DNS

DNSSEC для домену на серверах ZRAZU

Як увімкнути та вимкнути DNSSEC для домену на DNS ZRAZU: що означає підпис зони, де взяти DS-запис і що робити із залишеним DS попереднього провайдера.

DNSSEC додає до зони цифровий підпис. Завдяки йому ніхто не може непомітно підмінити ваші DNS-відповіді. Функція необов'язкова, але корисна.

DNSSEC доступний, коли домен вказує на наші сервери імен ns1.zrazu.net, ns2.zrazu.net і ns3.zrazu.net. Спершу увімкніть DNS-зону й переведіть домен на сервери ZRAZU.

Як увімкнути

  1. У кабінеті відкрийте домен і вкладку DNS.
  2. У блоці DNSSEC увімкніть перемикач Підпис зони DNSSEC.
  3. Дочекайтесь етапів. Кабінет показує їх словами: «Підписуємо зону, чекаємо всі сервери імен», далі «Вносимо DS у реєстр», а в кінці «DNSSEC працює».

Для доменів, зареєстрованих у ZRAZU, DS-запис у реєстр ми вносимо самі. Для домену іншого реєстратора кабінет попросить: «Внесіть DS у реєстратора домену». У такому разі:

  1. У блоці DNSSEC скопіюйте DS-запис (Key tag, Алгоритм, Тип дайджесту, Дайджест) або кнопкою Одним рядком. Деякі реєстратори просять замість цього DNSKEY: Flags, Протокол, Алгоритм і Публічний ключ.
  2. Внесіть їх у панелі свого реєстратора, у розділі DNSSEC.
  3. Дочекайтесь стану «DNSSEC працює».

DS і DNSKEY це публічні дані. Їх можна безпечно копіювати.

Як вимкнути

  1. Вимкніть перемикач Підпис зони DNSSEC і підтвердьте Так, вимкнути DNSSEC.
  2. Спершу ми знімемо DS у реєстрі, і лише потім, згодом, підпис зони. Поспіху тут немає: поки старий DS живе в кешах, підпис мусить лишатись, щоб домен не перестав відкриватись. Наразі це не менше двох діб.
  3. Поки DNSSEC увімкнено або знімається, змінити сервери імен на чужі не можна. Спершу вимкніть DNSSEC. Увімкнути знову можна, коли підпис знято.

Чужий DS у реєстрі

Якщо раніше домен підписував інший провайдер, у реєстрі міг лишитись його DS. Перед переведенням на сервери ZRAZU зніміть його кнопкою Зняти DS у реєстрі та підтвердіть Так, зняти DS. Робіть це, лише якщо домен більше не підписується на старих серверах імен: інакше він може перестати відкриватись.

Змінювати DNSSEC може роль із правом на DNS: власник, адміністратор або технік.

Якщо не вийшло

  • «Спершу переведіть домен на сервери імен ZRAZU». DNSSEC працює лише з нашими серверами.
  • «Крок затримується, ми вже дивимося». Нічого робити не треба, ми побачимо це самі.
  • «DNSSEC ще вимикається». Зачекайте, поки підпис буде знято, і ввімкніть знову.
  • «Для домену заплановано зміну серверів імен». DNSSEC можна ввімкнути, коли зміна застосується або буде скасована.
  • Домен не відкривається після внесення DS у реєстратора. Перевірте, що DS скопійовано повністю й відповідає поточному ключу зони.

Ця сторінка в Markdown