Documentación de productos
ADC
14.1 - Current Release 13.1 13.0 12.1
Ver PDF

Configurar DNSSEC

December 5, 2023
Contribución de: 
C

Realice los siguientes pasos para configurar DNSSEC:

  1. Habilite DNSSEC en el dispositivo NetScaler.
  2. Cree una clave de firma de zona y una clave de firma clave para la zona.
  3. Añada las dos teclas a la zona.
  4. Firme la zona con las llaves.

El dispositivo NetScaler no actúa como un solucionador de DNSSEC. El DNSSEC en el ADC solo se admite en los siguientes casos de implementación:

  1. ADNS: NetScaler es el ADNS y genera las firmas por sí mismo.
  2. Proxy: NetScaler actúa como un proxy de DNSSEC. Se supone que el NetScaler se coloca delante de los servidores ADNS/LDNS en un modo confiable. El ADC actúa únicamente como una entidad de almacenamiento en caché proxy y no valida ninguna firma.

Habilitar y inhabilitar DNSSEC

Habilite DNSSEC en NetScaler para que el ADC responda a los clientes compatibles con DNSSEC. De forma predeterminada, DNSSEC está activado.

Puede inhabilitar la función DNSSEC si no desea que NetScaler responda a los clientes con información específica de DNSSEC.

Habilitar o inhabilitar DNSSEC mediante la CLI

En la línea de comandos, escriba los siguientes comandos para habilitar o inhabilitar DNSSEC y comprobar la configuración:

-  set dns parameter -dnssec ( ENABLED | DISABLED )
-  show dns parameter  
<!--NeedCopy-->

Ejemplo:

> set dns parameter -dnssec ENABLED
 Done
> show dns parameter
        DNS parameters:
        DNS retries: 5
         .
         .
         .
         DNSEC Extension: ENABLED
        Max DNS Pipeline Requests: 255
 Done

<!--NeedCopy-->

Habilitar o inhabilitar DNSSEC mediante la interfaz gráfica de usuario

  1. Vaya a Administración del tráfico > DNS.
  2. En el panel de detalles, haga clic en Cambiar la configuración de DNS.
  3. En el cuadro de diálogo Configurar parámetros de DNS, active o desactive la casilla Habilitar extensión DNSSEC.

Crear claves DNS para una zona

Para cada zona DNS que quiera firmar, debe crear dos pares de claves asimétricas. Un par, denominado clave de firma de zona (ZSK), se utiliza para firmar todos los conjuntos de registros de recursos de la zona. El segundo par se denomina clave de firma clave (KSK) y se usa para firmar solo los registros de recursos DNSKEY de la zona.

Cuando se crean el ZSK y el KSK, suffix.key se agrega a los nombres de los componentes públicos de las claves. Se adjunta suffix.private a los nombres de sus componentes privados. La adición se realiza automáticamente.

NetScaler también crea un registro de firmantes delegados (DS) y agrega el sufijo .ds al nombre del registro. Si la zona principal es una zona firmada, debe publicar el registro DS en la zona principal para establecer la cadena de confianza.

Al crear una clave, la clave se almacena en el directorio /nsconfig/dns/, pero no se publica automáticamente en la zona. Después de crear una clave mediante el comando create dns key, debe publicar explícitamente la clave en la zona mediante el comando add dns key. El proceso de generación de una clave es independiente del proceso de publicación de la clave en una zona para que pueda utilizar medios alternativos para generar claves. Por ejemplo, puede importar claves generadas por otros programas de generación de claves (comobind-keygen) mediante Secure FTP (SFTP) y, a continuación, publicar las claves en la zona. Para obtener más información sobre cómo publicar una clave en una zona, consulte Publicar una clave DNS en una zona.

Realice los pasos descritos en este tema para crear una clave de firma de zona y, a continuación, repita los pasos para crear una clave de firma de clave. El ejemplo que sigue a la sintaxis del comando crea primero un par de claves de firma de zona para la zona example.com. A continuación, el ejemplo usa el comando para crear un par de claves de firma de claves para la zona.

A partir de la versión 13.0, compilación 61.x, el dispositivo NetScaler ahora admite algoritmos criptográficos más sólidos, como RSASHA256 y RSASHA512, para autenticar una zona DNS. Anteriormente, solo se admitía el algoritmo RSASHA1.

Crear una clave DNS mediante la CLI

En la línea de comandos, escriba:

create dns key -zoneName <string> -keyType <keyType> -algorithm <algorithm> -keySize <positive_integer> -fileNamePrefix <string>

Ejemplo:

> create dns key -zoneName example.com -keyType zsk -algorithm RSASHA256 -keySize 1024 -fileNamePrefix example.com.zsk.rsasha1.1024
File Name: /nsconfig/dns/example.com.zsk.rsasha1.1024.key (public); /nsconfig/dns/example.com.zsk.rsasha1.1024.private (private); /nsconfig/dns/example.com.zsk.rsasha1.1024.ds (ds)
This operation may take some time, Please wait...
 Done
> create dns key -zoneName example.com -keyType ksk -algorithm RSASHA512 -keySize 4096 -fileNamePrefix example.com.ksk.rsasha1.4096
File Name: /nsconfig/dns/example.com.ksk.rsasha1.4096.key (public); /nsconfig/dns/example.com.ksk.rsasha1.4096.private (private); /nsconfig/dns/example.com.ksk.rsasha1.4096.ds (ds)
This operation may take some time, Please wait...
 Done
<!--NeedCopy-->

Crear una clave DNS mediante la interfaz gráfica de usuario

  1. Vaya a Administración del tráfico > DNS.
  2. En el área de detalles, haga clic en Crear clave DNS.

  3. Introduzca los valores de los distintos parámetros y haga clic en Crear.

    Crear una clave DNS

    Nota: Para modificar el prefijo del nombre de archivo de una clave existente:

    • Haga clic en la flecha situada junto al botón Examinar.
    • Haga clic en Local o Dispositivo (en función de si la clave existente está almacenada en el equipo local o en el directorio /nsconfig/dns/ del dispositivo)
    • Busque la ubicación de la clave y, a continuación, haga doble clic en ella. El cuadro Prefijo del nombre de archivo se rellena únicamente con el prefijo de la clave existente. Modifique el prefijo en consecuencia.

Publicar una clave DNS en una zona

Una clave (clave de firma de zona o clave de firma de clave) se publica en una zona añadiendo la clave a NetScaler. Se debe publicar una clave en una zona antes de firmarla.

Antes de publicar una clave en una zona, la clave debe estar disponible en el directorio /nsconfig/dns/. Si ha creado la clave DNS en otro equipo (por ejemplo, mediante el programa bind-keygen), asegúrese de agregar la clave al directorio /nsconfig/dns/. A continuación, publique la clave en la zona. Utilice la GUI de ADC para agregar la clave al directorio /nsconfig/dns/. O bien, utilice algún otro programa para importar la clave al directorio, como el FTP seguro (SFTP).

Utilice el comando add dns key para cada par de claves públicas y privadas que quiera publicar en una zona determinada. Si ha creado un par ZSK y un par KSK para una zona, utilice el comando add dns key para publicar primero uno de los pares de claves de la zona. Repita el comando para publicar el otro par de claves. Por cada clave que publique en una zona, se crea un registro de recursos DNSKEY en la zona.

El ejemplo que sigue a la sintaxis del comando publica primero el par de claves de firma de zona (que se creó para la zona example.com) en la zona. A continuación, el ejemplo usa el comando para publicar el par de claves de firma de claves en la zona.

Publicar una clave en una zona mediante la CLI

En la línea de comandos, escriba el siguiente comando para publicar una clave en una zona y comprobar la configuración:

-  add dns key <keyName> <publickey> <privatekey> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns zone [<zoneName> | -type <type>]
<!--NeedCopy-->

Ejemplo:

> add dns key example.com.zsk example.com.zsk.rsasha1.1024.key example.com.zsk.rsasha1.1024.private -expires 121 -TTL 5
 Done
> add dns key example.com.ksk example.com.ksk.rsasha1.4096.key example.com.ksk.rsasha1.4096.private -expires 121 -TTL 5
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done
<!--NeedCopy-->

Publicar una clave en una zona DNS mediante la interfaz gráfica de usuario

Vaya a Administración del tráfico > DNS > Claves.

Nota: Para la clave pública y la clave privada, para agregar una clave que esté almacenada en el equipo local, haga clic en la flecha situada junto al botón Examinar, haga clic en Local, busque la ubicación de la clave y, a continuación, haga doble clic en la clave.

Configurar una clave DNS

Puede configurar los parámetros de una clave que se ha publicado en una zona. Puede modificar el período de caducidad, el período de notificación y los parámetros de tiempo de vida (TTL) de la clave. Si cambia el período de caducidad de una clave, el dispositivo vuelve a firmar automáticamente todos los registros de recursos de la zona con la clave. La nueva firma se produce si la zona está firmada con una clave determinada.

Configurar una clave mediante la CLI

En la línea de comandos, escriba el siguiente comando para configurar una clave y comprobar la configuración:

-  set dns key <keyName> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns key [<keyName>]
<!--NeedCopy-->

Ejemplo:

> set dns key example.com.ksk -expires 30 DAYS -notificationPeriod 3 DAYS -TTL 3600
 Done
> show dns key example.com.ksk
1)      Key Name: example.com.ksk
        Expires: 30 DAYS        Notification: 3 DAYS    TTL: 3600
        Public Key File: example.com.ksk.rsasha1.4096.key
        Private Key File: example.com.ksk.rsasha1.4096.private
 Done
<!--NeedCopy-->

Configurar una clave mediante la interfaz gráfica

  1. Vaya a Administración del tráfico > DNS > Claves.

  2. En el panel de detalles, haga clic en la clave que quiera configurar y, a continuación, haga clic en Abrir.

  3. En el cuadro de diálogo Configurar clave DNS, modifique los valores de los siguientes parámetros como se muestra:

    • Caduca: caduca
    • Período de notificación: notificationPeriod
    • TTL—TTL

  4. Haga clic en Aceptar.

Firmar y anular la firma de una zona DNS

Para proteger una zona DNS, debe firmar la zona con las claves que se han publicado en la zona. Al firmar una zona, NetScaler crea un registro de recursos de Next Secure (NSEC) para cada nombre de propietario. A continuación, utiliza la clave de firma clave para firmar el conjunto de registros de recursos DNSKEY. Por último, utiliza el ZSK para firmar todos los conjuntos de registros de recursos de la zona, incluidos los conjuntos de registros de recursos DNSKEY y los conjuntos de registros de recursos NSEC. Cada operación de firma da como resultado una firma para los conjuntos de registros de recursos de la zona. La firma se captura en un nuevo registro de recursos denominado registro de recursos RRSIG.

Después de firmar una zona, guarde la configuración.

Firmar una zona mediante la CLI

En la línea de comandos, escriba el siguiente comando para firmar una zona y comprobar la configuración:

-  sign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]
-  save config
<!--NeedCopy-->

Ejemplo:

> sign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY RRSIG NSEC
         Domain Name : ns1.example.com
                 Record Types : A RRSIG NSEC
         Domain Name : ns2.example.com
                 Record Types : A RRSIG
         Domain Name : ns2.example.com
                 Record Types : RRSIG NSEC
Done
> save config
 Done
<!--NeedCopy-->

Anular la firma de una zona mediante la CLI

En la línea de comandos, escriba el siguiente comando para anular la firma de una zona y comprobar la configuración:

-  unsign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]
<!--NeedCopy-->

Ejemplo:

> unsign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done
<!--NeedCopy-->

Firmar o anular la firma de una zona mediante la interfaz gráfica

  1. Vaya a Administración del tráfico > DNS > Zonas.
  2. En el panel de detalles, haga clic en la zona que quiera firmar y, a continuación, en Firmar/anular firma.
  3. En el cuadro de diálogo Firmar/anular la zona DNS, realice una de las siguientes acciones:

    • Para firmar la zona, active las casillas de verificación de las claves (clave de firma de zona y clave de firma de clave) con las que desea firmar la zona.

      Puede firmar la zona con más de una clave de firma de zona o un par de claves de firma de claves.

    • Para anular la firma de la zona, desactive las casillas de verificación de las claves (clave de firma de zona y clave de firma de clave) con las que quiera anular la firma de la zona.

      Puede anular la firma de la zona con más de una clave de firma de zona o un par de claves de firma de claves.

  4. Haga clic en Aceptar.

Ver los registros NSEC de un registro determinado en una zona

Puede ver los registros NSEC que NetScaler crea automáticamente para cada nombre de propietario de la zona.

Ver el registro NSEC de un registro determinado en una zona mediante la CLI

En la línea de comandos, escriba el siguiente comando para ver el registro NSEC de un registro determinado de una zona:

show dns nsecRec [<hostName> | -type (ADNS | PROXY | ALL)]

Ejemplo:

> show dns nsecRec example.com
1)      Domain Name : example.com
        Next Nsec Name: ns1.example.com
        Record Types : NS SOA DNSKEY RRSIG NSEC
 Done
<!--NeedCopy-->

Ver el registro NSEC de un registro determinado en una zona mediante la interfaz gráfica de usuario

  1. Vaya a Administración del tráfico > DNS > Registros > Próximos registros seguros.
  2. En el panel de detalles, haga clic en el nombre del registro del que desea ver el registro NSEC. El registro NSEC del registro que seleccione se muestra en el área de detalles.

Eliminar una clave DNS

Elimine una clave de la zona en la que está publicada cuando la clave haya caducado o si la clave se ha visto comprometida. Cuando eliminas una clave de la zona, la zona se desfirma automáticamente con la clave. Al eliminar la clave con este comando, no se eliminan los archivos de clave presentes en el directorio /nsconfig/dns/. Si los archivos clave ya no son necesarios, deben eliminarse explícitamente del directorio.

Elimine una clave de NetScaler mediante la CLI

En la línea de comandos, escriba el siguiente comando para eliminar una clave y comprobar la configuración:

-  rm dns key <keyName>
-  show dns key <keyName>
<!--NeedCopy-->

Ejemplo:

> rm dns key example.com.zsk
 Done
> show dns key example.com.zsk
ERROR: No such resource [keyName, example.com.zsk]

<!--NeedCopy-->

Elimine una clave de NetScaler mediante la interfaz gráfica de usuario

  1. Vaya a Administración del tráfico > DNS > Claves.
  2. En el panel de detalles, haga clic en el nombre de la clave que quiera quitar del ADC y, a continuación, haga clic en Eliminar.

Revocar una clave DNS

Si bien la transferencia de claves suele programarse con antelación, a veces es necesario transferir la clave inmediatamente si se sospecha que la clave está en peligro. En esos casos, la clave comprometida debe eliminarse rápidamente antes de poder activar la nueva clave. Para garantizar una transición fluida, se recomienda mantener una clave secundaria lista, que se puede activar inmediatamente en caso de que la clave se vea comprometida. Al utilizar el método de revocación de clave, puede ahorrar tiempo al activar la clave secundaria y eliminar la clave comprometida.

Nota:

Si revoca la clave, permanecerá en el sistema a menos que la elimine de forma explícita. Dado que la opción de transferencia automática está configurada, el sistema transferirá automáticamente la clave después de la fecha de caducidad configurada si no la elimina manualmente. Durante el proceso de transferencia automática, se creará una nueva clave para que la utilices en función de sus necesidades.

Habilitar la revocación mediante la CLI

En el símbolo del sistema, escriba:

set dns key <keyName> [-revoke]

Ejemplo:

Establecer la clave dns secure.example.zsk -revoke

Habilitar la revocación mediante la GUI

  1. Vaya a Administración del tráfico > DNS > Claves.
  2. En el panel de detalles, haga clic en la clave que quiera configurar y, a continuación, haga clic en Abrir.
  3. En la página Configurar clave DNS, seleccione o desactive Revocar.
  4. Haga clic en OK.

Transferencia automática de llaves

En NetScaler, puede automatizar el proceso de transferencia de claves en función del período de frecuencia configurado. Al automatizar el proceso de transferencia, puede descartar la posibilidad de perder la transferencia de claves. NetScaler se encarga de crear claves , publicar, activar, firmar y anular la firma de la clave y eliminar la clave antigua automáticamente si la opción de transferencia automática está habilitada. Además, se envía una notificación SNMP sobre la adición, activación y eliminación de la clave anterior.

Nota:

Si el parámetro de transferencia de zona está habilitado en los sitios GSLB, las claves de transferencia se transfieren a todos los sitios GSLB.

Si vas a actualizar desde una compilación que no admite la transferencia de zona a una que sí la admite, habilita la función de transferencia para una clave existente. Antes de habilitar la opción de transferencia de claves, asegúrese de que la clave no haya caducado.

Configurar la transferencia automática de claves mediante la CLI

En la línea de comandos, escriba:

set dns key <keyName> [-autoRollover (ENABLED | DISABLED)] [-RolloverMethod <PrePublication | DoubleSignature | DoubleRRset>]
<!--NeedCopy-->

Ejemplo:

Set dns key secure.example.zsk – autoRollover Enabled -RolloverMethod Prepublication

Configurar la transferencia automática de claves mediante la GUI

  1. Vaya a Administración del tráfico > DNS > Claves.
  2. En el panel de detalles, haga clic en la clave que quiera configurar y, a continuación, haga clic en Abrir.
  3. En la página Configurar clave DNS, actualice los siguientes parámetros:
    • Transferencia automática: habilite la opción para automatizar la transferencia de claves.
    • Método de reinversión: seleccione un método de reinversión.
  4. Haga clic en OK.

Alarma SNMP

puede habilitar la alarma SNMP para los eventos de claves DNSSEC cuando la renovación automática está habilitada. Al habilitar una alarma SNMP, NetScaler genera la alarma correspondiente (DNSSEC-KEY-AUTOMGMT-STATUS-SUCCESS o DNSSEC-KEY-AUTOMGMT-STATUS-FAILURE) en función de si el evento se ha realizado correctamente o ha fallado. Por ejemplo, cuando crea una clave DNSSEC y el evento de creación se realiza correctamente, se genera una alarma DNSSEC-KEY-AUTOMGMT-STATUS-SUCCESS.

Para obtener más información sobre la alarma SNMP, consulte [Configuración de NetScaler para generar trampas SNMP] (/en-us/citrix-adc/current-release/system/snmp/generating-snmp-traps-on-citrix-adc.html)

Transferencia de zona DNS

Para sincronizar las claves DNSSEC con otros servidores DNS, debe habilitar el parámetro Zone Transfer. La sincronización de las claves de un servidor DNS con otros servidores DNS del sitio GSLB solo es posible si la opción AutomaticConfigSync está habilitada. Para obtener más información sobre la sincronización en tiempo real, consulte Sincronización en tiempo real entre sitios que participan en GSLB. La transferencia de zona DNS es posible en Netscaler, donde GSLB está configurado para cada servidor DNS en una ubicación diferente.

Para obtener más información sobre la sincronización, consulte Sincronizar la configuración en una configuración de GSLB.

La transferencia de zona DNS es posible en NetScaler, donde está configurado GSLB. Asegúrese de configurar GSLB para cada servidor DNS en una ubicación diferente.

Habilitar o inhabilitar la transferencia de zona mediante la CLI

En la línea de comandos, escriba:

set dns parameter - ZoneTransfer (ENABLED | DISABLED)

Ejemplo:

set dns parameter - ZoneTransfer ENABLED

Done
<!--NeedCopy-->

Habilitar o inhabilitar la transferencia de zonas mediante la GUI

  1. Vaya a Administración del tráfico > DNS.
  2. En el panel de detalles, en Configuración, haga clic en Cambiar la configuración de DNS.
  3. En la página Configurar parámetros de DNS, seleccione o desactive Zone Transfer.
Configurar DNSSEC
December 5, 2023
Contribución de: 
C
December 5, 2023
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.