Configurer DNSSEC

La configuration de DNSSEC implique l’activation de DNSSEC sur l’appliance Citrix ADC, la création d’une clé de signature de zone et d’une clé de signature de clé pour la zone, l’ajout des deux clés à la zone, puis la signature de la zone avec les clés.

L’appliance Citrix ADC n’agit pas en tant que résolveur DNSSEC. Le DNSSEC sur ADC est pris en charge uniquement dans les scénarios de déploiement suivants :

  1. ADNS : Citrix ADC est l’ADNS et génère les signatures elle-même.
  2. Proxy : Citrix ADC agit comme un proxy DNSSEC. Il est supposé que Citrix ADC est placé devant les serveurs ADNS/LDNS en mode approuvé. L’ADC agit uniquement comme une entité de mise en cache proxy et ne valide aucune signature.

Activer et désactiver DNSSEC

Vous devez activer DNSSEC sur Citrix ADC pour que ADC réponde aux clients prenant en charge DNSSEC. Par défaut, DNSSEC est activé.

Vous pouvez désactiver la fonctionnalité DNSSEC si vous ne souhaitez pas que Citrix ADC réponde aux clients avec des informations spécifiques à DNSSEC.

Activer ou désactiver DNSSEC à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour activer ou désactiver DNSSEC et vérifier la configuration :

-  set dns parameter -dnssec ( ENABLED | DISABLED )
-  show dns parameter  

Exemple :

> set dns parameter -dnssec ENABLED
 Done
> show dns parameter
        DNS parameters:
        DNS retries: 5
         .
         .
         .
         DNSEC Extension: ENABLED
        Max DNS Pipeline Requests: 255
 Done

Activer ou désactiver DNSSEC à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS.
  2. Dans le volet d’informations, cliquez sur Modifier les paramètres DNS.
  3. Dans la boîte de dialogue Configurer les paramètres DNS, activez ou désactivez la case à cocher Activer l’extension DNSSEC.

Créer des clés DNS pour une zone

Pour chaque zone DNS que vous souhaitez signer, vous devez créer deux paires de clés asymétriques. Une paire, appelée clé de signature de zone, est utilisée pour signer tous les jeux d’enregistrements de ressources dans la zone. La deuxième paire est appelée clé de signature de clé et est utilisée pour signer uniquement les enregistrements de ressources DNSKEY dans la zone.

Lorsque la clé de signature de zone et la clé de signature de clé sont créées, le suffixe .key est automatiquement ajouté aux noms des composants publics des clés et le suffixe .private est automatiquement ajouté aux noms de leurs composants privés.

En outre, le Citrix ADC crée également un enregistrement Délégation Signer (DS) et ajoute le suffixe .ds au nom de l’enregistrement. Si la zone parent est une zone signée, vous devez publier l’enregistrement DS dans la zone parent pour établir la chaîne d’approbation.

Lorsque vous créez une clé, la clé est stockée dans le répertoire /nsconfig/dns/, mais elle n’est pas automatiquement publiée dans la zone. Après avoir créé une clé à l’aide de la commande create dns key, vous devez publier explicitement la clé dans la zone à l’aide de la commande add dns key. Le processus de génération d’une clé a été séparé du processus de publication de la clé dans une zone pour vous permettre d’utiliser d’autres moyens pour générer des clés. Par exemple, vous pouvez importer des clés générées par d’autres programmes de génération de clés (tels que bind-keygen) à l’aide du protocole SFTP (Secure File Transfer Protocol), puis publier les clés dans la zone. Pour plus d’informations sur la publication d’une clé dans une zone, reportez-vous à la section Publier une clé DNS dans une zone.

Suivez les étapes décrites dans cette rubrique pour créer une clé de signature de zone, puis répétez les étapes pour créer une clé de signature de clé. L’exemple suivant la syntaxe de commande crée d’abord une paire de clés de signature de zone pour la zone example.com. L’exemple utilise ensuite la commande pour créer une paire de clés de signature de clé pour la zone.

Créer une clé DNS à l’aide de l’interface de ligne de commande

À l’invite de commandes Citrix ADC, tapez la commande suivante pour créer une clé DNS :

create dns key -zoneName <string> -keyType <keyType> -algorithm RSASHA1 -keySize <positive_integer> -fileNamePrefix <string>

Exemple :

> create dns key -zoneName example.com -keyType zsk -algorithm RSASHA1 -keySize 1024 -fileNamePrefix example.com.zsk.rsasha1.1024
File Name: /nsconfig/dns/example.com.zsk.rsasha1.1024.key (public); /nsconfig/dns/example.com.zsk.rsasha1.1024.private (private); /nsconfig/dns/example.com.zsk.rsasha1.1024.ds (ds)
This operation may take some time, Please wait...
 Done
> create dns key -zoneName example.com -keyType ksk -algorithm RSASHA1 -keySize 4096 -fileNamePrefix example.com.ksk.rsasha1.4096
File Name: /nsconfig/dns/example.com.ksk.rsasha1.4096.key (public); /nsconfig/dns/example.com.ksk.rsasha1.4096.private (private); /nsconfig/dns/example.com.ksk.rsasha1.4096.ds (ds)
This operation may take some time, Please wait...
 Done

Créer une clé DNS à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS.
  2. Dans la zone de détails, cliquez sur Créer une clé DNS et créez une clé DNS.

    Remarque : pour Préfixe de nom de fichier, si vous souhaitez modifier le préfixe de nom de fichier d’une clé existante, cliquez sur la flèche en regard du bouton Parcourir, cliquez sur Local ou Appliance (selon que la clé existante est stockée sur votre ordinateur local ou dans le répertoire /nsconfig/dns/ de l’appliance), accédez à l’emplacement de la clé, puis double-cliquez sur la clé. La zone Préfixe de nom de fichier est remplie uniquement avec le préfixe de la clé existante. Modifiez le préfixe en conséquence.

Publier une clé DNS dans une zone

Une clé (clé de signature de zone ou clé de signature de clé) est publiée dans une zone en ajoutant la clé au Citrix ADC. Une clé doit être publiée dans une zone avant de signer la zone.

Avant de publier une clé dans une zone, celle-ci doit être disponible dans le répertoire /nsconfig/dns/. Par conséquent, si vous avez utilisé d’autres moyens pour générer la clé, c’est-à-dire des moyens autres que la commande create dns key sur Citrix ADC (par exemple, en utilisant le programme bind-keygen sur un autre ordinateur), assurez-vous que la clé est ajoutée au répertoire /nsconfig/dns/ avant de publier la clé dans la zone.

Si la clé a été générée par un autre programme, vous pouvez importer la clé sur votre ordinateur local et utiliser l’utilitaire de configuration Citrix ADC pour ajouter la clé au répertoire /nsconfig/dns/. Vous pouvez également utiliser d’autres moyens pour importer la clé dans le répertoire, tels que le protocole SFTP (Secure File Transfer Protocol).

Vous devez utiliser la commande add dns key pour chaque paire de clés public-privé que vous souhaitez publier dans une zone donnée. Si vous avez créé une paire de clés de signature de zone et une paire de clés de signature de clé pour une zone, utilisez la commande add dns key pour publier d’abord l’une des paires de clés dans la zone, puis répétez la commande pour publier l’autre paire de clés. Pour chaque clé que vous publiez dans une zone, un enregistrement de ressource DNSKEY est créé dans la zone.

L’exemple suivant la syntaxe de commande publie d’abord la paire de clés de signature de zone (créée pour la zone exemple.com) dans la zone. L’exemple utilise ensuite la commande pour publier la paire de clés de signature de clé dans la zone.

Publier une clé dans une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour publier une clé dans une zone et vérifier la configuration :

-  add dns key <keyName> <publickey> <privatekey> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns zone [<zoneName> | -type <type>]

Exemple :

> add dns key example.com.zsk example.com.zsk.rsasha1.1024.key example.com.zsk.rsasha1.1024.private
 Done
> add dns key example.com.ksk example.com.ksk.rsasha1.4096.key example.com.ksk.rsasha1.4096.private
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done

Publier une clé dans une zone DNS à l’aide de l’interface graphique

Accédez à Gestion du trafic > DNS > Clés.

Remarque : pour Clé publique et Clé privée, pour ajouter une clé stockée sur votre ordinateur local, cliquez sur la flèche en regard du bouton Parcourir, cliquez sur Local, accédez à l’emplacement de la clé, puis double-cliquez sur la clé.

Configurer une clé DNS

Vous pouvez configurer les paramètres d’une clé publiée dans une zone. Vous pouvez modifier la période d’expiration, la période de notification et les paramètres de durée de vie (TTL) de la clé. Si vous modifiez la période d’expiration d’une clé, Citrix ADC résigne automatiquement tous les enregistrements de ressources de la zone avec la clé, à condition que la zone soit actuellement signée avec la clé particulière.

Configurer une clé à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour configurer une clé et vérifier la configuration :

-  set dns key <keyName> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns key [<keyName>]

Exemple :

> set dns key example.com.ksk -expires 30 DAYS -notificationPeriod 3 DAYS -TTL 3600
 Done
> show dns key example.com.ksk
1)      Key Name: example.com.ksk
        Expires: 30 DAYS        Notification: 3 DAYS    TTL: 3600
        Public Key File: example.com.ksk.rsasha1.4096.key
        Private Key File: example.com.ksk.rsasha1.4096.private
 Done

Configurer une clé à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Clés.

  2. Dans le volet d’informations, cliquez sur la clé à configurer, puis cliquez sur Ouvrir.

  3. Dans la boîte de dialogue Configurer la clé DNS, modifiez les valeurs des paramètres suivants comme indiqué :

    • Expiration : Expire
    • Période de notification — notificationPeriod
    • TTL—TTL
  4. Cliquez sur OK.

Signer et supprimer la signature d’une zone DNS

Pour sécuriser une zone DNS, vous devez signer la zone avec les clés qui ont été publiées dans la zone. Lorsque vous signez une zone, Citrix ADC crée un enregistrement de ressource NSEC (Next Secure) pour chaque nom de propriétaire. Ensuite, il utilise la clé de signature de clé pour signer le jeu d’enregistrements de ressources DNSKEY. Enfin, il utilise la clé de signature de zone pour signer tous les jeux d’enregistrements de ressources de la zone, y compris les jeux d’enregistrements de ressources DNSKEY et les jeux d’enregistrements de ressources NSEC. Chaque opération de signe génère une signature pour les jeux d’enregistrements de ressources dans la zone. La signature est capturée dans un nouvel enregistrement de ressource appelé enregistrement de ressource RRSIG.

Après avoir signé une zone, vous devez enregistrer la configuration.

Signer une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour signer une zone et vérifier la configuration :

-  sign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]
-  save config

Exemple :

> sign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY RRSIG NSEC
         Domain Name : ns1.example.com
                 Record Types : A RRSIG NSEC
         Domain Name : ns2.example.com
                 Record Types : A RRSIG
         Domain Name : ns2.example.com
                 Record Types : RRSIG NSEC
Done
> save config
 Done

Désigner une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour désigner une zone et vérifier la configuration :

-  unsign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]

Exemple :

> unsign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done

Signer ou désigner une zone à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Zones.
  2. Dans le volet d’informations, cliquez sur la zone à signer, puis cliquez sur Signer/Désigner.
  3. Dans la boîte de dialogue Sign/Désigner la zone DNS, effectuez l’une des opérations suivantes :
    • Pour signer la zone, activez les cases à cocher des clés (Clé de signature de zone et Clé de signature de clé) avec lesquelles vous souhaitez signer la zone.

      Vous pouvez signer la zone avec plusieurs paires de clés de signature de zone ou de clé de signature de clé.

    • Pour désigner la zone, désactivez les cases à cocher des clés (Clé de signature de zone et Clé de signature de clé) avec lesquelles vous souhaitez désigner la zone.

      Vous pouvez désigner la zone avec plusieurs paires de clés de signature de zone ou de clé de signature de clé.

  4. Cliquez sur OK.

Afficher les enregistrements NSEC d’un enregistrement donné dans une zone

Vous pouvez afficher les enregistrements NSEC créés automatiquement par Citrix ADC pour chaque nom de propriétaire dans la zone.

Afficher l’enregistrement NSEC d’un enregistrement donné dans une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour afficher l’enregistrement NSEC d’un enregistrement donné dans une zone :

show dns nsecRec [<hostName> | -type (ADNS | PROXY | ALL)]

Exemple :

> show dns nsecRec example.com
1)      Domain Name : example.com
        Next Nsec Name: ns1.example.com
        Record Types : NS SOA DNSKEY RRSIG NSEC
 Done

Afficher l’enregistrement NSEC d’un enregistrement donné dans une zone à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Enregistrements > Enregistrements sécurisés suivants.
  2. Dans le volet d’informations, cliquez sur le nom de l’enregistrement pour lequel vous souhaitez afficher l’enregistrement NSEC. L’enregistrement NSEC de l’enregistrement sélectionné s’affiche dans la zone Détails.

Supprimer une clé DNS

Vous supprimez une clé de la zone dans laquelle elle est publiée lorsque la clé a expiré ou si la clé a été compromise. Lorsque vous supprimez une clé de la zone, celle-ci est automatiquement désignée avec la clé. La suppression de la clé avec cette commande ne supprime pas les fichiers clés présents dans le répertoire /nsconfig/dns/. Si les fichiers clés ne sont plus nécessaires, ils doivent être explicitement supprimés du répertoire.

Supprimer une clé de Citrix ADC à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour supprimer une clé et vérifier la configuration :

-  rm dns key <keyName>
-  show dns key <keyName>

Exemple :

> rm dns key example.com.zsk
 Done
> show dns key example.com.zsk
ERROR: No such resource [keyName, example.com.zsk]

Supprimer une clé de Citrix ADC à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Clés.
  2. Dans le volet d’informations, cliquez sur le nom de la clé que vous souhaitez supprimer de ADC, puis cliquez sur Supprimer.