איך מגדירים DNSSEC ואבטחה של DNS

מערכת DNS מתרגמת שמות של דומיינים קריאים לאנשים (כמו Google.com) לכתובות IP של אתרים שמתאימות לקריאה למחשבים (כמו 172.217.3.206). כדאי להגדיר תוספי אבטחה של DNS‏ (DNSSEC) כדי להגן על הדומיין מפני איומים כמו התקפות הרעלת מטמון וזיופי DNS.

איך מפעילים DNSSEC לדומיין

חשוב:

חלק מהדומיינים ברמה העליונה (TLD) מקבלים רשומות מפתח ציבורי של DNS‏ (DNSKEY) במקום רשומות DS‏ (Delegation Signer).
אם רכשתם את שם הדומיין מ-Google Domains, יכול להיות שאבטחת DNSSEC כבר מוגדרת.
אם לדומיין יש רשומת ALIAS, אי אפשר להפעיל DNSSEC. מידע נוסף על רשומות ALIAS

כדי להגדיר DNSSEC לדומיין, עליכם להוסיף רשומות משאבים ספציפיות ל-DNS או לאזור החתימה ולפרסם אותן בדומיין. אם משתמשים בהגדרה אוטומטית של DNSSEC ב-Google Domains, אנחנו מבצעים עבורכם את שני השלבים האלה. השינויים יתעדכנו ברחבי האינטרנט תוך 24 שעות לכל היותר לפני שתוספי DNSSEC יתחילו לפעול.

נכנסים ל-Google Domains.
בוחרים את הדומיין.
בפינה הימנית העליונה, בוחרים בסמל התפריט DNS.
בוחרים באפשרות שרתי השמות המוגדרים כברירת המחדל או באפשרות שרתי שמות בהתאמה אישית.
גוללים לתיבה או לכרטיס DNSSEC.
- לשרתי השמות המוגדרים כברירת המחדל: לוחצים על הפעלה. אם אפשרות DNSSEC מופעלת, יוצג הכיתוב 'DNSSEC הופעל'.
- לשרתי השמות בהתאמה אישית: לוחצים על ניהול רשומות DS ומזינים את הפרטים מספק ה-DNS.
  1. מזינים את הערכים שהתקבלו מספק ה-DNS של הצד השלישי עבור DNSSEC או DNSKEY של שרתי השמות בהתאמה אישית.
  2. כדי להוסיף מספר רשומות בו-זמנית, לוחצים על יצירת רשומה חדשה.
  3. לוחצים על שמירה.

טיפים:

אם לא רוצים להמתין לפרסום רשומות ה-DNSKEY, עוברים לקטע 'DNSSEC', מרחיבים את הכרטיס 'DNSSEC' ולוחצים על לפרסום הרשומות.
אחרי שתפעילו את DNSSEC, חתימת אזור ה-DNS תוגדר אוטומטית על ידי Google Domains ורשומות ה-DS‏ (Delegation Signer) שלכם יתפרסמו בתוך שעתיים.

הערכים הדרושים ל-DNSSEC של שרתי שמות בהתאמה אישית

אם אתם משתמשים בשרתי שמות בהתאמה אישית, אתם חייבים לפנות אל ספק DNS של צד שלישי כדי לקבל חתימת תחום DNS לדומיין שלכם. עבור כל DNSKEY, יש לבקש מספק ה-DNS את הערכים הבאים:

תג מפתח: ערך מספרי המתייחס לרשומת DNSKEY קיימת.
אלגוריתם: אלגוריתם ההצפנה שיצר את מפתח האבטחה ברשומת ה-DNSKEY. בדרך כלל הוא מוצמד לפונקציית גיבוב (hash) כמו SHA1/‏RSA.
סוג התקציר (digest): האלגוריתם שיצר את התקציר של רשומת DNSKEY. הוא נקרא גם אלגוריתם תקציר, גיבוב תקציר או פונקציית גיבוב (hash) לתקציר.
תקציר (digest): ערך גיבוב (hash) של רשומת ה-DNSKEY שמאפשר לזהות אותה באופן ייחודי בלי לחשוף את ערך המפתח. בהתאם לסוג התקציר, האורך יכול להיות אחד מהבאים:
- SHA1‏ – 40 ספרות הקסדצימליות
- SHA256‏ – 64 ספרות הקסדצימליות
- SHA384‏ – 96 ספרות הקסדצימליות

הערכים הדרושים לרשומות DNSKEY של שרתי שמות בהתאמה אישית

אם אתם משתמשים בשרתי שמות בהתאמה אישית, אתם חייבים לפנות לספק ה-DNS של הצד השלישי כדי להיכנס לתחומי ה-DNS של הדומיין. עבור כל DNSKEY, יש לבקש מספק ה-DNS את הערכים הבאים:

סימונים: מידע ל-DNS ולמקודדים שבו מוסבר איך לפרש את רשומת DNSKEY. כברירת מחדל, הערך הזה מוגדר ל-256 או ל-257.
פרוטוקול: ציון של גרסת DNSSEC שמשתמשים בה. הערך הזה תמיד מוגדר ל-3.
אלגוריתם: סוג האלגוריתם הקריפטוגרפי שמשמש את זוג המפתחות הציבורי או הפרטי.
מפתח ציבורי: המפתח שמשמש את מקודדי ה-DNS כדי לאמת שלא נערכו שינויים ברשומות ה-DNS.

איך משביתים DNSSEC לדומיין

נכנסים ל-Google Domains.
בוחרים את הדומיין.
בוחרים בסמל התפריט DNS.
גוללים לתיבה או לכרטיס DNSSEC.
- לשרתי השמות המוגדרים כברירת המחדל: בוחרים באפשרות השבתה.
- לשרתי שמות בהתאמה אישית: לצד כל רשומה, לוחצים על סמל המחיקה .
בוחרים באפשרות שמירה.

טיפים:

אם רוצים להסיר מתחום ה-DNS רשומות משאבים שקשורות ל-DNSSEC של שרתי שמות בהתאמה אישית, אפשר להיעזר בספק ה-DNS הרלוונטי.
כאשר משביתים את DNSSEC, מערכת Google Domains מבטלת באופן מיידי את פרסום רשומות ה-DS של הדומיין. אחרי שהשינוי יעודכן באינטרנט, הדומיין לא יהיה מוגן באמצעות DNSSEC. התהליך עשוי להימשך עד 48 שעות. כדי להשלים את ההשבתה של DNSSEC, יכול להיות שהחתימה של תחום ה-DNS שלכם ב-Google Domains תתבטל.

איך משתמשים ב-DNS דינמי

חשוב : ה-DNS הדינמי פועל עם כתובות IPv4 ו-IPv6, אך לא בו-זמנית.

עם DNS דינמי, אפשר לנתב דומיין או תת-דומיין למשאב שנמצא מאחורי שער עם כתובת IP המוקצית באופן דינמי. כדי להשתמש ב-DNS דינמי, עליכם להשתמש בשרתי שמות המוגדרים כברירת מחדל ב-Google Domains.

אם מגדירים DNS דינמי באמצעות Google Domains, אפשר:

ליצור רשומת A או רשומת AAAA לדומיין או לתת-הדומיין. רשומה כזו מורה לשרתי השמות של Google לצפות לכתובת IP דינמית.
ליצור שם משתמש וסיסמה שבאמצעותם המארח או השרת יכולים להעביר את כתובת ה-IP החדשה לשרתי השמות של Google.

אחרי שתגדירו DNS דינמי, תצטרכו להגדיר תוכנת לקוח במארח, בשרת או בשער. אלו הפעולות שיבוצעו על ידי התוכנה שתגדירו:

זיהוי שינויים בכתובת IP
שימוש בשם המשתמש ובסיסמה שנוצרו
העברת הכתובת החדשה לשרתי השמות של Google

איך מגדירים DNS דינמי

במחשב, נכנסים ל-Google Domains.
בוחרים את הדומיין.
לוחצים על סמל התפריט DNS.
בוחרים באפשרות שרתי השמות המוגדרים כברירת מחדל, Google Domains (פעיל).

אם האפשרות 'שרתי שמות בהתאמה אישית (פעילים)' נבחרה, כבר יש לכם שרתי שמות בהתאמה אישית ואין לכם אפשרות להשתמש בשירות ה-DNS הדינמי של Google Domains.

לוחצים על הצגת הגדרות מתקדמות.
לוחצים על ניהול DNS דינמי יצירת רשומה חדשה.
כדי להקצות כתובת IP דינמית, מזינים את השם של תת-הדומיין או של הדומיין הבסיסי (root).
לוחצים על שמירה.

בהמשך מפורטות אפשרויות נוספות לניהול ה-DNS הדינמי:

כדי להציג את ערכי הרשומה: לוחצים על המשולש שלצד הרשומה.
כדי להציג את שם המשתמש והסיסמה שנוצרו עבור רשומה מסוימת: לוחצים על הצגת פרטי הכניסה.
כדי להגדיר את השער או את תוכנת הלקוח כך שיצרו קשר עם שרתי השמות של Google: משתמשים בשם המשתמש ובסיסמה שנוצרו עבור הרשומה.
כדי למחוק רשומה:
1. עוברים אל 'רשומות המשאבים'.
2. לוחצים על המשולש לצד 'DNS דינמי'.
3. בוחרים באפשרות מחיקה.

איך מגדירים תוכנת לקוח בשער, במארח או בשרת

יש מספר תוכנות לקוח פופולריות לניהול של DNS דינמי, למשל DDclient ו-INADYN. ברוב הנתבים יש תוכנה מובנית לזיהוי שינויים בכתובות IP ולהעברתם לשרתי השמות.

מגדירים את לקוח ה-DNS הדינמי באמצעות הפרטים הבאים:

ספק או DNS או שירות: השם של ספק ה-DNS
שם משתמש או פרטי כניסה: שם המשתמש שנוצר ברשומת ה-DNS הדינמי
סיסמה או פרטי כניסה: הסיסמה שנוצרה ברשומת ה-DNS הדינמי

לאחר יצירת הרשומה והגדרת תוכנת הלקוח, מומלץ לבדוק את הרשומה. מזינים את תת-הדומיין ואת הדומיין בדפדפן, או בלקוח מתאים, ומוודאים שהם מתחברים למשאב הנכון.

טיפ: מערכת Google Domains משתמשת בפרוטוקול dyndns2.

דוגמאות

DDclient כולל עכשיו תמיכה ב-Google Domains.

DDclient עם תמיכה ב-Google Domains

הערכים של ddclient.conf:

ssl=yes

protocol=googledomains

login=generated_username

password=generated_password

your_resource.your_domain.tld

דוגמאות להגדרות לקוח כלליות:

DDclient
ללא תמיכה ב-Google Domains INADYN

ערכים של ddclient.conf לדוגמה:

protocol=dyndns2

use=web

server=domains.google.com

ssl=yes

login=generated_username

password=generated_password

your_resource.your_domain.tld

צריך להוסיף את הערכים הבאים ל-inadyn.conf

system default@domains.google.com

username generated_username

password generated_password

alias sub.domain.tld

איך מעדכנים את רשומת ה-DNS הדינמי באמצעות ה-API

תוכנת לקוח של DNS דינמי מעדכנת אוטומטית את רשומת ה-DNS הדינמי. תוכלו לבצע עדכונים ידניים באמצעות ה-API. לשם כך יש לשלוח בקשת POST (או בקשת GET) לכתובת ה-URL הבאה:

domains.google.com/nic/update

כדי לבצע בקשות באמצעות ה-API יש להשתמש ב-HTTPS. לפניכם בקשה לדוגמה:

https://username:password@domains.google.com/nic/update?hostname=subdomain.yourdomain.com&myip=1.2.3.4

איך מגדירים סוכן משתמש

חשוב: חובה להגדיר גם סוכן משתמש במסגרת הבקשה.

בדרך כלל, במהלך בדיקה ישירה עם כתובת ה-URL שלמעלה, domains.google.com/nic/update, דפדפני אינטרנט מוסיפים סוכן משתמש עבורכם. שאילתת ה-HTTP הסופית שנשלחת לשרתים שלנו אמורה להיראות בערך כך:

שאילתת HTTP לדוגמה:

POST /nic/update?hostname=subdomain.yourdomain.com&myip=1.2.3.4 HTTP/1.1

      מארח: domains.google.com

      הרשאה: Basic base64-encoded-auth-string

      User-Agent: Chrome/41.0 your_email@yourdomain.com

הפרמטרים של הבקשה:

פרמטר	נדרש או אופציונלי	תיאור
`username:password`	חובה	שם המשתמש והסיסמה שנוצרו ומשויכים למארח שאמור להתעדכן.
`hostname`	חובה	שם המארח שאמור להתעדכן.
`myip`	אופציונלי ל-IPv4. חובה אם יש לכם כתובת IPv6.	כתובת ה-IP שאליה מוגדר המארח. אם לא תספקו כתובת, נשתמש בכתובת ה-IP של הסוכן ששלח את הבקשה. חשוב: אם הנציג משתמש בכתובת IPv6, חובה לציין `myip`. אתם יכולים לבדוק את כתובת ה-IP של הסוכן בכתובת: https://domains.google.com/checkip.
`אופליין`	אופציונלי	פרמטר זה מגדיר את המארח הנוכחי לסטטוס אופליין. אם תתבצע בקשת עדכון במארח אופליין, המארח יוסר ממצב האופליין. הערכים המותרים הם: `כן` `לא`

לאחר עיבוד הבקשה, תוחזר אחת מהתגובות הבאות.

חשוב: הקפידו לפרש את התגובה נכון – אחרת, הלקוח עלול להיחסם במערכת שלנו.

תגובה	סטטוס	תיאור
`good {user’s IP address}`	בוצע בהצלחה	העדכון בוצע בהצלחה. עד שכתובת ה-IP תשתנה, אין לנסות לבצע עדכון נוסף.
`nochg {user’s IP address}`	בוצע בהצלחה	כתובת ה-IP שסופקה כבר מוגדרת למארח זה. עד שכתובת ה-IP תשתנה, אין לנסות לבצע עדכון נוסף.
`nohost`	שגיאה	שם המארח אינו קיים, או שה-DNS הדינמי לא מופעל אצלו.
`badauth`	שגיאה	השילוב של שם המשתמש והסיסמה אינו תקין אצל המארח שצוין.
`notfqdn`	שגיאה	שם המארח שסופק אינו שם דומיין בעל הרשאות מלאות.
`badagent`	שגיאה	הלקוח של ה-DNS הדינמי שולח בקשות שגויות. יש לוודא שסוכן המשתמש הוגדר בבקשה.
`abuse`	שגיאה	הגישה של ה-DNS הדינמי לשם המארח נחסמה מכיוון שתגובות קודמות לא פורשו נכון.
`911`	שגיאה	אירעה שגיאה בצד שלנו. יש להמתין 5 דקות ולנסות שוב.
`conflict A conflict AAAA`	שגיאה	רשומת משאבים מותאמת אישית מסוג A או AAAA מתנגשת עם העדכון. יש למחוק את רשומת המשאבים שצוינה בדף של הגדרות ה-DNS ולנסות לבצע את העדכון שוב.