DNS

DNSSEC для домена на серверах ZRAZU

Как включить и выключить DNSSEC для домена на DNS ZRAZU: что значит подпись зоны, где взять DS-запись и что делать с DS, оставшимся от прежнего провайдера.

DNSSEC добавляет к зоне цифровую подпись. Благодаря ей никто не может незаметно подменить ваши DNS-ответы. Функция необязательная, но полезная.

DNSSEC доступен, когда домен указывает на наши серверы имён ns1.zrazu.net, ns2.zrazu.net и ns3.zrazu.net. Сначала включите DNS-зону и переведите домен на серверы ZRAZU.

Как включить

  1. В кабинете откройте домен и вкладку DNS.
  2. В блоке DNSSEC включите переключатель Подпись зоны DNSSEC.
  3. Дождитесь этапов. Кабинет показывает их словами: «Подписываем зону, ждём все серверы имён», затем «Вносим DS в реестр», а в конце «DNSSEC работает».

Для доменов, зарегистрированных в ZRAZU, DS-запись в реестр мы вносим сами. Для домена другого регистратора кабинет попросит: «Внесите DS у регистратора домена». В таком случае:

  1. В блоке DNSSEC скопируйте DS-запись (Key tag, Алгоритм, Тип дайджеста, Дайджест) или воспользуйтесь кнопкой Одной строкой. Некоторые регистраторы просят вместо этого DNSKEY: Flags, Протокол, Алгоритм и Публичный ключ.
  2. Внесите их в панели своего регистратора, в разделе DNSSEC.
  3. Дождитесь состояния «DNSSEC работает».

DS и DNSKEY — это публичные данные. Их можно безопасно копировать.

Как выключить

  1. Выключите переключатель Подпись зоны DNSSEC и подтвердите Да, выключить DNSSEC.
  2. Сначала мы снимем DS в реестре, и лишь потом, позже, подпись зоны. Спешки тут нет: пока старый DS живёт в кэшах, подпись должна оставаться, чтобы домен не перестал открываться. Сейчас это не менее двух суток.
  3. Пока DNSSEC включён или снимается, сменить серверы имён на чужие нельзя. Сначала выключите DNSSEC. Включить снова можно, когда подпись снята.

Чужой DS в реестре

Если раньше домен подписывал другой провайдер, в реестре мог остаться его DS. Перед переводом на серверы ZRAZU снимите его кнопкой Снять DS в реестре и подтвердите Да, снять DS. Делайте это, только если домен больше не подписывается на старых серверах имён: иначе он может перестать открываться.

Менять DNSSEC может роль с правом на DNS: владелец, администратор или техник.

Если не получилось

  • «Сначала переведите домен на серверы имён ZRAZU». DNSSEC работает только с нашими серверами.
  • «Шаг задерживается, мы уже смотрим». Делать ничего не нужно, мы увидим это сами.
  • «DNSSEC ещё выключается». Подождите, пока подпись будет снята, и включите снова.
  • «Для домена запланирована смена серверов имён». DNSSEC можно включить, когда смена применится или будет отменена.
  • Домен не открывается после внесения DS у регистратора. Проверьте, что DS скопирован полностью и соответствует текущему ключу зоны.

Эта страница в Markdown