Konfigurera DNSSEC- och DNS-säkerhet

Domännamnssystem (DNS) översätter webbadresser som kan läsas av människor, som google.com, till maskinläsbara IP-adresser för en viss webbplats, till exempel 172.217.3.206. Konfigurera DNSSEC (säkerhetstillägg för domännamnssystem) för att förebygga hot mot domänen, till exempel cacheförgiftning och DNS-identitetsförfalskning.

Aktivera DNSSEC för din domän

Obs!

Vissa toppdomäner (TLD) godkänner DNS Public Key (DNSKEY)-poster i stället för Delegation Signer-poster (DS).
Om du ursprungligen köpte ditt domännamn från Google Domains kanske DNSSEC redan är konfigurerat åt dig.
Om din domän har en ALIAS-post går det inte att aktivera DNSSEC. Läs mer om ALIAS-poster.

För att konfigurera DNSSEC för domänen måste du lägga till specifika resursposter för DNS eller signeringszonen och publicera dem för din domän. Om du använder Google Domains automatiska konfiguration av DNSSEC tar vi hand om båda stegen åt dig. Det kan ta upp till 24 timmar innan ändringarna uppdateras och DNSSEC är aktivt.

Logga in på Google Domains.
Välj din domän.
Välj Meny DNS längst upp till vänster.
Välj antingen Standardnamnservrar eller Anpassade namnservrar.
Scrolla till DNSSEC-kortet eller rutan.
- För standardnamnservrar: Klicka på Aktivera. Om DNSSEC redan har aktiverats visas DNSSEC aktiverat.
- För anpassade namnservrar: Klicka Hantera DS-poster och ange infon från DNS-leverantören.
  1. Ange värdena av DNS-leverantören från tredje part för DNSSEC eller DNSKEY för anpassade namnservrar.
  2. Om du vill lägga till flera poster samtidigt klickar du på Skapa ny post.
  3. Klicka på Spara.

Tips!

Om du väljer att inte vänta på att DNSKEY-posterna ska publiceras kan du utöka DNSSEC-kortet och klicka på Publicera poster nu under DNSSEC.
När du aktiverar DNSSEC signeras DNS-zonen automatiskt av Google Domains och dina Delegation Signer-poster (DS) publiceras inom två timmar.

Värden som krävs för DNSSEC för en anpassad namnserver

Om du använder anpassade namnservrar måste du samarbeta med en extern DNS-leverantör för att logga in i DNS-zonen för domänen. För varje DNSKEY hämtar du följande värden från din DNS-leverantör:

Nyckeltagg: En siffra som avser en befintlig DNSKEY-post.
Algoritm: Krypteringsalgoritm som skapar säkerhetsnyckeln i DNSKEY-posten. Den är normalt ihopparad med en hashfunktion som RSA/SHA1.
Kondensattyp: Algoritm som skapar ett kondensat av en DNSKEY-post. Det kallas även för kondensatets algoritm, hash eller hashfunktion.
Kondensat: Hashvärde för DNSKEY-posten som identifierar den unikt utan att avslöja nyckelvärdet. Beroende på kondensattypen kan längden vara följande:
- SHA1: 40 hexadecimala siffror
- SHA256: 64 hexadecimala siffror
- SHA384: 96 hexadecimala siffror

Värden som krävs för DNSKEY för en anpassad namnserver

Om du använder anpassade namnservrar måste du kontakta din DNS-leverantör från tredje part som loggar in på DNS-zonerna för domänen. För varje DNSKEY hämtar du följande värden från din DNS-leverantör:

Flaggor: Information som anger för DNS och resolvers hur DNSKEY-posten ska tolkas. Det här värdet är inställt på 256 eller 257 som standard.
Protokoll: Anger vilken version av DNSSEC som används. Värdet är alltid inställt på 3.
Algoritm: Anger typen av kryptografisk algoritm som används för den offentliga/privata nyckeln.
Offentlig nyckel: Nyckeln som DNS-resolvers använder för att validera att DNS-posterna inte har manipulerats.

Inaktivera DNSSEC för din domän

Logga in på Google Domains.
Välj din domän.
Öppna menyn DNS.
Scrolla till DNSSEC-kortet eller rutan.
- Välj Inaktivera för standardnamnservrar.
- För anpassade namnservrar: Klicka på Radera bredvid varje post.
Välj Spara.

Tips!

För att ta bort DNSSEC-relaterade resursposter från zonen för anpassade namnservrar kan du arbeta med DNS-leverantören.
När du inaktiverar DNSSEC tar Google Domains omedelbart bort domänens DS-poster. När ändringen har uppdaterats på internet är domänen inte längre DNSSEC-skyddad. Detta kan ta upp till 48 timmar. Google Domains kan komma att ta bort signeringen för att slutföra inaktiveringen av DNSSEC.

Använd dynamisk DNS

Viktigt! Dynamisk DNS fungerar med IPv4- och IPv6-adresser, men inte samtidigt.

Med dynamisk DNS kan du dirigera en domän eller underdomän till en resurs som ligger bakom en gateway där IP-adressen tilldelas dynamiskt. Använd Google Domains standardnamnservrar för dynamisk DNS.

Om du konfigurerar dynamisk DNS med Google Domains kan du

skapa en A- eller AAAA-post för din domän eller underdomän som gör att Google-namnservrarna förväntar sig en dynamisk IP-adress
generera ett användarnamn och lösenord som värden eller servern använder för att skicka den nya IP-adressen till Googles namnservrar.

När du har konfigurerat dynamisk DNS måste du konfigurera ett klientprogram på din värd, server eller gateway som

identifierar IP-adressändringar
använder det genererade användarnamnet och lösenordet
kommunicerar den nya adressen till Googles namnservrar.

Konfigurera dynamisk DNS

Logga in på Google Domains på datorn.
Välj din domän.
Klicka på Meny DNS.
Välj Google Domains standardnamnservrar (Aktiva).

Om Anpassade namnservrar (Aktiva) har valts har du redan anpassade namnservrar och kan inte använda Google Domains dynamiska DNS-tjänst.

Klicka på Visa avancerade inställningar.
Klicka på Hantera dynamisk DNS Skapa ny post.
Ange underdomänen eller rotdomänen om du vill tilldela en dynamisk IP-adress.
Klicka på Spara.

Så här kan du också hantera dynamisk DNS:

Visa postvärden: Klicka på triangeln bredvid posten.
Visa användarnamnet och lösenordet som skapats för den här posten: Klicka på Visa användaruppgifter.
Om du vill konfigurera din gateway eller klientprogramvara för att kontakta Googles namnservrar använder du användarnamnet och lösenordet som skapats för posten.
Så här raderar du en post:
1. Öppna Resursposter.
2. Klicka på triangeln bredvid Dynamisk DNS.
3. Välj Radera.

Ställa in ett klientprogram på en gateway, värd eller server

Det finns flera populära klienter för dynamisk DNS som DDclient och INADYN. De flesta routrarna kan identifiera IP-ändringar och kommunicera dem med namnservrar via inbyggda program.

Konfigurera din dynamiska DNA-klient med följande:

Leverantör, DNS eller Tjänst: namnet på DNS-leverantören.
Användarnamn eller inloggningsuppgift: användarnamnet som genererades i den dynamiska DNS-posten.
Lösenord eller inloggningsuppgift: lösenordet som genererades i den dynamiska DNS-posten.

När du har skapat posten och konfigurerat klientprogrammet ska du testa posten. Ange underdomänen och domänen i en webbläsare eller lämplig klient och se till att de ansluter till rätt resurs.

Obs! I Google Domains används protokollet dyndns2.

Exempel

DDclient har nu stöd för Google Domains.

DDclient med stöd för Google Domains

ddclient.conf-poster:

ssl=yes

protocol=googledomains

login=genererat_användarnamn

password=genererat_lösenord

din_resurs.din_doman.tld

Allmänna exempel på klientkonfiguration:

DDclient
utan stöd för Google Domains INADYN

Exempel på ddclient.conf-poster:

protocol=dyndns2

use=web

server=domains.google.com

ssl=yes

login=genererat_användarnamn

password=genererat_lösenord

din_resurs.din_doman.tld

Lägg till följande i inadyn.conf

system default@domains.google.com

username genererat_användarnamn

password genererat_lösenord

alias sub.doman.tld

Uppdatera den dynamiska DNS-posten med API:t

Klientprogram för dynamisk DNS uppdaterar dina dynamiska DNS-poster automatiskt. Du kan göra manuella uppdateringar med API:t genom att skicka en POST-begäran (eller GET) till följande webbadress:

domains.google.com/nic/update

För API:t krävs HTTPS. Här är en exempelbegäran:

https://anvandarnamn:losenord@domains.google.com/nic/update?hostname=underdoman.din_doman.se&myip=1.2.3.4

Ange en användaragent

Obs! Du måste även ställa in en användaragent i begäran.

Under ett test med webbadressen ovan domains.google.com/nic/update lägger webbadresser i regel till en användaragent åt dig. Den slutliga HTTP-begäran som skickas till våra servrar ska vara ungefär så här:

Exempel på HTTP-begäran:

POST /nic/update?hostname=underdoman.dindoman.com&myip=1.2.3.4 HTTP/1.1

      Host: domains.google.com

      Authorization: Basic base64-encoded-auth-string

      User-Agent: Chrome/41.0 din_epost@dindoman.com

Parametrar i begäran:

Parameter	Obligatoriskt eller valfritt	Beskrivning
`username:password`	Obligatorisk	Användarnamnet och lösenordet som genererades för värden som ska uppdateras.
`hostname`	Obligatorisk	Det värdnamn som ska uppdateras.
`myip`	Valfritt för IPv4. Obligatorisk om du har en IPv6-adress.	IP-adressen som värden är inställd på. Om du inte anger den här parametern används IP-adressen för agenten som skickade begäran. Obs! `myip` krävs om agenten använder en IPv6-adress. Du kan kontrollera agentens IP-adress på https://domains.google.com/checkip.
`offline`	Valfri	Ställer in offlinestatus för den aktuella värden. Om en uppdateringsbegäran utförs på en offlinevärd tas värden ur offlinestatusen. Värdet måste vara `ja` `nej`

När begäran har behandlats returneras ett av följande svar.

Viktigt: Se till att du tolkar svaret på rätt sätt, annars kan klienten blockeras i vårt system.

Svar	Status	Beskrivning
`good {användarens IP-adress}`	Klart	Uppdateringen utfördes. Uppdatera inte igen förrän IP-adressen faktiskt har ändrats.
`nochg {användarens IP-adress}`	Klart	Den angivna IP-adressen är redan inställd för värden. Uppdatera inte igen förrän IP-adressen faktiskt har ändrats.
`nohost`	Fel	Värdnamnet finns inte, eller så är inte dynamisk DNS aktiverad på värden.
`badauth`	Fel	Kombinationen av användarnamn och lösenord är inte giltig för den angivna värden.
`notfqdn`	Fel	Det angivna värdnamnet är inte ett giltigt, helt kvalificerat domännamn.
`badagent`	Fel	Klienten för dynamisk DNS skickar felaktiga begäranden. Kontrollera att användaragenten är inställd i begäran.
`abuse`	Fel	Åtkomsten till dynamisk DNS har blockerats för värdnamnet eftersom det inte gått att tolka tidigare svar på rätt sätt.
`911`	Fel	Ett fel inträffade på vårt håll. Vänta fem minuter och försök igen.
`conflict A conflict AAAA`	Fel	En anpassad A- eller AAAA-resurspost står i konflikt med uppdateringen. Ta bort den angivna resursposten på sidan med DNS-inställningar och försök att uppdatera igen.