration nach Bedarf am neuen Operator ab.

Wenn der andere DNS-Betreiber einen Prozess für die Migration einer DNSSEC-signierten Zone hat, müssen Sie nach diesem Schritt 1 die Schritte parallel ausführen.

Nächste Schritte

  • Informationen zu bestimmten DNSSEC-Konfigurationen finden Sie unter Erweitertes DNSSEC verwenden.
  • Informationen zum Erstellen, Aktualisieren, Auflisten und Löschen verwalteter Zonen finden Sie unter Zonen verwalten.
  • Informationen zu Lösungen für häufige Probleme, die bei der Verwendung von Cloud DNS auftreten können, finden Sie unter Fehlerbehebung.
  • Eine Übersicht über Cloud DNS finden Sie in der Cloud DNS-Übersicht.