DNSSEC- und DNS-Sicherheit einrichten

Das Domain Name System (DNS) wandelt für Menschen lesbare Domainnamen wie google.com in die für Maschinen lesbaren IP-Adressen einer bestimmten Website um, z. B. 172.217.3.206. Richten Sie DNS-Sicherheitserweiterungen (DNSSEC) ein, um Ihre Domain vor Bedrohungen wie Cache-Poisoning und DNS-Spoofing zu schützen.

DNSSEC für Ihre Domain aktivieren

Wichtig:

Einige Top-Level-Domains (TLDs) akzeptieren anstelle von DS-Einträgen (Delegation Signer) auch DNSKEY-Einträge (DNS Public Key).
Wenn Sie Ihren Domainnamen ursprünglich bei Google Domains gekauft haben, ist DNSSEC möglicherweise bereits für Sie eingerichtet.
Wenn Ihre Domain einen ALIAS-Eintrag hat, können Sie DNSSEC nicht aktivieren. Weitere Informationen zu ALIAS-Einträgen.

Um DNSSEC für Ihre Domain einzurichten, müssen Sie Ihrem DNS oder Ihrer Signaturzone bestimmte Ressourceneinträge hinzufügen und sie für Ihre Domain veröffentlichen. Wenn Sie die automatische DNSSEC-Einrichtung von Google Domains verwenden, übernehmen wir die beiden Schritte für Sie. Es kann bis zu 24 Stunden dauern, bis die Änderungen im Internet aktualisiert werden, bevor DNSSEC aktiv ist.

Melden Sie sich in Google Domains an.
Wählen Sie Ihre Domain aus.
Wählen Sie oben links das Dreistrich-Menü DNS aus.
Wählen Sie entweder Standard-Nameserver oder Benutzerdefinierte Nameserver aus.
Scrollen Sie zur Karte oder dem Feld „DNSSEC“.
- Für Standard-Nameserver: Klicken Sie auf Aktivieren. Wenn DNSSEC bereits aktiviert ist, wird „DNSSEC aktiviert“ angezeigt.
- Für benutzerdefinierte Nameserver: Klicken Sie auf DS-Einträge verwalten und geben Sie die Informationen von Ihrem DNS-Anbieter ein.
  1. Geben Sie die Werte ein, die Sie von Ihrem DNS-Drittanbieter für den benutzerdefinierten Nameserver-DNSSEC oder -DNSKEY erhalten haben.
  2. Wenn Sie mehrere Einträge gleichzeitig hinzufügen möchten, klicken Sie auf Neuen Datensatz erstellen.
  3. Klicken Sie auf Speichern.

Tipps:

Wenn Sie nicht warten möchten, bis Ihre DNSKEY-Einträge veröffentlicht wurden, maximieren Sie unter „DNSSEC“ die DNSSEC-Karte und klicken Sie auf Einträge jetzt veröffentlichen.
Wenn Sie DNSSEC aktivieren, wird die DNS-Zone automatisch von Google Domains signiert und die DS (Delegation Signer)-Einträge werden innerhalb von zwei Stunden veröffentlicht.

Erforderliche Werte für den benutzerdefinierten Nameserver DNSSEC

Wenn Sie benutzerdefinierte Nameserver verwenden, müssen Sie sich an Ihren externen DNS-Anbieter wenden, um die DNS-Zone für Ihre Domain zu signieren. Rufen Sie für jeden DNSKEY die folgenden Werte von Ihrem DNS-Anbieter ab:

Schlüsseltag: Numerischer Wert, der auf einen vorhandenen DNSKEY-Datensatz verweist.
Algorithmus: Verschlüsselungsalgorithmus, mit dem der Sicherheitsschlüssel im DNSKEY-Datensatz erstellt wird. Dieser ist normalerweise mit einer Hash-Funktion wie RSA/SHA1 gekoppelt.
Digesttyp: Der Algorithmus, der den Digest eines DNSKEY-Eintrags erstellt. Er wird auch als „Digestalgorithmus“, „Digest-Hash“ oder „Digest-Hash-Funktion“ bezeichnet.
Digest: Hashwert des DNSKEY-Datensatzes zur eindeutigen Identifizierung, ohne den Wert des Schlüssels offenzulegen. Die Länge richtet sich nach dem Digesttyp:
- SHA1: 40 Hexadezimalziffern
- SHA256 64 Hexadezimalziffern
- SHA384: 96 Hexadezimalziffern

Erforderliche Werte für benutzerdefinierte Nameserver-DNSKEYs

Wenn Sie benutzerdefinierte Nameserver verwenden, müssen Sie sich an Ihren externen DNS-Anbieter wenden, um sich bei den DNS-Zonen für Ihre Domain einzuloggen. Rufen Sie für jeden DNSKEY die folgenden Werte von Ihrem DNS-Anbieter ab:

Flags: Informationen, mit denen das DNS und die Resolver den DNSKEY-Eintrag interpretieren können. Dieser Wert ist standardmäßig auf 256 oder 257 festgelegt.
Protokoll: Gibt die verwendete DNSSEC-Version an. Dieser Wert ist immer auf 3 festgelegt.
Algorithmus: Gibt den Typ des kryptografischen Algorithmus an, der für das Paar aus öffentlichem/privatem Schlüssel verwendet wird.
Öffentlicher Schlüssel: Der Schlüssel, mit dem DNS-Resolver validieren, dass die DNS-Einträge nicht manipuliert wurden.

DNSSEC für Ihre Domain deaktivieren

Melden Sie sich bei Google Domains an.
Wählen Sie Ihre Domain aus.
Wählen Sie das Dreipunkt-Menü DNS aus.
Scrollen Sie zur Karte oder dem Feld „DNSSEC“.
- Für Standard-Nameserver: Wählen Sie Deaktivieren aus.
- Für benutzerdefinierte Nameserver: Klicken Sie neben jedem Eintrag auf „Löschen“ .
Klicken Sie auf Speichern.

Tipps:

Wenn Sie für benutzerdefinierte Nameserver Ihre DNSSEC-bezogenen Ressourceneinträge aus Ihrer Zone entfernen möchten, wenden Sie sich an Ihren DNS-Anbieter.
Wenn Sie DNSSEC deaktivieren, wird die Veröffentlichung der DS-Einträge Ihrer Domain in Google Domains sofort aufgehoben. Nachem die Änderungen im Internet übernommen wurden, ist Ihre Domain nicht mehr durch DNSSEC geschützt. Dies kann bis zu 48 Stunden dauern. Damit die DNSSEC-Deaktivierung abgeschlossen wird, kann Google Domains die Signatur Ihrer DNS-Zone aufheben.

Dynamisches DNS verwenden

Wichtig: Dynamisches DNS funktioniert mit IPv4- und IPv6-Adressen, jedoch nicht gleichzeitig.

Mit einem dynamischen DNS können Sie Ihre Domain oder Subdomain an eine Ressource weiterleiten, die sich hinter einem Gateway befindet und eine dynamisch zugewiesene IP-Adresse hat. Wenn Sie dynamisches DNS verwenden möchten, müssen Sie die Standard-Nameserver von Google Domains verwenden.

Wenn Sie dynamisches DNS mit Google Domains einrichten, haben Sie folgende Möglichkeiten:

Sie können einen A- oder AAAA-Eintrag für Ihre Domain oder Subdomain erstellen, der dafür sorgt, dass die Google-Nameserver eine dynamische IP-Adresse erwarten.
Sie können einen Nutzernamen und ein Passwort generieren, die Ihr Host oder Server zum Übermitteln der neuen IP-Adresse an die Google-Nameserver verwenden kann.

Nachdem Sie das dynamische DNS eingerichtet haben, müssen Sie auf Ihrem Host, Server oder Gateway ein Clientprogramm einrichten, das Folgendes ausführt:

Änderungen an der IP-Adresse erkennt,
den generierten Nutzernamen und das Passwort verwendet,
die neue Adresse an die Google-Nameserver übermittelt.

Dynamisches DNS einrichten

Melden Sie sich auf Ihrem Computer in Google Domains an.
Wählen Sie Ihre Domain aus.
Klicken Sie auf das Menü DNS.
Wählen Sie Standard-Nameserver Google Domains (Aktiv) aus.

Wenn „Benutzerdefinierte Nameserver (Aktiv)“ ausgewählt ist, haben Sie bereits benutzerdefinierte Nameserver und können den Dienst „Dynamisches DNS“ von Google Domains nicht verwenden.

Klicken Sie auf Erweiterte Einstellungen anzeigen.
Klicken Sie auf Dynamisches DNS verwalten Neuen Datensatz erstellen.
Geben Sie den Namen der Subdomain oder Stammdomain ein, um eine dynamische IP-Adresse zuzuweisen.
Klicken Sie auf Speichern.

Im Folgenden finden Sie einige weitere Optionen, um Ihr dynamisches DNS zu verwalten:

Eintragswerte ansehen: Klicken Sie neben dem Eintrag auf das Dreieck.
Für einen Eintrag erstellten Nutzernamen und Passwort ansehen: Klicken Sie auf Anmeldedaten ansehen.
Gateway oder Clientsoftware für die Kontaktaufnahme mit den Google-Nameservern konfigurieren: Verwenden Sie den für den Eintrag erstellten Nutzernamen und das zugehörige Passwort.
So löschen Sie einen Eintrag:
1. Rufen Sie „Ressourceneinträge“ auf.
2. Klicken Sie neben „Dynamisches DNS“ auf das Dreieck.
3. Wählen Sie Löschen aus.

Clientprogramm auf Gateway, Host oder Server installieren

Es werden mehrere beliebte dynamische DNS-Clients verwendet, z. B. DDclient und INADYN. Die meisten Router können IP-Änderungen erkennen und über die integrierte Software mit den Nameservern kommunizieren.

Konfigurieren Sie den Client für dynamisches DNS mit den folgenden Einstellungen:

Anbieter oder DNS oder Dienst: Name Ihres DNS-Anbieters
Nutzername oder Anmeldedaten: generierter Nutzername im Eintrag für dynamisches DNS
Passwort oder Anmeldedaten: generiertes Passwort im Eintrag für dynamisches DNS

Nachdem Sie den Eintrag erstellt und die Clientsoftware konfiguriert haben, sollten Sie den Eintrag testen. Geben Sie dazu die Subdomain und die Domain in einen Browser oder einen geeigneten Client ein und prüfen Sie, ob eine Verbindung zur richtigen Ressource hergestellt wird.

Tipp: Google Domains verwendet das Protokoll dyndns2.

Beispiele

DDclient bietet jetzt Unterstützung für Google Domains.

DDclient mit Unterstützung von Google Domains

ddclient.conf-Einträge:

ssl=yes

protocol=googledomains

login=generated_username

password=generated_password

your_resource.your_domain.tld

Allgemeine Beispiele für die Clientkonfiguration:

DDclient
ohne Unterstützung von Google Domains INADYN

Beispieleinträge für ddclient.conf:

protocol=dyndns2

use=web

server=domains.google.com

ssl=yes

login=generated_username

password=generated_password

your_resource.your_domain.tld

Fügen Sie inadyn.conf folgende Einträge hinzu

system default@domains.google.com

username generated_username

password generated_password

alias sub.domain.tld

Aktualisieren Sie Ihren Dynamisches DNS-Eintrag mit der API

Die Clientsoftware für dynamisches DNS aktualisiert den Eintrag für dynamisches DNS automatisch. Durch Senden einer POST- oder GET-Anfrage an die folgende URL können Sie manuelle Aktualisierungen mit der API durchführen:

domains.google.com/nic/update

Die API erfordert HTTPS. Hier sehen Sie eine Beispielanfrage:

https://username:password@domains.google.com/nic/update?hostname=subdomain.yourdomain.com&myip=1.2.3.4

User-Agent einrichten

Wichtig: Sie müssen in Ihrer Anfrage auch einen User-Agent festlegen.

Während eines Tests mit der URL oben, domains.google.com/nic/update, fügen Webbrowser in der Regel einen User-Agent für Sie hinzu. Die endgültige HTTP-Anfrage, die an unsere Server gesendet wird, sollte in etwa so aussehen:

Beispiel für HTTP-Abfrage:

POST /nic/update?hostname=subdomain.yourdomain.com&myip=1.2.3.4 HTTP/1.1

      Host: domains.google.com

      Authorization: Basic base64-encoded-auth-string

      User-Agent: Chrome/41.0 your_email@yourdomain.com

Anfrageparameter:

Parameter	Erforderlich oder optional	Beschreibung
`username:password`	Erforderlich	Der erstellte Nutzername und das Passwort, die zum Host gehören, der aktualisiert wird
`hostname`	Erforderlich	Der Hostname, der aktualisiert werden soll
`myip`	Optional für IPv4 Erforderlich, wenn Sie eine IPv6-Adresse haben	Die IP-Adresse, die für den Host eingerichtet wird. Wird keine IP-Adresse angegeben, verwenden wir die IP-Adresse des Agents, der die Abfrage gesendet hat. Wichtig: Wenn der Agent eine IPv6-Adresse verwendet, ist `myip` erforderlich. Sie können die IP-Adresse des Agents unter https://domains.google.com/checkip prüfen.
`offline`	Optional	Versetzt den aktuellen Host in den Offlinestatus. Wenn eine Aktualisierungsanfrage an einem Offlinehost vorgenommen wird, wird dieser aus dem Offlinestatus entfernt. Zulässige Werte sind `yes` `no`

Nachdem die Anfrage verarbeitet wurde, wird eine der folgenden Antworten zurückgegeben.

Wichtig: Achten Sie darauf, die Antwort richtig zu interpretieren, da Ihr Client sonst möglicherweise von unserem System blockiert wird.

Antwort	Status	Beschreibung
`good {IP-Adresse des Nutzers}`	Erfolg	Die Aktualisierung wurde erfolgreich abgeschlossen. Nehmen Sie keine weitere Aktualisierung vor, bis Ihre IP-Adresse geändert wurde.
`nochg {IP-Adresse des Nutzers}`	Erfolg	Die von Ihnen angegebene IP-Adresse wurde bereits für diesen Host festgelegt. Nehmen Sie keine weitere Aktualisierung vor, bis Ihre IP-Adresse geändert wurde.
`nohost`	Fehler	Der Hostname ist nicht vorhanden oder „Dynamisches DNS“ ist nicht aktiviert.
`badauth`	Fehler	Nutzername und/oder Passwort stimmen nicht mit dem angegebenen Host überein.
`notfqdn`	Fehler	Der angegebene Hostname ist kein vollständiger, gültiger Domainname.
`badagent`	Fehler	Ihr Client für dynamisches DNS sendet ungültige Anfragen. Achten Sie darauf, dass der User-Agent in der Anfrage festgelegt ist.
`abuse`	Fehler	Der Zugriff auf „Dynamisches DNS“ wurde für diesen Hostnamen blockiert, da eine richtige Interpretation der vorherigen Antworten nicht möglich war.
`911`	Fehler	Es ist ein Fehler in unserem System aufgetreten. Versuchen Sie es in fünf Minuten noch einmal.
`conflict A conflict AAAA`	Fehler	Ein benutzerdefinierter A- oder AAAA-Ressourceneintrag steht in Konflikt mit dem Update. Löschen Sie den angegebenen Ressourceneintrag auf der Seite mit den DNS-Einstellungen und versuchen Sie es noch einmal.