Produktdokumentation
ADC
14.1 - Current Release 13.1 13.0 12.1
PDF anzeigen

Wartung der Zonen

August 15, 2023
Beitrag von: 
C

Aus Sicht von DNSSEC beinhaltet die Zonenwartung die Übertragung von Zone Signing Keys und Key Signing Keys, wenn der Schlüsselablauf unmittelbar bevorsteht. Diese Zonenverwaltungsaufgaben müssen manuell ausgeführt werden. Die Zone wird automatisch neu signiert und erfordert keinen manuellen Eingriff.

Eine aktualisierte Zone erneut signieren

Wenn eine Zone aktualisiert wird (einen Datensatz hinzufügen oder einen vorhandenen Datensatz ändern), signiert die Appliance den neuen (oder geänderten) Datensatz automatisch erneut. Wenn eine Zone mehrere Zonensignierschlüssel enthält, signiert die Appliance den neuen (oder geänderten) Datensatz erneut mit dem Schlüssel, der zum Signieren der Zone verwendet wurde.

Übertragen Sie DNSSEC-Schlüssel

Hinweis: Manuelles Übertragen der DNSSEC-Schlüssel (KSK, ZSK), bevor sie ablaufen.

Auf dem NetScaler können Sie die Methoden Prepublish und Double Signature verwenden, um einen Rollover des Zone Signing Key und des Key Signing Key durchzuführen. Weitere Informationen zu diesen beiden Rollover-Methoden finden Sie in RFC 4641, „DNSSEC Operational Practices“.

In den folgenden Themen werden Befehle auf dem ADC den Schritten der in RFC 4641 beschriebenen Rollover-Verfahren zugeordnet.

Die Schlüsselablaufbenachrichtigung wird über ein SNMP-Trap namens dnskeyExpiry gesendet. Drei MIB-Variablen, DNSKeyName, DNSKeyTimeToExpire und DNSKeyUnitsOfExpiry werden zusammen mit dem SNMP-Trap DNSKeyExpiry gesendet. Weitere Informationen finden Sie in der NetScaler SNMP OID Reference unter NetScaler 12.0 SNMP OID Reference.

Schlüsselrollover für die Vorveröffentlichung

RFC 4641, „DNSSEC Operational Practices“, definiert vier Stufen für die Rollover-Methode vor dem Veröffentlichen von Schlüsseln: erster, neuer DNSKEY, neue RRSIGs und DNSKEY-Entfernung. Jede Phase ist mit einer Reihe von Aufgaben verknüpft, die Sie auf dem ADC ausführen müssen. Im Folgenden finden Sie die Beschreibungen der einzelnen Phasen und der Aufgaben, die Sie ausführen müssen. Das hier beschriebene Rollover-Verfahren kann sowohl für Key Signing Keys als auch für Zone Signing Keys verwendet werden.

  • Stufe 1: Anfänglich. Die Zone enthält nur die Schlüsselsätze, mit denen die Zone aktuell signiert wurde. Der Status der Zone in der Anfangsphase ist der Zustand der Zone kurz bevor Sie mit dem Key-Rollover-Vorgang beginnen.

    Beispiel:

    Betrachten Sie den Schlüssel example.com.zsk1, mit dem die Zone example.com signiert ist. Die Zone enthält nur die RRSigs, die durch den Schlüssel example.com.zsk1 generiert wurden und dessen Ablauf fällig ist. Der Key Signing Key ist example.com.ksk1.

  • Stufe 2: Neuer DNSKEY. Ein neuer Schlüssel wird erstellt und in der Zone veröffentlicht. Das heißt, der Schlüssel wird dem ADC hinzugefügt, aber die Zone wird erst mit dem neuen Schlüssel signiert, wenn die Pre-Roll-Phase abgeschlossen ist. In dieser Phase enthält die Zone den alten Schlüssel, den neuen Schlüssel und die vom alten Schlüssel generierten RRSIGs. Wenn der neue Schlüssel für die gesamte Dauer der Pre-Roll-Phase veröffentlicht wird, erhält der DNSKEY-Ressourceneintrag, der der neuen Schlüsselzeit entspricht, bis er an die sekundären Nameserver weitergegeben wird.

    Beispiel:

    Der Zone example.com wird ein neuer Schlüssel example.com.zsk2 hinzugefügt. Die Zone wird erst mit example.com.zsk2 signiert, wenn die Pre-Roll-Phase abgeschlossen ist. Die Zone example.com enthält DNSKEY-Ressourceneinträge sowohl für example.com.zsk1 als auch für example.com.zsk2.

    NetScaler-Befehle:

    Führen Sie die folgenden Aufgaben auf dem ADC aus:

    • Erstellen Sie mit dem Befehl create dns key einen DNS-Schlüssel.

      Weitere Informationen zum Erstellen eines DNS-Schlüssels, einschließlich eines Beispiels, finden Sie unter Erstellen von DNS-Schlüsseln für eine Zone.

    • Veröffentlichen Sie den neuen DNS-Schlüssel in der Zone mithilfe desadd dns key Befehls.

      Weitere Informationen zum Veröffentlichen des Schlüssels in der Zone, einschließlich eines Beispiels, finden Sie unter Veröffentlichen eines DNS-Schlüssels in einer Zone.

  • Stufe 3: Neue RRSIGs. Die Zone ist mit dem neuen DNS-Schlüssel signiert und dann mit dem alten DNS-Schlüssel unsigniert. Der alte DNS-Schlüssel wird nicht aus der Zone entfernt und bleibt veröffentlicht, bis die vom alten Schlüssel generierten RRSIGs ablaufen.

    Beispiel:

    Die Zone ist mit example.com.zsk2 signiert und dann mit example.com.zsk1 unsigniert. Die Zone veröffentlicht weiterhin example.com.zsk1, bis die von example.com.zsk1 generierten RRSigs ablaufen.

    NetScaler-Befehle:

    Führen Sie die folgenden Aufgaben auf dem ADC aus:

    • Signieren Sie die Zone mit dem neuen DNS-Schlüssel, indem Sie den sign dns zone Befehl verwenden.
    • Heben Sie die Signatur der Zone mit dem alten DNS-Schlüssel mithilfe desunsign dns zone Befehls auf.

    Weitere Informationen zum Signieren und Aufheben einer Zone, einschließlich Beispielen, finden Sie unter Signieren und Aufheben der Unterzeichnung einer DNS-Zone.

  • Stufe 4: DNSKEY Entfernung. Wenn die vom alten DNS-Schlüssel generierten RRSIGs ablaufen, wird der alte DNS-Schlüssel aus der Zone entfernt.

    Beispiel:

    Der alte DNS-Schlüssel example.com.zsk1 wird aus der Zone example.com entfernt.

    NetScaler-Befehle

    Auf dem ADC entfernen Sie den alten DNS-Schlüssel mit dem Befehl rm dns key. Weitere Informationen zum Entfernen eines Schlüssels aus einer Zone, einschließlich eines Beispiels, finden Sie unter Entfernen eines DNS-Schlüssels.

Doppelte Signaturschlüssel Rollover

RFC 4641, „DNSSEC Operational Practices“, definiert drei Stufen für die Schlüsselübergabe mit doppelter Signatur: erster, neuer DNSKEY und Entfernung von DNSKEY. Jede Phase ist mit einer Reihe von Aufgaben verknüpft, die Sie auf dem ADC ausführen müssen. Im Folgenden finden Sie die Beschreibungen der einzelnen Phasen und der Aufgaben, die Sie ausführen müssen. Das hier beschriebene Rollover-Verfahren kann sowohl für Key Signing Keys als auch für Zone Signing Keys verwendet werden.

  • Stufe 1: Anfänglich. Die Zone enthält nur die Schlüsselsätze, mit denen die Zone aktuell signiert wurde. Der Status der Zone in der Anfangsphase ist der Zustand der Zone kurz bevor Sie mit dem Key-Rollover-Vorgang beginnen.

    Beispiel:

    Betrachten Sie den Schlüssel example.com.zsk1, mit dem die Zone example.com signiert ist. Die Zone enthält nur die RRSigs, die durch den Schlüssel example.com.zsk1 generiert wurden und dessen Ablauf fällig ist. Der Key Signing Key ist example.com.ksk1.

  • Stufe 2: Neuer DNSKEY. Der neue Schlüssel wird in der Zone veröffentlicht und die Zone wird mit dem neuen Schlüssel signiert. Die Zone enthält die RRSigs, die durch den alten und den neuen Schlüssel generiert werden. Die Mindestdauer, für die die Zone beide Gruppen von RRSIGs enthalten muss, ist die Zeit, die benötigt wird, bis alle RRSIGs ablaufen.

    Beispiel:

    Der Zone example.com wird ein neuer Schlüssel example.com.zsk2 hinzugefügt. Die Zone ist mit example.com.zsk2 signiert. Die Zone example.com enthält jetzt die RRSigs, die aus beiden Schlüsseln generiert wurden.

    NetScaler-Befehle

    Führen Sie die folgenden Aufgaben auf dem ADC aus:

    • Erstellen Sie mit dem Befehl create dns key einen DNS-Schlüssel.

      Weitere Informationen zum Erstellen eines DNS-Schlüssels, einschließlich eines Beispiels, finden Sie unter Erstellen von DNS-Schlüsseln für eine Zone.

    • Veröffentlichen Sie den neuen Schlüssel in der Zone mithilfe desadd dns key Befehls.

      Weitere Informationen zum Veröffentlichen des Schlüssels in der Zone, einschließlich eines Beispiels, finden Sie unter Veröffentlichen eines DNS-Schlüssels in einer Zone.

    • Signieren Sie die Zone mit dem neuen Schlüssel, indem Sie densign dns zone Befehl verwenden.

      Weitere Informationen zum Signieren einer Zone, einschließlich Beispielen, finden Sie unter Signieren und Aufheben einer DNS-Zone.

  • Stufe 3: DNSKEY Entfernung. Wenn die vom alten DNS-Schlüssel generierten RRSIGs ablaufen, wird der alte DNS-Schlüssel aus der Zone entfernt.

    Beispiel:

    Der alte DNS-Schlüssel example.com.zsk1 wird aus der Zone example.com entfernt.

    NetScaler-Befehle:

    Auf dem ADC entfernen Sie den alten DNS-Schlüssel mit dem Befehl rm dns key.

    Weitere Informationen zum Entfernen eines Schlüssels aus einer Zone, einschließlich eines Beispiels, finden Sie unter Entfernen eines DNS-Schlüssels.

Wartung der Zonen
August 15, 2023
Beitrag von: 
C
August 15, 2023
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.