Como assinar sua zona DNS Pública do Azure com DNSSEC

Este artigo mostra como assinar sua zona DNS com extensões de segurança do sistema de nomes de domínio (DNSSEC).

Para remover a assinatura DNSSEC de uma zona, consulte Como cancelar a assinatura da zona DNS Pública do Azure.

Pré-requisitos

• A zona DNS deve ser hospedada pelo DNS Público do Azure. Para obter mais informações, consulte Gerenciar zonas DNS.
• A zona DNS pai deve ser assinada com DNSSEC. A maioria dos principais domínios de nível superior (.com, .net, .org) já estão assinados.

Assinar uma zona com DNSSEC

Para proteger sua zona DNS com DNSSEC, você deve primeiro assinar a zona. O processo de assinatura de zona cria um registro de assinante de delegação (DS) que deve ser adicionado à zona pai.

Portal do Azure

Para assinar sua zona com DNSSEC usando o portal do Azure:

1. Na Home page do portal do Azure, procure e selecione zonas DNS.

2. Selecione sua zona DNS e, na página Visão geral da zona, selecione DNSSEC. Você pode selecionar DNSSEC no menu na parte superior ou em Gerenciamento de DNS.

   

3. Marque a caixa de seleção Ativar DNSSEC .

   

4. Quando lhe for pedido para confirmar que pretende ativar o DNSSEC, selecione OK.
   

   

5. Aguarde até que a assinatura da zona seja concluída. Depois que a zona for assinada, revise as informações de delegação do DNSSEC exibidas. Observe que o status é: Assinado, mas não delegado.

   

   Nota

   Se sua configuração de rede do Azure não permitir a verificação de delegação, a mensagem de delegação mostrada aqui será suprimida. Nesse caso, você pode usar um depurador DNSSEC público para verificar o status da delegação.

6. Copie as informações de delegação e use-as para criar um registro DS na zona pai.

   1. Se a zona pai for um domínio de nível superior (por exemplo: .com), você deverá adicionar o registro DS ao registrador. Cada registrar tem o seu próprio processo. O registrador pode solicitar valores como Key Tag, Algorithm, Digest Type e Key Digest. No exemplo mostrado aqui, esses valores são:

      Chave: 4535
      Algoritmo: 13
      Tipo de resumo: 2
      Resumo: 7A1C9811A965C46319D94D1D4BC6321762B632133F196F876C65802EC5089001

      Quando você fornece o registro DS ao registrador, o registrador adiciona o registro DS à zona pai, como a zona de Domínio de Nível Superior (TLD).

   2. Se você possui a zona pai, você mesmo pode adicionar um registro DS diretamente ao pai. O exemplo a seguir mostra como adicionar um registro DS ao adatum.com de zona DNS para a zona filho secure.adatum.com quando ambas as zonas são hospedadas usando o DNS Público do Azure:

      

   3. Se você não for o proprietário da zona pai, envie o registro DS para o proprietário da zona pai com instruções para adicioná-lo à sua zona.

7. Quando o registro DS tiver sido carregado para a zona pai, selecione a página de informações DNSSEC para sua zona e verifique se Assinado e delegação estabelecida é exibido. Sua zona DNS agora está totalmente assinada com DNSSEC.

   

   Nota

   Se sua configuração de rede do Azure não permitir a verificação de delegação, a mensagem de delegação mostrada aqui será suprimida. Nesse caso, você pode usar um depurador DNSSEC público para verificar o status da delegação.

CLI do Azure

1. Assinar uma zona usando a CLI do Azure:

# Ensure you are logged in to your Azure account
az login

# Select the appropriate subscription
az account set --subscription "your-subscription-id"

# Enable DNSSEC for the DNS zone
az network dns dnssec-config create --resource-group "your-resource-group" --zone-name "adatum.com"

# Verify the DNSSEC configuration
az network dns dnssec-config show --resource-group "your-resource-group" --zone-name "adatum.com"

2. Obtenha as informações de delegação e use-as para criar um registro DS na zona pai.

Você pode usar o seguinte comando da CLI do Azure para exibir as informações do registro DS:

az network dns zone show --name "adatum.com" --resource-group "your-resource-group" | jq '.signingKeys[] | select(.delegationSignerInfo != null) | .delegationSignerInfo'

Saída de exemplo:

  {
    "digestAlgorithmType": 2,
    "digestValue": "0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C",
    "record": "26767 13 2 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C"
  }

Como alternativa, você também pode obter informações de DS usando dig.exe na linha de comando:

dig adatum.com DS +dnssec

Saída de exemplo:

;; ANSWER SECTION:
adatum.com.        86400   IN      DS      26767 13 2 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C71 00EA776C

Nestes exemplos, os valores DS são:

• Chave: 26767
• Algoritmo: 13
• Tipo de resumo: 2
• Resumo: 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C

3. Se a zona pai for um domínio de nível superior (por exemplo: .com), você deverá adicionar o registro DS ao registrador. Cada registrar tem o seu próprio processo.

4. Se você possui a zona pai, você mesmo pode adicionar um registro DS diretamente ao pai. O exemplo a seguir mostra como adicionar um registro DS ao adatum.com de zona DNS para a zona filho secure.adatum.com quando ambas as zonas são assinadas e hospedadas usando o DNS Público do Azure:

az network dns record-set ds add-record --resource-group "your-resource-group" --zone-name "adatum.com" --record-set-name "secure" --key-tag <key-tag> --algorithm <algorithm> --digest <digest> --digest-type <digest-type>

5. Se você não for o proprietário da zona pai, envie o registro DS para o proprietário da zona pai com instruções para adicioná-lo à sua zona.

PowerShell

1. Assine e verifique sua zona usando o PowerShell:

# Connect to your Azure account (if not already connected)
Connect-AzAccount

# Select the appropriate subscription
Select-AzSubscription -SubscriptionId "your-subscription-id"

# Enable DNSSEC for the DNS zone
New-AzDnsDnssecConfig -ResourceGroupName "your-resource-group" -ZoneName "adatum.com"

# Verify the DNSSEC configuration
Get-AzDnsDnssecConfig -ResourceGroupName "your-resource-group" -ZoneName "adatum.com"

2. Obtenha as informações de delegação e use-as para criar um registro DS na zona pai.

Get-AzDnsDnssecConfig -ResourceGroupName "dns-rg" -ZoneName "adatum.com" | Select-Object -ExpandProperty SigningKey | Select-Object -ExpandProperty delegationSignerInfo

Saída de exemplo:

DigestAlgorithmType DigestValue                                                      Record
------------------- -----------                                                      ------
                  2 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C 26767 13 2 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C

Nestes exemplos, os valores DS são:

• Chave: 26767
• Algoritmo: 13
• Tipo de resumo: 2
• Resumo: 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C

3. Se a zona pai for um domínio de nível superior (por exemplo: .com), você deverá adicionar o registro DS ao registrador. Cada registrar tem o seu próprio processo.

4. Se você possui a zona pai, você mesmo pode adicionar um registro DS diretamente ao pai. O exemplo a seguir mostra como adicionar um registro DS ao adatum.com de zona DNS para a zona filho secure.adatum.com quando ambas as zonas são assinadas e hospedadas usando o DNS Público do Azure. Substitua <key-tag>, <algorithm<>, digest> e <digest-type> pelos valores apropriados do registro DS consultado anteriormente.

$dsRecord = New-AzDnsRecordConfig -DnsRecordType DS -KeyTag <key-tag> -Algorithm <algorithm> -Digest <digest> -DigestType <digest-type>
New-AzDnsRecordSet -ResourceGroupName "dns-rg" -ZoneName "adatum.com" -Name "secure" -RecordType DS -Ttl 3600 -DnsRecords $dsRecord

5. Se você não for o proprietário da zona pai, envie o registro DS para o proprietário da zona pai com instruções para adicioná-lo à sua zona.

Próximos passos

• Saiba como cancelar a assinatura de uma zona DNS.
• Saiba como hospedar a zona de pesquisa inversa para seu intervalo de IP atribuído pelo ISP no DNS do Azure.
• Saiba como gerenciar registros DNS reversos para seus serviços do Azure.