DNS

DNSSEC Kontrolü

DNSSEC güven zincirini doğrulayın — DNSKEY, DS kaydı ve RRSIG doğrulaması.

DNSSEC Kontrolü Hakkında

Bir alan adının DNSSEC güven zincirini kökten başlayarak her devir seviyesinde dolaşır; her düzeyde DS ve DNSKEY kayıtlarının eşleştiğini, imzaların geçerli ve süresinin dolmadığını doğrular. DNSSEC hataları elle hata ayıklaması çok zordur çünkü zincirdeki herhangi bir kopukluk, doğrulayan çözümleyicilerin alan adını hiçbir açık hata mesajı vermeden tamamen çözmeyi reddetmesine yol açar. DNSSEC anahtarlarını değiştirdikten, kayıt kuruluşu değiştirdikten sonra veya bir alan adı bazı kullanıcılarda çözülmeyi gizemli biçimde durdurduğunda çalıştırmaya değer.

Bu kontrol, zinciri tıpkı herkese açık bir doğrulayıcı çözümleyicinin yaptığı gibi takip ettiğinden, yalnızca kendi yetkili sunucu yapılandırmanızı kontrol etmenin gözden kaçırabileceği bir kopukluğu yakalayabilir — ikisi her zaman aynı şeyi test etmez.

📖 Bilgi Bankasında daha fazlasını oku →

DNSSEC Zinciri

DNSKEY -- Public key published at the zone apex
DS -- Delegation Signer at the parent zone
RRSIG -- Signature over DNS records
AD flag -- Resolver confirms chain is valid

İlgili Araçlar

Secure, insecure, bogus: sonuç ne anlama gelir

Doğrulama yapan bir çözümleyici her yanıtı üç durumdan birine yerleştirir ve bu fark, alan adınızın çözümlenip çözümlenmeyeceğini belirler:

Secure — kökten kayıtlarınıza kadar zincir doğrulanıyor. Çözümleyiciler AD (Authenticated Data) bayrağını ayarlar.
Insecure — alan adı imzalı değil veya üst bölgede onun için DS kaydı yok. Alan adı normal şekilde çözümlenir, yalnızca DNSSEC koruması yoktur. Bu bir hata değildir.
Bogus — alan adı imzalı olduğunu bildiriyor, ancak zincirin bir yerinde doğrulama başarısız. Doğrulayan çözümleyiciler SERVFAIL döndürür ve alan adı onların kullanıcıları için kaybolur; doğrulama yapmayan çözümleyiciler ise yanıt vermeye devam eder. DNSSEC hatalarının "bende çalışıyor ama onlarda çalışmıyor" gibi görünmesinin nedeni budur.

En yaygın hatalar

DS kaydı hiçbir DNSKEY ile eşleşmiyor. Klasik neden, kayıt kuruluşundaki DS kaydını güncellemeden yeni bir DNS sağlayıcısına geçmek veya anahtar imzalama anahtarını (KSK) değiştirmektir. Üst bölge hâlâ eski anahtarı gösterir ve zincir yetkilendirme noktasında kopar.
Süresi dolmuş imzalar. RRSIG kayıtlarının bir bitiş tarihi vardır. İmzalama süreci durursa — başarısız bir cron görevi, durdurulmuş bir imzalayıcı, taşınmış bir sunucu — imzalar günler veya haftalar sonra sessizce sona erer ve bölge, hiçbir yapılandırma değişikliği olmadan bogus duruma düşer.
Ad sunucuları arasında uyumsuzluk. Yetkili sunuculardan biri imzalı veri, diğeri imzasız veya eski bir kopya sunar. Sonuç, çözümleyicinin hangi sunucuya sorduğuna bağlı olur.
Eskimiş algoritmalar. Hâlâ RSA/SHA-1 (algoritma 5 ve 7) ile imzalanmış bölgeler yeniden imzalanmalıdır. Yaygın modern seçim ECDSA P-256'dır (algoritma 13): küçük anahtarlar, küçük yanıtlar.

dig ile DNSSEC sorununu doğrulama

Bir alan adı SERVFAIL döndürüyorsa, sorguyu doğrulama kapalıyken tekrarlayın:

dig example.com A            # doğrulayan çözümleyici üzerinden SERVFAIL
dig example.com A +cd        # +cd = doğrulama kapalı

+cd sorgusu normal bir yanıt döndürüyorsa kayıtların kendisi sağlamdır ve başarısız olan DNSSEC doğrulamasıdır. Yetkilendirmenin iki tarafını görmek için üst bölgedeki DS kaydını bölgedeki anahtarlarla karşılaştırın:

dig example.com DS +short
dig example.com DNSKEY +multiline

DS kaydındaki key tag, bayrakları 257 olan DNSKEY'in (anahtar imzalama anahtarı) key tag değeriyle eşleşmelidir.

DNSSEC'i güvenli şekilde kapatma

Sıra önemlidir. Önce kayıt kuruluşundaki DS kaydını kaldırın, ardından bölgenin imzasını kaldırmadan veya imzalamayan bir sağlayıcıya geçmeden önce en az DS kaydının TTL süresi kadar bekleyin — üst bölgede bu çoğunlukla bir gündür. Ters sırayla yapılırsa üst bölge artık var olmayan anahtarlara kefil olmaya devam eder ve alan adı tüm doğrulayan çözümleyiciler için erişilemez hale gelir.

DNSSEC, NS yetkilendirmesini ve e-posta kimlik doğrulamasını da kapsayan tam NODA alan adı sağlık değerlendirmesinin kontrollerinden biridir. Tek tek kayıtları incelemek için DNS sorgulama aracını kullanın.