Как подписать общедоступную зону DNS Azure с помощью DNSSEC (предварительная версия)

В этой статье показано, как подписать зону DNS с помощью расширений безопасности системы доменных имен (DNSSEC).

Чтобы удалить подписывание DNSSEC из зоны, см. инструкции по отмене подписи общедоступной зоны DNS Azure.

Примечание.

Подписывание зоны DNSSEC в настоящее время находится в предварительной версии.
Юридические условия, применимые к функциям Azure, которые находятся в состоянии бета-версии, предварительной версии или иным образом еще не выпущены в общедоступной версии, см. на странице Дополнительные условия использования предварительных версий в Microsoft Azure.
Эта предварительная версия DNSSEC предлагается без необходимости регистрации в предварительной версии. С помощью Cloud Shell можно подписать или отменить подпись зоны с помощью Azure PowerShell или Azure CLI. Подписывание зоны с помощью портал Azure доступно в следующем обновлении портала.

Необходимые компоненты

• Зона DNS должна размещаться общедоступным DNS Azure. Дополнительные сведения см. в разделе "Управление зонами DNS".
• Родительская зона DNS должна быть подписана с помощью DNSSEC. Большинство основных доменов верхнего уровня (.com, .net, .org) уже подписаны.

Подписывая зону с помощью DNSSEC

Чтобы защитить зону DNS с помощью DNSSEC, необходимо сначала подписать зону. Процесс подписывания зоны создает запись подписи делегирования (DS), которая затем должна быть добавлена в родительскую зону.

Портал Azure

Чтобы подписать зону с помощью DNSSEC с помощью портал Azure:

1. На домашней странице портал Azure найдите и выберите зоны DNS.

2. Выберите зону DNS, а затем на странице обзора зоны выберите DNSSEC. Вы можете выбрать DNSSEC в меню в верхней части или в разделе "Управление DNS".

   

3. Установите флажок "Включить DNSSEC".

   

4. Когда появится запрос на подтверждение того, что вы хотите включить DNSSEC, нажмите кнопку "ОК".
   

   

5. Дождитесь завершения подписывания зоны. После подписания зоны просмотрите отображаемые сведения о делегировании DNSSEC. Обратите внимание, что состояние имеет значение: "Подписанный", но не делегированный.

   

6. Скопируйте сведения о делегировании и используйте его для создания записи DS в родительской зоне.

   1. Если родительская зона является доменом верхнего уровня (например, .com), необходимо добавить запись DS в регистраторе. У каждого регистратора есть собственный процесс. Регистратор может запрашивать такие значения, как тег ключа, алгоритм, тип дайджеста и дайджест ключа. В примере ниже приведены следующие значения:

      Ключевой тег: 4535
      Алгоритм: 13
      Тип дайджеста: 2
      Дайджест: 7A1C9811A965C46319D94D1D4BC6321762B63213F196F876C65802EC5089001

      При предоставлении записи DS регистратору регистратор добавляет запись DS в родительскую зону, например зону домена верхнего уровня (TLD).

   2. Если вы владеете родительской зоной, вы можете добавить запись DS непосредственно в родитель. В следующем примере показано, как добавить запись DS в зону DNS adatum.com для дочерней зоны secure.adatum.com, если обе зоны размещаются с помощью Общедоступного DNS Azure:

      

   3. Если вы не владеете родительской зоной, отправьте запись DS владельцу родительской зоны с инструкциями, чтобы добавить ее в свою зону.

7. Когда запись DS была отправлена в родительскую зону, выберите страницу сведений DNSSEC для зоны и убедитесь, что установлен подписанный и делегирование. Теперь ваша зона DNS полностью подписана DNSSEC.

   

Azure CLI

1. Подписыв зону с помощью Azure CLI, выполните следующие действия.

# Ensure you are logged in to your Azure account
az login

# Select the appropriate subscription
az account set --subscription "your-subscription-id"

# Enable DNSSEC for the DNS zone
az network dns dnssec-config create --resource-group "your-resource-group" --zone-name "adatum.com"

# Verify the DNSSEC configuration
az network dns dnssec-config show --resource-group "your-resource-group" --zone-name "adatum.com"

2. Получите сведения о делегировании и используйте его для создания записи DS в родительской зоне.

Для отображения сведений о записи DS можно использовать следующую команду Azure CLI:

az network dns zone show --name "adatum.com" --resource-group "your-resource-group" | jq '.signingKeys[] | select(.delegationSignerInfo != null) | .delegationSignerInfo'

Образец вывода:

  {
    "digestAlgorithmType": 2,
    "digestValue": "0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C",
    "record": "26767 13 2 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C"
  }

Кроме того, можно получить сведения DS с помощью dig.exe в командной строке:

dig adatum.com DS +dnssec

Образец вывода:

;; ANSWER SECTION:
adatum.com.        86400   IN      DS      26767 13 2 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C71 00EA776C

В этих примерах значения DS:

• Ключевой тег: 26767
• Алгоритм: 13
• Тип дайджеста: 2
• Дайджест: 0B9E68FC171B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C

3. Если родительская зона является доменом верхнего уровня (например, .com), необходимо добавить запись DS в регистраторе. У каждого регистратора есть собственный процесс.

4. Если вы владеете родительской зоной, вы можете добавить запись DS непосредственно в родитель. В следующем примере показано, как добавить запись DS в зону DNS adatum.com для дочерней зоны secure.adatum.com, когда обе зоны подписаны и размещаются с помощью Общедоступного DNS Azure:

az network dns record-set ds add-record --resource-group "your-resource-group" --zone-name "adatum.com" --record-set-name "secure" --key-tag <key-tag> --algorithm <algorithm> --digest <digest> --digest-type <digest-type>

5. Если вы не владеете родительской зоной, отправьте запись DS владельцу родительской зоны с инструкциями, чтобы добавить ее в свою зону.

PowerShell

1. Подписывайте и проверяйте зону с помощью PowerShell:

# Connect to your Azure account (if not already connected)
Connect-AzAccount

# Select the appropriate subscription
Select-AzSubscription -SubscriptionId "your-subscription-id"

# Enable DNSSEC for the DNS zone
New-AzDnsDnssecConfig -ResourceGroupName "your-resource-group" -ZoneName "adatum.com"

# Verify the DNSSEC configuration
Get-AzDnsDnssecConfig -ResourceGroupName "your-resource-group" -ZoneName "adatum.com"

2. Получите сведения о делегировании и используйте его для создания записи DS в родительской зоне.

Get-AzDnsDnssecConfig -ResourceGroupName "dns-rg" -ZoneName "adatum.com" | Select-Object -ExpandProperty SigningKey | Select-Object -ExpandProperty delegationSignerInfo

Пример результата:

DigestAlgorithmType DigestValue                                                      Record
------------------- -----------                                                      ------
                  2 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C 26767 13 2 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C

В этих примерах значения DS:

• Ключевой тег: 26767
• Алгоритм: 13
• Тип дайджеста: 2
• Дайджест: 0B9E68FC171B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C

3. Если родительская зона является доменом верхнего уровня (например, .com), необходимо добавить запись DS в регистраторе. У каждого регистратора есть собственный процесс.

4. Если вы владеете родительской зоной, вы можете добавить запись DS непосредственно в родитель. В следующем примере показано, как добавить запись DS в зону DNS, adatum.com для дочерней зоны secure.adatum.com, когда обе зоны подписаны и размещены с помощью Общедоступного DNS Azure. Замените key-tag>, алгоритм<>, <дайджест и <дайджест-тип>> соответствующими значениями из записи DS, запрошенной ранее.<

$dsRecord = New-AzDnsRecordConfig -DnsRecordType DS -KeyTag <key-tag> -Algorithm <algorithm> -Digest <digest> -DigestType <digest-type>
New-AzDnsRecordSet -ResourceGroupName "dns-rg" -ZoneName "adatum.com" -Name "secure" -RecordType DS -Ttl 3600 -DnsRecords $dsRecord

5. Если вы не владеете родительской зоной, отправьте запись DS владельцу родительской зоны с инструкциями, чтобы добавить ее в свою зону.

Следующие шаги

• Узнайте, как отменить подпись зоны DNS.
• Узнайте, как разместить зону обратного просмотра для диапазона IP-адресов, присвоенного поставщиком услуг Интернета, в службе Azure DNS.
• Узнайте, как управлять записями обратной зоны DNS для служб Azure.