Citrix ADC

Configurer DNSSEC

Pour configurer DNSSEC, procédez comme suit :

  1. Activez DNSSEC sur l’appliance Citrix ADC.
  2. Créez une clé de signature de zone et une clé de signature de clé pour la zone.
  3. Ajoutez les deux touches à la zone.
  4. Signez la zone avec les clés.

L’appliance Citrix ADC n’agit pas en tant que résolveur DNSSEC. Le DNSSEC sur ADC est pris en charge uniquement dans les scénarios de déploiement suivants :

  1. ADNS : Citrix ADC est l’ADNS et génère les signatures elle-même.
  2. Proxy : Citrix ADC agit comme un proxy DNSSEC. Il est supposé que Citrix ADC est placé devant les serveurs ADNS/LDNS en mode approuvé. L’ADC agit uniquement comme une entité de mise en cache proxy et ne valide aucune signature.

Activer et désactiver DNSSEC

Activez DNSSEC sur Citrix ADC pour que ADC réponde aux clients prenant en charge DNSSEC. Par défaut, DNSSEC est activé.

Vous pouvez désactiver la fonctionnalité DNSSEC si vous ne souhaitez pas que Citrix ADC réponde aux clients avec des informations spécifiques à DNSSEC.

Activer ou désactiver DNSSEC à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour activer ou désactiver DNSSEC et vérifier la configuration :

-  set dns parameter -dnssec ( ENABLED | DISABLED )
-  show dns parameter  

Exemple :

> set dns parameter -dnssec ENABLED
 Done
> show dns parameter
        DNS parameters:
        DNS retries: 5
         .
         .
         .
         DNSEC Extension: ENABLED
        Max DNS Pipeline Requests: 255
 Done

Activer ou désactiver DNSSEC à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS.
  2. Dans le volet d’informations, cliquez sur Modifier les paramètres DNS.
  3. Dans la boîte de dialogue Configurer les paramètres DNS, activez ou désactivez la case à cocher Activer l’extension DNSSEC.

Créer des clés DNS pour une zone

Pour chaque zone DNS que vous souhaitez signer, vous devez créer deux paires de clés asymétriques. Une paire, appelée clé de signature de zone (ZSK), est utilisée pour signer tous les jeux d’enregistrements de ressources dans la zone. La deuxième paire est appelée clé de signature de clé (KSK) et est utilisée pour signer uniquement les enregistrements de ressources DNSKEY dans la zone.

Lorsque le ZSK et le KSK sont créés, suffix.key est ajouté aux noms des composants publics des clés. Lesuffix.private est ajouté aux noms de leurs composants privés. L’ajout se produit automatiquement.

Citrix ADC crée également un enregistrement Délégation Signer (DS) et ajoute le suffixe .ds au nom de l’enregistrement. Si la zone parent est une zone signée, vous devez publier l’enregistrement DS dans la zone parent pour établir la chaîne d’approbation.

Lorsque vous créez une clé, la clé est stockée dans le/nsconfig/dns/ répertoire, mais elle n’est pas publiée automatiquement dans la zone. Après avoir créé une clé à l’aide de lacreate dns key commande, vous devez explicitement publier la clé dans la zone à l’aide de laadd dns key commande. Le processus de génération d’une clé est distinct du processus de publication de la clé dans une zone pour vous permettre d’utiliser des moyens alternatifs pour générer des clés. Par exemple, vous pouvez importer des clés générées par d’autres programmes de génération de clés (tels quebind-keygen) à l’aide du protocole FTP sécurisé (SFTP), puis publier les clés dans la zone. Pour plus d’informations sur la publication d’une clé dans une zone, reportez-vous à la section Publier une clé DNS dans une zone.

Effectuez les étapes décrites dans cette rubrique pour créer une clé de signature de zone, puis répétez les étapes pour créer une clé de signature de clé. L’exemple suivant la syntaxe de commande crée d’abord une paire de clés de signature de zone pour la zone example.com. L’exemple utilise ensuite la commande pour créer une paire de clés de signature pour la zone.

À partir de la version 13.0 build 61.x, l’appliance Citrix ADC prend désormais en charge des algorithmes de crypto plus puissants, tels que RSASHA256 et RSASHA512, pour authentifier une zone DNS. Auparavant, seul l’algorithme RSASHA1 était pris en charge.

Créer une clé DNS à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

create dns key -zoneName <string> -keyType <keyType> -algorithm <algorithm> -keySize <positive_integer> -fileNamePrefix <string>

Exemple :

> create dns key -zoneName example.com -keyType zsk -algorithm RSASHA256 -keySize 1024 -fileNamePrefix example.com.zsk.rsasha1.1024
File Name: /nsconfig/dns/example.com.zsk.rsasha1.1024.key (public); /nsconfig/dns/example.com.zsk.rsasha1.1024.private (private); /nsconfig/dns/example.com.zsk.rsasha1.1024.ds (ds)
This operation may take some time, Please wait...
 Done
> create dns key -zoneName example.com -keyType ksk -algorithm RSASHA512 -keySize 4096 -fileNamePrefix example.com.ksk.rsasha1.4096
File Name: /nsconfig/dns/example.com.ksk.rsasha1.4096.key (public); /nsconfig/dns/example.com.ksk.rsasha1.4096.private (private); /nsconfig/dns/example.com.ksk.rsasha1.4096.ds (ds)
This operation may take some time, Please wait...
 Done

Créer une clé DNS à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS.
  2. Dans la zone de détails, cliquez sur Créer une clé DNS.
  3. Saisissez les valeurs des différents paramètres et cliquez sur Créer.

    Créer une clé DNS

    Remarque : Pour modifier le préfixe de nom de fichier d’une clé existante :

    • Cliquez sur la flèche en regard du bouton Parcourir.
    • Cliquez sur Local ou Appliance (selon que la clé existante est stockée sur votre ordinateur local ou dans le/nsconfig/dns/ répertoire de l’appliance)
    • Accédez à l’emplacement de la clé, puis double-cliquez sur la clé. La zone Préfixe de nom de fichier est renseignée avec uniquement le préfixe de la clé existante. Modifiez le préfixe en conséquence.

Publier une clé DNS dans une zone

Une clé (clé de signature de zone ou clé de signature de clé) est publiée dans une zone en ajoutant la clé à l’appliance ADC. Une clé doit être publiée dans une zone avant de signer la zone.

Avant de publier une clé dans une zone, la clé doit être disponible dans le répertoire /nsconfig/dns/. Si vous avez créé la clé DNS sur un autre ordinateur (par exemple, en utilisant lebind-keygen programme), assurez-vous que la clé est ajoutée au/nsconfig/dns/ répertoire. Ensuite, publiez la clé dans la zone. Utilisez l’interface graphique ADC pour ajouter la clé au/nsconfig/dns/ répertoire. Ou utilisez un autre programme pour importer la clé dans le répertoire, tel que le FTP sécurisé (SFTP).

Utilisez laadd dns key commande pour chaque paire de clés public-privé que vous souhaitez publier dans une zone donnée. Si vous avez créé une paire ZSK et une paire KSK pour une zone, utilisez laadd dns key commande pour publier d’abord l’une des paires de clés de la zone. Répétez la commande pour publier l’autre paire de clés. Pour chaque clé que vous publiez dans une zone, un enregistrement de ressource DNSKEY est créé dans la zone.

L’exemple suivant la syntaxe de commande publie d’abord la paire de clés de signature de zone (créée pour la zone exemple.com) dans la zone. L’exemple utilise ensuite la commande pour publier la paire de clés de signature dans la zone.

Publier une clé dans une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour publier une clé dans une zone et vérifier la configuration :

-  add dns key <keyName> <publickey> <privatekey> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns zone [<zoneName> | -type <type>]

Exemple :

> add dns key example.com.zsk example.com.zsk.rsasha1.1024.key example.com.zsk.rsasha1.1024.private
 Done
> add dns key example.com.ksk example.com.ksk.rsasha1.4096.key example.com.ksk.rsasha1.4096.private
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done

Publier une clé dans une zone DNS à l’aide de l’interface graphique

Accédez à Gestion du trafic > DNS > Clés.

Remarque : pour Clé publique et Clé privée, pour ajouter une clé stockée sur votre ordinateur local, cliquez sur la flèche en regard du bouton Parcourir, cliquez sur Local, accédez à l’emplacement de la clé, puis double-cliquez sur la clé.

Configurer une clé DNS

Vous pouvez configurer les paramètres d’une clé publiée dans une zone. Vous pouvez modifier la période d’expiration, la période de notification et les paramètres de durée de vie (TTL) de la clé. Si vous modifiez la période d’expiration d’une clé, l’appliance signe automatiquement à nouveau tous les enregistrements de ressources de la zone avec la clé. La nouvelle signature se produit si la zone est signée avec la clé particulière.

Configurer une clé à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour configurer une clé et vérifier la configuration :

-  set dns key <keyName> [-expires <positive_integer> [<units>]] [-notificationPeriod <positive_integer> [<units>]] [-TTL <secs>]
-  show dns key [<keyName>]

Exemple :

> set dns key example.com.ksk -expires 30 DAYS -notificationPeriod 3 DAYS -TTL 3600
 Done
> show dns key example.com.ksk
1)      Key Name: example.com.ksk
        Expires: 30 DAYS        Notification: 3 DAYS    TTL: 3600
        Public Key File: example.com.ksk.rsasha1.4096.key
        Private Key File: example.com.ksk.rsasha1.4096.private
 Done

Configurer une clé à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Clés.

  2. Dans le volet d’informations, cliquez sur la clé à configurer, puis cliquez sur Ouvrir.

  3. Dans la boîte de dialogue Configurer la clé DNS, modifiez les valeurs des paramètres suivants comme indiqué :

    • Expiration : Expire
    • Période de notification — notificationPeriod
    • TTL—TTL
  4. Cliquez sur OK.

Signer et supprimer la signature d’une zone DNS

Pour sécuriser une zone DNS, vous devez signer la zone avec les clés qui ont été publiées dans la zone. Lorsque vous signez une zone, Citrix ADC crée un enregistrement de ressource NSEC (Next Secure) pour chaque nom de propriétaire. Ensuite, il utilise la clé de signature pour signer le jeu d’enregistrements de ressources DNSKEY. Enfin, il utilise le ZSK pour signer tous les jeux d’enregistrements de ressources dans la zone, y compris les jeux d’enregistrements de ressources DNSKEY et les jeux d’enregistrements de ressources NSEC. Chaque opération de signe génère une signature pour les jeux d’enregistrements de ressources dans la zone. La signature est capturée dans un nouvel enregistrement de ressource appelé enregistrement de ressource RRSIG.

Après avoir signé une zone, enregistrez la configuration.

Signer une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour signer une zone et vérifier la configuration :

-  sign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]
-  save config

Exemple :

> sign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY RRSIG NSEC
         Domain Name : ns1.example.com
                 Record Types : A RRSIG NSEC
         Domain Name : ns2.example.com
                 Record Types : A RRSIG
         Domain Name : ns2.example.com
                 Record Types : RRSIG NSEC
Done
> save config
 Done

Désigner une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour désigner une zone et vérifier la configuration :

-  unsign dns zone <zoneName> [-keyName <string> ...]
-  show dns zone [<zoneName> | -type (ADNS | PROXY | ALL)]

Exemple :

> unsign dns zone example.com -keyName example.com.zsk example.com.ksk
 Done
> show dns zone example.com
         Zone Name : example.com
         Proxy Mode : NO
         Domain Name : example.com
                 Record Types : NS SOA DNSKEY
         Domain Name : ns1.example.com
                 Record Types : A
         Domain Name : ns2.example.com
                 Record Types : A
 Done

Signer ou désigner une zone à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Zones.
  2. Dans le volet d’informations, cliquez sur la zone à signer, puis cliquez sur Signer/Désigner.
  3. Dans la boîte de dialogue Sign/Désigner la zone DNS, effectuez l’une des opérations suivantes :
    • Pour signer la zone, activez les cases à cocher des clés (clé de signature de zone et clé de signature de clé) avec lesquelles vous souhaitez signer la zone.

      Vous pouvez signer la zone avec plus d’une clé de signature de zone ou une paire de clés de signature de clé.

    • Pour annuler la signature de la zone, désactivez les cases à cocher des clés (clé de signature de zone et clé de signature de clé) avec lesquelles vous souhaitez annuler la signature de la zone.

      Vous pouvez annuler la signature de la zone avec plus d’une clé de signature de zone ou paire de clés de signature de clé.

  4. Cliquez sur OK.

Afficher les enregistrements NSEC d’un enregistrement donné dans une zone

Vous pouvez afficher les enregistrements NSEC créés automatiquement par Citrix ADC pour chaque nom de propriétaire dans la zone.

Afficher l’enregistrement NSEC d’un enregistrement donné dans une zone à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour afficher l’enregistrement NSEC d’un enregistrement donné dans une zone :

show dns nsecRec [<hostName> | -type (ADNS | PROXY | ALL)]

Exemple :

> show dns nsecRec example.com
1)      Domain Name : example.com
        Next Nsec Name: ns1.example.com
        Record Types : NS SOA DNSKEY RRSIG NSEC
 Done

Afficher l’enregistrement NSEC pour un enregistrement donné dans une zone à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Enregistrements > Suivants enregistrements sécurisés.
  2. Dans le volet d’informations, cliquez sur le nom de l’enregistrement pour lequel vous souhaitez afficher l’enregistrement NSEC. L’enregistrement NSEC de l’enregistrement sélectionné s’affiche dans la zone Détails.

Supprimer une clé DNS

Supprimez une clé de la zone dans laquelle elle est publiée lorsque la clé a expiré ou si la clé a été compromise. Lorsque vous supprimez une clé de la zone, celle-ci est automatiquement désignée avec la clé. La suppression de la clé avec cette commande ne supprime pas les fichiers clés présents dans le répertoire /nsconfig/dns/. Si les fichiers clés ne sont plus nécessaires, ils doivent être explicitement supprimés du répertoire.

Supprimer une clé de Citrix ADC à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez la commande suivante pour supprimer une clé et vérifier la configuration :

-  rm dns key <keyName>
-  show dns key <keyName>

Exemple :

> rm dns key example.com.zsk
 Done
> show dns key example.com.zsk
ERROR: No such resource [keyName, example.com.zsk]

Supprimer une clé de Citrix ADC à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > DNS > Clés.
  2. Dans le volet d’informations, cliquez sur le nom de la clé que vous souhaitez supprimer de ADC, puis cliquez sur Supprimer.