Configurar DNSSEC

La configuración de DNSSEC implica habilitar DNSSEC en el dispositivo Citrix ADC, crear una clave de firma de zona y una clave de firma de clave para la zona, agregar las dos claves a la zona y, a continuación, firmar la zona con las claves.

El dispositivo Citrix ADC no actúa como un solucionador DNSSEC. DNSSEC en ADC solo se admite en los siguientes casos de implementación:

  1. ADNs: Citrix ADC es el ADNS y genera las firmas en sí.
  2. Proxy: Citrix ADC actúa como proxy DNSSEC. Se supone que Citrix ADC se coloca frente a los servidores ADNS/LDNS en un modo de confianza. El ADC actúa solo como una entidad de almacenamiento en caché de proxy y no valida ninguna firma.

Habilitar e inhabilitar DNSSEC

Debe habilitar DNSSEC en Citrix ADC para que el ADC responda a los clientes compatibles con DNSSEC. De forma predeterminada, DNSSEC está habilitado.

Puede inhabilitar la función DNSSEC si no desea que Citrix ADC responda a los clientes con información específica de DNSSEC.

Habilitar o inhabilitar DNSSEC mediante la CLI

En el símbolo del sistema, escriba los siguientes comandos para habilitar o inhabilitar DNSSEC y verificar la configuración:

-  set dns parameter -dnssec ( ENABLED | DISABLED )
-  show dns parameter  

Ejemplo:

> set dns parameter -dnssec ENABLED
 Done
> show dns parameter
        DNS parameters:
        DNS retries: 5
         .
         .
         .
         DNSEC Extension: ENABLED
        Max DNS Pipeline Requests: 255
 Done

Habilitar o inhabilitar DNSSEC mediante la interfaz gráfica de usuario

  1. Desplácese a Administración del tráfico > DNS.
  2. En el panel de detalles, haga clic en Cambiar configuración de DNS.
  3. En el cuadro de diálogo Configurar parámetros DNS, active o desactive la casilla de verificación Habilitar extensión DNSSEC.

Crear claves DNS para una zona

Para cada zona DNS que desee firmar, debe crear dos pares de claves asimétricas. Un par, llamado clave de firma de zona, se utiliza para firmar todos los conjuntos de registros de recursos en la zona. El segundo par se denomina clave de firma de claves y se utiliza para firmar solo los registros de recursos DNSKEY en la zona.

Cuando se crean la clave de firma de zona y la clave de firma de claves, el sufijo .key se anexa automáticamente a los nombres de los componentes públicos de las claves y el sufijo .private se anexa automáticamente a los nombres de sus componentes privados.

Además, Citrix ADC también crea un registro de Delegation Signer (DS) y anexa el sufijo .ds al nombre del registro. Si la zona principal es una zona firmada, debe publicar el registro DS en la zona principal para establecer la cadena de confianza.

Cuando crea una clave, la clave se almacena en el directorio /nsconfig/dns/, pero no se publica automáticamente en la zona. Después de crear una clave mediante el comando create dns key, debe publicar explícitamente la clave en la zona mediante el comando add dns key. El proceso de generación de una clave se ha separado del proceso de publicación de la clave en una zona para permitirle utilizar medios alternativos para generar claves. Por ejemplo, puede importar claves generadas por otros programas de generación de claves (como bind-keygen) mediante el Protocolo de transferencia segura de archivos (SFTP) y, a continuación, publicar las claves en la zona. Para obtener más información acerca de la publicación de una clave en una zona, consulte Publicar una clave DNS en una zona.

Realice los pasos descritos en este tema para crear una clave de firma de zona y, a continuación, repita los pasos para crear una clave de firma de clave. El ejemplo que sigue a la sintaxis del comando crea primero un par de claves de firma de zona para la zona example.com. A continuación, el ejemplo utiliza el comando para crear un par de claves de firma de claves para la zona.

Crear una clave DNS mediante la CLI

En el símbolo del sistema de Citrix ADC, escriba el siguiente comando para crear una clave DNS:

create dns key -zoneName <string> -keyType <keyType> -algorithm RSASHA1 -keySize <positive_integer> -fileNamePrefix <string>

Ejemplo:

> create dns key -zoneName example.com -keyType zsk -algorithm RSASHA1 -keySize 1024 -fileNamePrefix example.com.zsk.rsasha1.1024
File Name: /nsconfig/dns/example.com.zsk.rsasha1.1024.key (public); /nsconfig/dns/example.com.zsk.rsasha1.1024.private (private); /nsconfig/dns/example.com.zsk.rsasha1.1024.ds (ds)
This operation may take some time, Please wait...
 Done
> create dns key -zoneName example.com -keyType ksk -algorithm RSASHA1 -keySize 4096 -fileNamePrefix example.com.ksk.rsasha1.4096
File Name: /nsconfig/dns/example.com.ksk.rsasha1.4096.key (public); /nsconfig/dns/example.com.ksk.rsasha1.4096.private (private); /nsconfig/dns/example.com.ksk.rsasha1.4096.ds (ds)
This operation may take some time, Please wait...
 Done

Crear una clave DNS mediante la interfaz gráfica de usuario

  1. Desplácese a Administración del tráfico > DNS.
  2. En el área de detalles, haga clic en Crear clave DNS y cree una clave DNS.

    Nota: En Prefijo de nombre de archivo, si desea modificar el prefijo de nombre de archivo de una clave existente, haga clic en la flecha situada junto al botón Examinar, haga clic en Local o Dispositivo (dependiendo de si la clave existente está almacenada en el equipo local o en el directorio /nsconfig/dns/ del dispositivo), vaya a la ubicación de la clave y, a continuación, haga doble clic en ella. El cuadro Prefijo de nombre de archivo solo se rellena con el prefijo de la clave existente. Modifique el prefijo en consecuencia.

Publicar una clave DNS en una zona

Una clave (clave de firma de zona o clave de firma de clave) se publica en una zona agregando la clave al Citrix ADC. Una clave debe publicarse en una zona antes de firmar la zona.

Antes de publicar una clave en una zona, la clave debe estar disponible en el directorio /nsconfig/dns/. Por lo tanto, si utilizó otros medios para generar la clave, medios distintos del comando create dns key en Citrix ADC (por ejemplo, mediante el programa bind-keygen en otro equipo), asegúrese de que la clave se agrega al directorio /nsconfig/dns/ antes de publicar la clave en la zona.

Si la clave ha sido generada por otro programa, puede importarla a su equipo local y usar la utilidad de configuración de Citrix ADC para agregar la clave al directorio /nsconfig/dns/. O bien, puede utilizar otros medios para importar la clave al directorio, como el Protocolo de transferencia segura de archivos (SFTP).

Debe usar el comando add dns key para cada par de claves público-privadas que desee publicar en una zona determinada. Si ha creado un par de claves de firma de zona y un par de claves de firma de claves para una zona, utilice el comando add dns key para publicar primero uno de los pares de claves en la zona y, a continuación, repita el comando para publicar el otro par de claves. Para cada clave que publique en una zona, se crea un registro de recursos DNSKEY en la zona.

El ejemplo que sigue a la sintaxis del comando publica primero el par de claves de firma de zona (que se creó para la zona example.com) en la zona. A continuación, el ejemplo utiliza el comando para publicar el par Clave de firma de claves en la zona.

Publicar una clave en una zona mediante la CLI

En el símbolo del sistema, escriba el siguiente comando para publicar una clave en una zona y verificar la configuración:

-  add dns key <keyName> <publickey> <privatekey> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns zone [<zoneName> | -type <type>]

Ejemplo:

> add dns key example.com.zsk example.com.zsk.rsasha1.1024.key example.com.zsk.rsasha1.1024.private
 Done
> add dns key example.com.ksk example.com.ksk.rsasha1.4096.key example.com.ksk.rsasha1.4096.private
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done

Publicar una clave en una zona DNS mediante la interfaz gráfica de usuario

Desplácese a Administración de tráfico > DNS > Claves.

Nota: Para Clave pública y Clave privada, para agregar una clave almacenada en el equipo local, haga clic en la flecha situada junto al botón Examinar, haga clic en Local, busque la ubicación de la clave y, a continuación, haga doble clic en ella.

Configurar una clave DNS

Puede configurar los parámetros de una clave publicada en una zona. Puede modificar los parámetros de tiempo de caducidad, período de notificación y tiempo de vida (TTL) de la clave. Si cambia el período de tiempo de caducidad de una clave, Citrix ADC vuelve a firmar automáticamente todos los registros de recursos de la zona con la clave, siempre que la zona esté firmada con la clave concreta.

Configurar una clave mediante la CLI

En el símbolo del sistema, escriba el siguiente comando para configurar una clave y verificar la configuración:

-  set dns key <keyName> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns key [<keyName>]

Ejemplo:

> set dns key example.com.ksk -expires 30 DAYS -notificationPeriod 3 DAYS -TTL 3600
 Done
> show dns key example.com.ksk
1)      Key Name: example.com.ksk
        Expires: 30 DAYS        Notification: 3 DAYS    TTL: 3600
        Public Key File: example.com.ksk.rsasha1.4096.key
        Private Key File: example.com.ksk.rsasha1.4096.private
 Done

Configurar una clave mediante la interfaz gráfica de usuario

  1. Desplácese a Administración de tráfico > DNS > Claves.

  2. En el panel de detalles, haga clic en la clave que desea configurar y, a continuación, haga clic en Abrir.

  3. En el cuadro de diálogo Configurar clave DNS, modifique los valores de los siguientes parámetros como se muestra:

    • Caduca: Caduca
    • Notification Period—notificationPeriod
    • TTL—TTL
  4. Haga clic en Aceptar.

Firmar y anular la firma de una zona DNS

Para proteger una zona DNS, debe firmar la zona con las claves que se han publicado en la zona. Al firmar una zona, Citrix ADC crea un registro de recursos Next Secure (NSEC) para cada nombre de propietario. A continuación, utiliza la clave de firma de claves para firmar el conjunto de registros de recursos DNSKEY. Por último, utiliza la clave de firma de zona para firmar todos los conjuntos de registros de recursos de la zona, incluidos los conjuntos de registros de recursos DNSKEY y los conjuntos de registros de recursos NSEC. Cada operación de signo da como resultado una firma para los conjuntos de registros de recursos en la zona. La firma se captura en un nuevo registro de recursos denominado registro de recursos RRSIG.

Después de firmar una zona, debe guardar la configuración.

Firmar una zona mediante la CLI

En el símbolo del sistema, escriba el siguiente comando para firmar una zona y verificar la configuración:

-  sign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]
-  save config

Ejemplo:

> sign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY RRSIG NSEC
         Domain Name : ns1.example.com
                 Record Types : A RRSIG NSEC
         Domain Name : ns2.example.com
                 Record Types : A RRSIG
         Domain Name : ns2.example.com
                 Record Types : RRSIG NSEC
Done
> save config
 Done

Desfirmar una zona mediante la CLI

En el símbolo del sistema, escriba el siguiente comando para anular la firma de una zona y verificar la configuración:

-  unsign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]

Ejemplo:

> unsign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done

Firmar o anular la firma de una zona mediante la interfaz gráfica de usuario

  1. Vaya a Administración del tráfico > DNS > Zonas.
  2. En el panel de detalles, haga clic en la zona que desea firmar y, a continuación, haga clic en Firmar/desfirmar.
  3. En el cuadro de diálogo Firmar/anular la firma de la zona DNS, realice una de las acciones siguientes:
    • Para firmar la zona, active las casillas de verificación de las teclas (Clave de firma de zona y Clave de firma de claves) con las que desea firmar la zona.

      Puede firmar la zona con más de un par de claves de firma de zona o claves de firma de claves.

    • Para anular la firma de la zona, desactive las casillas de verificación de las teclas (Clave de firma de zona y Clave de firma de claves) con las que desea anular la firma de la zona.

      Puede anular la firma de la zona con más de un par de claves de firma de zona o claves de firma de claves.

  4. Haga clic en Aceptar.

Ver los registros NSEC de un registro dado en una zona

Puede ver los registros NSEC que Citrix ADC crea automáticamente para cada nombre de propietario en la zona.

Ver el registro NSEC de un registro dado en una zona mediante la CLI

En el símbolo del sistema, escriba el comando siguiente para ver el registro NSEC de un registro dado en una zona:

show dns nsecRec [<hostName> | -type (ADNS | PROXY | ALL)]

Ejemplo:

> show dns nsecRec example.com
1)      Domain Name : example.com
        Next Nsec Name: ns1.example.com
        Record Types : NS SOA DNSKEY RRSIG NSEC
 Done

Ver el registro NSEC para el registro dado en una zona mediante la interfaz gráfica de usuario

  1. Vaya a Administración del tráfico > DNS > Registros > Siguiente registros seguros.
  2. En el panel de detalles, haga clic en el nombre del registro para el que desea ver el registro NSEC. El registro NSEC del registro seleccionado se muestra en el área Detalles.

Quitar una clave DNS

Quitar una clave de la zona en la que se publica cuando la clave ha caducado o si la clave ha sido comprometida. Cuando quita una clave de la zona, la zona se desfirma automáticamente con la clave. Al quitar la clave con este comando no se eliminan los archivos de clave presentes en el directorio /nsconfig/dns/. Si los archivos clave ya no son necesarios, deben eliminarse explícitamente del directorio.

Quitar una clave del Citrix ADC mediante la CLI

En el símbolo del sistema, escriba el siguiente comando para quitar una clave y verificar la configuración:

-  rm dns key <keyName>
-  show dns key <keyName>

Ejemplo:

> rm dns key example.com.zsk
 Done
> show dns key example.com.zsk
ERROR: No such resource [keyName, example.com.zsk]

Elimine una clave del Citrix ADC mediante la interfaz gráfica de usuario

  1. Desplácese a Administración de tráfico > DNS > Claves.
  2. En el panel de detalles, haga clic en el nombre de la clave que desea quitar del ADC y, a continuación, haga clic en Quitar.