DNSSEC ja domeen: kuidas DNSSEC sisse lülitada

Mis on DNSSEC

Tavalise nimeteenuse vastustes ei ole mingit tõendit selle kohta, et need tulid õigest kohast. Kui keegi suudab end liikluse vahele seada, saab ta vastuse asendada oma serveri aadressiga. Külastaja satub valesse kohta, arvates, et on õigel veebisaidil.

DNSSEC lisab vastustele digitaalallkirja. Domeeni andmed allkirjastatakse privaatvõtmega ja nimeteenus kontrollib allkirja avaliku võtmega.

Sellest tekib küsimus: kust nimeteenus teab, et avalik võti on õige? Vastus on usaldusahel. Iga tase tagab madalama taseme võtme. Juurtsoon tagab fi-tsooni ja fi-tsoon tagab üksiku domeeni.

Seda tagatist nimetatakse DS-kirjeks. See on domeeni võtme sõrmejälg ja seda hoitakse ülemises tsoonis. DS-kirje on omaette kirjetüüp, samamoodi nagu A-, CNAME-, MX- ja TXT-kirjed, kuid see ei asu sinu domeeni enda tsoonis, vaid selle kohal.

Miks vajad meid, isegi kui nimeteenused on mujal

See on koht, mis üllatab kõige sagedamini.

Sinu domeeni DS-kirje ei ole sinu DNS-teenuses. See on fi-tsoonis, mida haldab Soome Transpordi- ja Sideamet Traficom. Sinna pääseb ainult domeeni registripidaja.

Kui sinu DNS-teenus on näiteks Cloudflare, hoolitseb see oma poole eest: allkirjastab andmed ja avaldab võtmed. Kuid see ei saa fi-tsooni midagi kirjutada. Viimane lüli jääb registripidajale.

Sama jaotus on tuttav juba nimeserverite vahetamisest. DNS-teenus käitab nimeservereid, kuid teave selle kohta, et sinu domeen kasutab just neid, on registris. DS-kirje toimib samamoodi.

Nii lülitad DNSSEC-i sisse

Kui nimeteenused on Nordwebis

Logi sisse oma kontole (minu konto), vali domeen ja lülita DNSSEC sisse. Allkirjastamise ja registrile teatamise eest hoolitseme meie. Kirjeid saad muuta samas vaates, vt DNS-seadete haldus.

Kui nimeteenused on mujal

1. Lülita DNSSEC sisse oma DNS-teenuse halduspaneelis. Cloudflare'is on see seade jaotise DNS all.
2. Seejärel näitab teenus DS-kirjet. Sellel on neli osa: võtme tunnus (key tag), algoritm, räsi tüüp (digest type) ja räsi (digest).
3. Saada kogu DS-kirje meile aadressile support@nordweb.fi ja ütle, millise domeeniga on tegu.
4. Kanname kirje registrisse ja anname teada, kui see kehtib.

Muudatus jõustub tavaliselt mõne tunniga.

Tähtis: anna meile teada, kui eemaldad DNSSEC-i

See on DNSSEC-i kõige levinum ja ebameeldivam viga, seega loe seda enne, kui selle sisse lülitad.

Kui eemaldad DNSSEC-i oma DNS-teenusest või vahetad DNS-teenust ega anna meile sellest teada, jääb registrisse vana DS-kirje, mis enam millelegi ei vasta. Siis lükkavad nimeteenused tagasi kõik sinu domeeni vastused. Veebisait ei avane ega liigu e-post ning serveris ei paista viga kuidagi välja.

Anna meile ette teada, siis eemaldame kirje samal ajal.

Kas DNSSEC tasub end ära

DNSSEC on tõeline edasiminek, kuid see ei ole kõigile kiireloomuline.

See kaitseb nimeteenuse vastuste võltsimise eest. See on päriselt kasutatav ründeviis, kuid harvem kui näiteks sissemurdmine aegunud sisuhaldussüsteemi kaudu.

Selle kasutuselevõtt nõuab ka hoolikust, sest vigane seadistus toob kogu domeeni maha. Kui sa pole kindel, kas seda vajad, küsi meilt.