Documentation Produit
ADC
14.1 - Current Release 13.1 13.0 12.1
Voir PDF

Configurer DNSSEC

August 11, 2023
Contributeur: 
C

Procédez comme suit pour configurer DNSSEC :

  1. Activez DNSSEC sur l’appliance NetScaler.
  2. Créez une clé de signature de zone et une clé de signature pour la zone.
  3. Ajoutez les deux clés à la zone.
  4. Signer la zone avec les clés.

L’appliance NetScaler n’agit pas en tant que résolveur DNSSEC. Le protocole DNSSEC sur l’ADC n’est pris en charge que dans les scénarios de déploiement suivants :

  1. ADNS : NetScaler est l’ADNS et génère lui-même les signatures.
  2. Proxy : NetScaler agit en tant que proxy DNSSEC. On suppose que le NetScaler est placé devant les serveurs ADNS/LDNS en mode sécurisé. L’ADC agit uniquement en tant qu’entité de mise en cache par proxy et ne valide aucune signature.

Activer et désactiver DNSSEC

Activez DNSSEC sur NetScaler pour que l’ADC réponde aux clients compatibles DNSSEC. Par défaut, DNSSEC est activé.

Vous pouvez désactiver la fonctionnalité DNSSEC si vous ne souhaitez pas que NetScaler réponde aux clients avec des informations spécifiques au DNSSEC.

Activer ou désactiver DNSSEC à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour activer ou désactiver DNSSEC et vérifier la configuration :

-  set dns parameter -dnssec ( ENABLED | DISABLED )
-  show dns parameter  
<!--NeedCopy-->

Exemple :

> set dns parameter -dnssec ENABLED
 Done
> show dns parameter
        DNS parameters:
        DNS retries: 5
         .
         .
         .
         DNSEC Extension: ENABLED
        Max DNS Pipeline Requests: 255
 Done

<!--NeedCopy-->

Activer ou désactiver DNSSEC à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS.
  2. Dans le volet d’informations, cliquez sur Modifier les paramètres DNS.
  3. Dans la boîte de dialogue Configurer les paramètres DNS, activez ou désactivez la case à cocher Activer l’extension DNSSEC.

Créer des clés DNS pour une zone

Pour chaque zone DNS que vous souhaitez signer, vous devez créer deux paires de clés asymétriques. Une paire, appelée clé de signature de zone (ZSK), est utilisée pour signer tous les ensembles d’enregistrements de ressources de la zone. La seconde paire est appelée clé de signature (KSK) et est utilisée pour signer uniquement les enregistrements de ressources DNSKEY de la zone.

Lorsque le ZSK et le KSK sont créés, le suffix.key est ajouté aux noms des composants publics des clés. Le suffix.private est ajouté aux noms de leurs composants privés. L’ajout se fait automatiquement.

NetScaler crée également un enregistrement de délégation de signature (DS) et ajoute le suffixe .ds au nom de l’enregistrement. Si la zone parent est une zone signée, vous devez publier l’enregistrement DS dans la zone parent pour établir la chaîne de confiance.

Lorsque vous créez une clé, celle-ci est stockée dans le /nsconfig/dns/ répertoire, mais elle n’est pas automatiquement publiée dans la zone. Après avoir créé une clé à l’aide de la create dns key commande, vous devez publier la clé de manière explicite dans la zone à l’aide de la add dns key commande. Le processus de génération d’une clé est distinct du processus de publication de la clé dans une zone afin de vous permettre d’utiliser d’autres moyens pour générer des clés. Par exemple, vous pouvez importer des clés générées par d’autres programmes de génération de clés (tels que bind-keygen) à l’aide de Secure FTP (SFTP), puis publier les clés dans la zone. Pour plus d’informations sur la publication d’une clé dans une zone, voir Publier une clé DNS dans une zone.

Effectuez les étapes décrites dans cette rubrique pour créer une clé de signature de zone, puis répétez les étapes pour créer une clé de signature de clé. L’exemple qui suit la syntaxe de commande crée d’abord une paire de clés de signature de zone pour la zone example.com. L’exemple utilise ensuite la commande pour créer une paire de clés de signature pour la zone.

À partir de la version 13.0 build 61.x, l’appliance NetScaler prend désormais en charge des algorithmes de chiffrement plus puissants, tels que RSASHA256 et RSASHA512, pour authentifier une zone DNS. Auparavant, seul l’algorithme RSASHA1 était pris en charge.

Création d’une clé DNS à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

create dns key -zoneName <string> -keyType <keyType> -algorithm <algorithm> -keySize <positive_integer> -fileNamePrefix <string>

Exemple :

> create dns key -zoneName example.com -keyType zsk -algorithm RSASHA256 -keySize 1024 -fileNamePrefix example.com.zsk.rsasha1.1024
File Name: /nsconfig/dns/example.com.zsk.rsasha1.1024.key (public); /nsconfig/dns/example.com.zsk.rsasha1.1024.private (private); /nsconfig/dns/example.com.zsk.rsasha1.1024.ds (ds)
This operation may take some time, Please wait...
 Done
> create dns key -zoneName example.com -keyType ksk -algorithm RSASHA512 -keySize 4096 -fileNamePrefix example.com.ksk.rsasha1.4096
File Name: /nsconfig/dns/example.com.ksk.rsasha1.4096.key (public); /nsconfig/dns/example.com.ksk.rsasha1.4096.private (private); /nsconfig/dns/example.com.ksk.rsasha1.4096.ds (ds)
This operation may take some time, Please wait...
 Done
<!--NeedCopy-->

Création d’une clé DNS à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS.
  2. Dans la zone de détails, cliquez sur Créer une clé DNS.

  3. Entrez les valeurs des différents paramètres et cliquez sur Créer.

    Création d'une clé DNS

    Remarque : Pour modifier le préfixe du nom de fichier d’une clé existante :

    • Cliquez sur la flèche à côté du bouton Parcourir .
    • Cliquez sur Local ou sur Appliance (selon que la clé existante est stockée sur votre ordinateur local ou dans le /nsconfig/dns/ répertoire de l’appliance)
    • Naviguez jusqu’à l’emplacement de la clé, puis double-cliquez sur la touche. La zone Préfixe du nom de fichier est remplie uniquement avec le préfixe de la clé existante. Modifiez le préfixe en conséquence.

Publier une clé DNS dans une zone

Une clé (clé de signature de zone ou clé de signature par clé) est publiée dans une zone en ajoutant la clé à l’appliance ADC. Une clé doit être publiée dans une zone avant de signer la zone.

Avant de publier une clé dans une zone, celle-ci doit être disponible dans le répertoire /nsconfig/dns/ . Si vous avez créé la clé DNS sur un autre ordinateur (par exemple, à l’aide du bind-keygen programme), assurez-vous que la clé est ajoutée au /nsconfig/dns/ répertoire. Publiez ensuite la clé dans la zone. Utilisez l’interface graphique ADC pour ajouter la clé au /nsconfig/dns/ répertoire. Vous pouvez également utiliser un autre programme pour importer la clé dans le répertoire, tel que le FTP sécurisé (SFTP).

Utilisez la add dns key commande pour chaque paire de clés publique-privée que vous souhaitez publier dans une zone donnée. Si vous avez créé une paire ZSK et une paire KSK pour une zone, utilisez la add dns key commande pour publier d’abord l’une des paires de clés de la zone. Répétez la commande pour publier l’autre paire de clés. Pour chaque clé que vous publiez dans une zone, un enregistrement de ressource DNSKEY est créé dans la zone.

L’exemple qui suit la syntaxe de commande publie d’abord la paire de clés de signature de zone (qui a été créée pour la zone example.com) dans la zone. L’exemple utilise ensuite la commande pour publier la paire de clés de signature dans la zone.

Publier une clé dans une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour publier une clé dans une zone et vérifier la configuration :

-  add dns key <keyName> <publickey> <privatekey> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns zone [<zoneName> | -type <type>]
<!--NeedCopy-->

Exemple :

> add dns key example.com.zsk example.com.zsk.rsasha1.1024.key example.com.zsk.rsasha1.1024.private
 Done
> add dns key example.com.ksk example.com.ksk.rsasha1.4096.key example.com.ksk.rsasha1.4096.private
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done
<!--NeedCopy-->

Publier une clé dans une zone DNS à l’aide de l’interface graphique

Accédez à Gestion du trafic > DNS > Clés.

Remarque : Pour la clé publique et la clé privée, pour ajouter une clé stockée sur votre ordinateur local, cliquez sur la flèche à côté du bouton Parcourir, cliquez sur Local, accédez à l’emplacement de la clé, puis double-cliquez sur la clé.

Configuration d’une clé DNS

Vous pouvez configurer les paramètres d’une clé qui a été publiée dans une zone. Vous pouvez modifier la période d’expiration, la période de notification et les paramètres de durée de vie (TTL) de la clé. Si vous modifiez la période d’expiration d’une clé, l’appliance signe automatiquement à nouveau tous les enregistrements de ressources de la zone contenant la clé. La nouvelle signature se produit si la zone est signée avec la clé en question.

Configurer une clé à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour configurer une clé et vérifier la configuration :

-  set dns key <keyName> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns key [<keyName>]
<!--NeedCopy-->

Exemple :

> set dns key example.com.ksk -expires 30 DAYS -notificationPeriod 3 DAYS -TTL 3600
 Done
> show dns key example.com.ksk
1)      Key Name: example.com.ksk
        Expires: 30 DAYS        Notification: 3 DAYS    TTL: 3600
        Public Key File: example.com.ksk.rsasha1.4096.key
        Private Key File: example.com.ksk.rsasha1.4096.private
 Done
<!--NeedCopy-->

Configuration d’une clé à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Clés.

  2. Dans le volet de détails, cliquez sur la touche que vous souhaitez configurer, puis cliquez sur Ouvrir.

  3. Dans la boîte de dialogue Configurer la clé DNS, modifiez les valeurs des paramètres suivants comme indiqué :

    • Expiration : Expire
    • Période de notification — notificationPeriod
    • TTL — TTL

  4. Cliquez sur OK.

Signer et annuler la signature d’une zone DNS

Pour sécuriser une zone DNS, vous devez signer la zone avec les clés qui y ont été publiées. Lorsque vous signez une zone, NetScaler crée un enregistrement de ressource Next Secure (NSEC) pour chaque nom de propriétaire. Il utilise ensuite la clé de signature pour signer le jeu d’enregistrements de ressources DNSKEY. Enfin, il utilise le ZSK pour signer tous les jeux d’enregistrements de ressources de la zone, y compris les jeux d’enregistrements de ressources DNSKEY et les jeux d’enregistrements de ressources NSEC. Chaque opération de signature génère une signature pour les ensembles d’enregistrements de ressources de la zone. La signature est capturée dans un nouvel enregistrement de ressource appelé enregistrement de ressource RRSIG.

Après avoir signé une zone, enregistrez la configuration.

Signer une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour signer une zone et vérifier la configuration :

-  sign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]
-  save config
<!--NeedCopy-->

Exemple :

> sign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY RRSIG NSEC
         Domain Name : ns1.example.com
                 Record Types : A RRSIG NSEC
         Domain Name : ns2.example.com
                 Record Types : A RRSIG
         Domain Name : ns2.example.com
                 Record Types : RRSIG NSEC
Done
> save config
 Done
<!--NeedCopy-->

Annuler la signature d’une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour annuler la signature d’une zone et vérifier la configuration :

-  unsign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]
<!--NeedCopy-->

Exemple :

> unsign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done
<!--NeedCopy-->

Signer ou annuler la signature d’une zone à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Zones.
  2. Dans le volet d’informations, cliquez sur la zone que vous souhaitez signer, puis cliquez sur Signer/Annuler la signature.
  3. Dans la boîte de dialogue Sign/Désigner la zone DNS, effectuez l’une des opérations suivantes :

    • Pour signer la zone, cochez les cases correspondant aux clés (clé de signature de zone et clé de signature de clé) avec lesquelles vous souhaitez signer la zone.

      Vous pouvez signer la zone à l’aide de plusieurs clés de signature de zone ou de plusieurs paires de clés de signature de zone.

    • Pour annuler la signature de la zone, décochez les cases correspondant aux clés (clé de signature de zone et clé de signature de clé) avec lesquelles vous souhaitez annuler la signature de la zone.

      Vous pouvez annuler la signature de la zone à l’aide de plusieurs clés de signature de zone ou de plusieurs paires de clés de signature de zone.

  4. Cliquez sur OK.

Afficher les enregistrements NSEC pour un enregistrement donné dans une zone

Vous pouvez consulter les enregistrements NSEC que NetScaler crée automatiquement pour chaque nom de propriétaire de la zone.

Afficher l’enregistrement NSEC pour un enregistrement donné dans une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour afficher l’enregistrement NSEC pour un enregistrement donné dans une zone :

show dns nsecRec [<hostName> | -type (ADNS | PROXY | ALL)]

Exemple :

> show dns nsecRec example.com
1)      Domain Name : example.com
        Next Nsec Name: ns1.example.com
        Record Types : NS SOA DNSKEY RRSIG NSEC
 Done
<!--NeedCopy-->

Afficher l’enregistrement NSEC pour un enregistrement donné dans une zone à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Enregistrements > Enregistrements sécurisés suivants.
  2. Dans le volet de détails, cliquez sur le nom de l’enregistrement pour lequel vous souhaitez consulter l’enregistrement NSEC. L’enregistrement NSEC correspondant à l’enregistrement que vous sélectionnez s’affiche dans la zone Détails.

Supprimer une clé DNS

Supprimez une clé de la zone dans laquelle elle est publiée lorsqu’elle a expiré ou si elle a été compromise. Lorsque vous supprimez une clé de la zone, la zone est automatiquement désignée avec la clé. La suppression de la clé à l’aide de cette commande ne supprime pas les fichiers clés présents dans le répertoire /nsconfig/dns/. Si les fichiers clés ne sont plus nécessaires, ils doivent être explicitement supprimés du répertoire.

Supprimer une clé de NetScaler à l’aide de la CLI

À l’invite de commandes, tapez la commande suivante pour supprimer une clé et vérifier la configuration :

-  rm dns key <keyName>
-  show dns key <keyName>
<!--NeedCopy-->

Exemple :

> rm dns key example.com.zsk
 Done
> show dns key example.com.zsk
ERROR: No such resource [keyName, example.com.zsk]

<!--NeedCopy-->

Supprimer une clé de NetScaler à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Clés.
  2. Dans le volet de détails, cliquez sur le nom de la clé que vous souhaitez supprimer de l’ADC, puis cliquez sur Supprimer.
Configurer DNSSEC
August 11, 2023
Contributeur: 
C
August 11, 2023
Contributeur: 
C

Dans cet article

Commentaires sur le site | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.