Menyiapkan keamanan DNSSEC & DNS

Domain Name System (DNS) menerjemahkan nama domain yang dapat dibaca manusia seperti google.com menjadi alamat IP yang dapat dibaca mesin untuk situs, seperti 172.217.3.206. Untuk mencegah ancaman bagi domain Anda seperti serangan cache poison dan spoofing DNS, siapkan DNS Security Extensions (DNSSEC).

Mengaktifkan DNSSEC untuk domain Anda

Penting:

Beberapa Domain Level Teratas (TLD) menerima data Kunci Publik DNS (DNSKEY), bukan data Delegation Signer (DS).
Jika awalnya Anda membeli nama domain dari Google Domains, DNSSEC mungkin sudah disiapkan untuk Anda.
Jika domain Anda memiliki data ALIAS, Anda tidak dapat mengaktifkan DNSSEC. Pelajari data ALIAS lebih lanjut.

Agar dapat menyiapkan DNSSEC untuk domain, Anda harus menambahkan data resource tertentu ke zona DNS atau penandatanganan dan memublikasikannya untuk domain Anda. Jika Anda menggunakan penyiapan DNSSEC otomatis dari Google Domains, kami akan menangani kedua langkah penyiapan tersebut untuk Anda. Diperlukan waktu hingga 24 jam agar perubahan diterapkan di internet sebelum DNSSEC aktif.

Login ke Google Domains.
Pilih domain Anda.
Di bagian kiri atas, pilih Menu DNS.
Pilih Server nama default atau Server nama kustom.
Scroll ke kartu atau kotak “DNSSEC”.
- Untuk server nama default: Klik Aktifkan. Jika DNSSEC sudah diaktifkan, pesan “DNSSEC diaktifkan” akan ditampilkan.
- Untuk server nama kustom: Klik Kelola data DS, lalu masukkan info dari penyedia DNS Anda.
  1. Masukkan nilai yang diberikan oleh penyedia DNS pihak ketiga untuk DNSSEC atau DNSKEY server nama kustom.
  2. Untuk menambahkan beberapa data sekaligus, klik Buat data baru.
  3. Klik Simpan.

Tips:

Jika Anda memilih untuk tidak menunggu data DNSKEY dipublikasikan, di bagian “DNSSEC”, luaskan kartu DNSSEC dan klik Publikasikan data sekarang.
Saat Anda mengaktifkan DNSSEC, Google Domains akan otomatis menandatangani zona DNS dan memublikasikan data Delegation Signer (DS) Anda dalam waktu 2 jam.

Nilai yang diperlukan untuk DNSSEC server nama kustom

Jika menggunakan server nama kustom, Anda harus bekerja sama dengan penyedia DNS pihak ketiga guna menandatangani zona DNS untuk domain Anda. Untuk setiap DNSKEY, dapatkan nilai berikut dari penyedia DNS Anda:

Tag kunci: Nilai numerik yang mengacu pada data DNSKEY yang ada.
Algoritma: Algoritma enkripsi yang membuat kunci keamanan dalam data DNSKEY. Nilai ini biasanya disambungkan dengan fungsi hash seperti RSA/SHA1.
Jenis digest: Algoritma yang membuat digest data DNSKEY. Nilai ini juga disebut algoritma digest, hash digest, atau fungsi hash digest.
Digest: Nilai yang di-hash dari data DNSKEY yang mengidentifikasi data tersebut secara unik dan tidak memperlihatkan nilai kunci. Berdasarkan jenisnya, digest dapat memiliki salah satu panjang berikut:
- SHA1: 40 digit heksadesimal
- SHA256: 64 digit heksadesimal
- SHA384: 96 digit heksadesimal

Nilai yang diperlukan untuk DNSKEY server nama kustom

Jika Anda menggunakan server nama kustom, hubungi penyedia DNS pihak ketiga untuk login ke zona DNS untuk domain Anda. Untuk setiap DNSKEY, dapatkan nilai berikut dari penyedia DNS Anda:

Flag: Informasi yang membuat DNS dan resolver mengetahui cara menafsirkan data DNSKEY. Secara default, nilai ini ditetapkan ke 256 atau 257.
Protokol: Menunjukkan versi DNSSEC yang digunakan. Nilai ini selalu ditetapkan ke 3.
Algoritma: Menunjukkan jenis algoritma kriptografi yang digunakan untuk pasangan kunci publik atau pribadi.
Kunci publik: Kunci yang digunakan oleh DNS resolver untuk memvalidasi bahwa data DNS tidak dirusak.

Menonaktifkan DNSSEC untuk domain Anda

Login ke Google Domains.
Pilih domain Anda.
Pilih Menu DNS.
Scroll ke kartu atau kotak “DNSSEC”.
- Untuk server nama default: Pilih Nonaktifkan.
- Untuk server nama kustom: Di samping setiap data, klik Hapus .
Pilih Simpan.

Tips:

Untuk server nama kustom, agar dapat menghapus data resource terkait DNSSEC dari zona Anda, Anda dapat bekerja sama dengan penyedia DNS.
Saat Anda menonaktifkan DNSSEC, Google Domains akan segera membatalkan publikasi data DS domain Anda. Setelah perubahan tersebut diterapkan di internet, domain Anda tidak lagi dilindungi DNSSEC. Proses ini dapat memakan waktu hingga 48 jam. Untuk menyelesaikan penonaktifan DNSSEC, Google Domains mungkin akan membatalkan penandatanganan zona DNS Anda.

Menggunakan DNS Dinamis

Penting: DNS Dinamis dapat digunakan dengan alamat IPv4 dan IPv6, tetapi tidak secara bersamaan.

DNS dinamis dapat digunakan untuk mengarahkan domain atau subdomain ke resource yang berada di belakang gateway dan memiliki alamat IP yang ditetapkan secara dinamis. Untuk menggunakan DNS Dinamis, Anda harus menggunakan server nama default Google Domains.

Jika Anda menyiapkan DNS Dinamis dengan Google Domains, Anda dapat:

Membuat data A atau AAAA untuk domain atau subdomain Anda, sehingga server nama Google mengetahui IP dinamis.
Menghasilkan nama pengguna dan sandi yang dapat digunakan oleh host atau server untuk mengomunikasikan alamat IP baru ke server nama Google.

Setelah menyiapkan DNS Dinamis, Anda harus menyiapkan program klien di host, server, atau gateway yang melakukan hal berikut:

Mendeteksi perubahan alamat IP
Menggunakan nama pengguna dan sandi yang dihasilkan
Mengomunikasikan alamat baru ke server nama Google

Menyiapkan DNS dinamis

Di komputer, login ke Google Domains.
Pilih domain Anda.
Klik Menu DNS.
Pilih Server nama default Google Domains (Aktif).

Jika “Server nama kustom (Aktif)” dipilih, berarti Anda sudah memiliki server nama kustom dan tidak dapat menggunakan layanan DNS Dinamis Google Domains.

Klik Tampilkan setelan lanjutan.
Klik Kelola DNS dinamis Buat data baru.
Untuk menetapkan IP Dinamis, masukkan nama subdomain atau domain root.
Klik Simpan.

Berikut beberapa opsi lain untuk mengelola DNS Dinamis Anda:

Untuk melihat nilai data: Di samping data, klik segitiga.
Untuk melihat nama pengguna dan sandi yang dibuat untuk suatu data: Klik Lihat Kredensial.
Untuk mengonfigurasi gateway atau software klien agar dapat menghubungi server nama Google: Gunakan nama pengguna dan sandi yang dibuat untuk data tersebut.
Untuk menghapus data:
1. Buka “Data resource”.
2. Di samping “DNS Dinamis”, klik segitiga.
3. Pilih Hapus.

Menyiapkan program klien di gateway, host, atau server

Ada beberapa klien DNS dinamis populer yang sedang digunakan, seperti DDclient dan INADYN. Sebagian besar router dapat mendeteksi perubahan IP dan mengomunikasikannya dengan server nama melalui software bawaannya.

Konfigurasi klien DNS dinamis Anda dengan berikut ini:

Penyedia atau DNS atau Layanan: Nama Penyedia DNS Anda
Nama pengguna atau kredensial: Nama pengguna yang dihasilkan dalam data DNS Dinamis
Sandi atau kredensial: Sandi yang dihasilkan dalam data DNS Dinamis

Setelah Anda membuat data dan mengonfigurasi software klien, uji data tersebut. Masukkan subdomain dan domain ke browser, atau klien yang sesuai, dan pastikan keduanya terhubung ke resource yang benar.

Tips: Google Domains menggunakan protokol dyndns2.

Contoh

DDclient sekarang memiliki dukungan untuk Google Domains.

DDclient dengan Dukungan Google Domains

Entri ddclient.conf:

ssl=yes

protocol=googledomains

login=generated_username

password=generated_password

your_resource.your_domain.tld

Contoh konfigurasi klien umum:

DDclient
tanpa dukungan Google Domains INADYN

Contoh entri ddclient.conf:

protocol=dyndns2

use=web

server=domains.google.com

ssl=yes

login=generated_username

password=generated_password

your_resource.your_domain.tld

Tambahkan yang berikut ke inadyn.conf

system default@domains.google.com

username generated_username

password generated_password

alias sub.domain.tld

Memperbarui data DNS Dinamis dengan API

Software klien DNS Dinamis otomatis memperbarui data DNS dinamis Anda. Anda dapat melakukan pembaruan manual menggunakan API dengan membuat permintaan POST atau GET ke URL berikut:

domains.google.com/nic/update

API memerlukan HTTPS. Berikut contoh permintaan:

https://username:password@domains.google.com/nic/update?hostname=subdomain.yourdomain.com&myip=1.2.3.4

Menetapkan agen pengguna

Penting: Anda juga harus menetapkan agen pengguna dalam permintaan.

Selama pengujian dengan URL secara langsung di atas, domains.google.com/nic/update, browser web umumnya menambahkan agen pengguna untuk Anda. Kueri HTTP akhir yang dikirim ke server kami harus mirip dengan berikut ini:

Contoh kueri HTTP:

POST /nic/update?hostname=subdomain.yourdomain.com&myip=1.2.3.4 HTTP/1.1

      Host: domains.google.com

      Authorization: Basic base64-encoded-auth-string

      User-Agent: Chrome/41.0 your_email@yourdomain.com

Parameter Permintaan:

Parameter	Wajib Diisi atau Opsional	Deskripsi
`username:password`	Wajib diisi	Nama pengguna dan sandi yang dihasilkan, yang terkait dengan host yang akan diperbarui.
`hostname`	Wajib diisi	Hostname yang akan diperbarui.
`myip`	Opsional untuk IPv4. Wajib jika Anda memiliki alamat IPv6.	Alamat IP tempat host ditetapkan. Jika tidak diberikan, kami menggunakan IP agen yang mengirim permintaan. Penting: Jika agen Anda menggunakan alamat IPv6, `myip` wajib diisi. Anda dapat memeriksa alamat IP agen di: https://domains.google.com/checkip.
`offline`	Opsional	Menetapkan host saat ini ke status offline. Jika permintaan pembaruan dilakukan pada host offline, host dikeluarkan dari status offline. Nilai yang diizinkan adalah: `yes` `no`

Setelah permintaan diproses, salah satu dari respons berikut ditampilkan.

Penting: Pastikan untuk menafsirkan respons dengan benar; jika tidak, Anda berisiko memblokir klien dari sistem kami.

Respons	Status	Deskripsi
`good {user’s IP address}`	Berhasil	Pembaruan berhasil. Anda tidak boleh mencoba pembaruan lagi hingga alamat IP Anda berubah.
`nochg {user’s IP address}`	Berhasil	Alamat IP yang diberikan telah ditetapkan untuk host ini. Anda tidak boleh mencoba pembaruan lagi hingga alamat IP Anda berubah.
`nohost`	Error	Nama host tidak ada atau tidak memiliki DNS Dinamis aktif.
`badauth`	Error	Kombinasi nama pengguna/sandi tidak valid untuk host yang ditentukan.
`notfqdn`	Error	Nama host yang diberikan bukan merupakan nama domain valid yang sepenuhnya memenuhi syarat.
`badagent`	Error	Klien DNS Dinamis Anda membuat permintaan yang tidak valid. Pastikan agen pengguna ditetapkan dalam permintaan.
`abuse`	Error	Akses DNS Dinamis untuk hostname telah diblokir karena kegagalan dalam menafsirkan tanggapan sebelumnya dengan benar.
`911`	Error	Kesalahan terjadi di pihak kami. Tunggu 5 menit dan coba lagi.
`conflict A conflict AAAA`	Error	Data resource A atau AAAA kustom bertentangan dengan pembaruan. Hapus data resource yang ditampilkan di halaman setelan DNS, lalu coba perbarui kembali.