Корень
Вершина дерева DNS. Корневые серверы помогают резолверам найти правильный TLD.
ДОМЕННАЯ ИНФРАСТРУКТУРА И БЕЗОПАСНОСТЬ
DNS & DNSSEC
Узнайте, как подключается ваш домен и как DNSSEC помогает его защитить
DNS связывает ваше доменное имя с веб-сайтами, электронной почтой и онлайн-сервисами. DNSSEC добавляет криптографическую проверку, которая помогает пользователям и резолверам доверять получаемой ими информации DNS.
Фонд
Что такое DNS?
DNS означает систему доменных имен. Он преобразует удобочитаемые доменные имена, такие как example.com, в информацию, которую могут использовать компьютеры, например 93.184.216.34.
Думайте о домене как об адресе, который люди помнят, об IP-адресе как об адресе, который используют компьютеры, а о DNS как о системе, которая их соединяет.
Доменное имя example.com Легко запомнить.
DNS Система поиска Ищет, куда должен указывать домен.
IP-адрес 93.184.216.34 Помогает устройствам обнаружить сервер.
Разрешение
Как работает DNS
Что происходит после того, как кто-то вводит ваш домен в браузер?
01
Пользователь
Кто-то вводит example.com в браузере или приложении.
02
Рекурсивный DNS-резолвер
Рекурсивный DNS-резолвер начинает поиск, если ответа нет в кэше.
03
Корневые серверы
Корневой DNS-сервер направляет резолвер к нужному TLD.
04
TLD Серверы
Зона TLD направляет резолвер к авторитетным неймсерверам домена.
05
Авторитетный DNS
Авторитетные серверы хранят опубликованные записи домена и возвращают ответ.
06
IP / Сервисные данные
Резолвер получает IP-адрес или другую запись, необходимую для запроса.
07
Сайт/Сервис
Клиент использует этот ответ для доступа к веб-сайту, почтовой системе или другой службе.
Структура
DNS — это глобальная иерархия
DNS организован в виде дерева — от корня вниз до авторитетной зоны вашего домена.
Корень (.)
.COM
.AM
.GE
Авторитетный неймсерверы
example.com
TLD
Домены верхнего уровня, такие как .com, .am или .ge, управляют делегированием своих пространств имен.
Авторитетный
Авторитетные серверы публикуют записи, определяющие, куда указывает ваш домен.
Рекурсивный
Рекурсивные резолверы проходят иерархию DNS от имени пользователей и кэшируют ответы.
Типы записей
Строительные блоки DNS
Эти записи сообщают Интернету, как ваш домен должен подключаться к службам.
IPv4
Сопоставляет имя хоста с адресом IPv4.
example.com → 93.184.216.34
IPv6
Сопоставляет имя хоста с адресом IPv6.
example.com → 2606:2800:220:1:248:1893:25c8:1946
Каноническое имя
Сравнивает одно имя хоста с другим именем хоста.
www.example.com → example.com
Обмен почтой
Направляет электронную почту домена на почтовые серверы.
example.com → mail.example.com
Текстовые данные
Публикует политику проверки, SPF, DKIM и другие текстовые политики.
v=spf1 include:_spf.example.com ~all
Неймсервер
Делегирует зону авторитетному неймсерверы.
example.com → ns1.example.net
Воздействие
DNS Возможности больше, чем ваш сайт
DNS — это уровень маршрутизации, благодаря которому люди и системы находят ваше присутствие в Интернете.
Веб-сайт
Записи A и AAAA (и связанные с ними) определяют, какие серверы отвечают за ваш сайт.
электронная почта
MX и поддерживающие его записи TXT управляют доставкой почты и проверками аутентификации.
Услуги
APIs, CDN, токены проверки и инструменты SaaS часто зависят от записей DNS.
Доменная инфраструктура
Записи NS и данные зоны определяют, кто публикует авторитетные ответы для домена.
Расширения безопасности
Что такое DNSSEC?
DNSSEC (расширения безопасности системы доменных имен) добавляет криптографические подписи к данным DNS, чтобы проверяющий преобразователь мог убедиться, что ответы являются подлинными и не были подделаны.
Без DNSSEC
- DNS ответы можно найти, но нельзя проверить криптографически
- Поддельный ответ может выглядеть как обычный ответ
- Доверие в основном зависит от сетевого пути и поведения кэширования.
С DNSSEC
- Подписанные DNS данные могут быть проверены
- Недействительные подписи могут быть отклонены.
- Цепочка доверительных ссылок корень → TLD → домен
Разъяснение
DNSSEC Не заменяет DNS
DNS + DNSSEC = DNS с проверкой
DNS по-прежнему публикует и разрешает записи. DNSSEC добавляет слой проверки поверх этих данных.
Что такое DNSSEC
Помогает проверяющим резолверам сопоставить ответы DNS с подписанными данными зоны в цепочке доверия.
Чего не следует предполагать
DNSSEC не шифрует трафик веб-сайта, не заменяет HTTPS/TLS, не скрывает IP-адреса и не делает DNS конфиденциальным.
Сравнение
DNS против DNSSEC
DNS находит ответ. DNSSEC помогает проверить ответ.
DNS
- Разрешает имена в записи
- Подключает домены к сайтам, почте и сервисам
- Самостоятельно не проверяет ответы криптографически.
DNSSEC
- Подписывает данные DNS с помощью криптографических ключей.
- Позволяет проверяющим резолверам подтвердить подлинность
- Помогает обнаружить поддельные или поддельные подписанные ответы.
Путь проверки
Как DNSSEC укрепляет доверие
Проверяющий резолвер с поддержкой DNSSEC проверяет подписи по цепочке доверия перед принятием ответа.
01
Запрос
Клиент запрашивает данные DNS для подписанного домена.
02
Проверяющий DNS-резолвер
Рекурсивный резолвер с поддержкой DNSSEC запрашивает ответы и связанные с ними подписи.
03
Подписанный ответ
Авторитетная зона возвращает записи и подписи RRSIG.
04
DNSKEY
Резолвер получает открытые ключи зоны, опубликованные в виде записей DNSKEY.
05
DS у родителя
Запись DS в родительской зоне связывает дочерний ключ с иерархией.
06
Проверка цепи
Проверка продолжается вверх до TLD и при необходимости закрепляется корневое доверие.
07
Подпись Проверить
Проверяющий преобразователь проверяет, соответствуют ли подписи возвращаемым данным.
08
Принять или отклонить
Принимаются действительные ответы; неудачная проверка может привести к отклонению ответа.
Модель доверия
Цепочка доверия DNSSEC
Каждая ссылка аутентифицирует следующую — от корня до подписанных данных вашего домена.
Корневой DNSKEY Якорь доверия
DS Указывает на TLD
TLD DNSKEY Ключ родительской зоны
DS Указывает на домен
DNSKEY домена Ключ дочерней зоны
RRSIG Подписывает записи
Подтверждено Доверенный ответ
DNSSEC Рекорды
Важные DNSSEC записи
Эти записи делают возможной криптографическую проверку.
Открытый ключ зоны
Публикует открытый ключ, используемый для проверки подписей для подписанной зоны.
example.com DNSKEY …
Подписант делегации
Публикуется в родительской зоне для безопасного связывания дочернего DNSKEY с цепочкой.
example.com DS 2371 13 2 5A8F…
Фирменный набор
Содержит криптографическую подпись, охватывающую набор из DNS записей.
example.com RRSIG A …
Как они соединяются
DNSKEY подписывает данные зоны через RRSIG. DS на родительском уровне аутентифицирует дочерний DNSKEY. Вместе они образуют путь проверки.
Почему это важно
Почему DNSSEC имеет значение
DNSSEC помогает защитить, обнаружить и предотвратить определенные классы атак на целостность DNS — само по себе оно не является полным решением безопасности.
Подмена
Помогает обнаружить поддельные ответы DNS, которые не проходят проверку подписи на проверяющем преобразователе.
Отравление кэша
Помогает предотвратить принятие отравленных записей кэша в случае сбоя проверки подписанных данных.
Подделанные данные
Помогает обнаружить измененные записи DNS, которые больше не соответствуют своим криптографическим подписям.
Перенаправление домена
Помогает защитить пользователей от молчаливого перенаправления через поддельные пункты назначения DNS.
Проверка целостности
Что происходит, когда DNS атакуют
Простой взгляд на то, как проверка меняет результат поддельного ответа.
Без DNSSEC
Ложный ответ принят
Злоумышленник вводит поддельный ответ DNS. Без подписей, которые нужно проверить, преобразователь может принять поддельный ответ и отправить пользователей не в тот пункт назначения.
Нет криптографической проверки ответа DNS
С DNSSEC
Недействительно отклонено/действительно принято
Проверяющий преобразователь проверяет подписи. Неверные или поддельные ответы могут быть отклонены; правильно подписанные ответы могут быть приняты с большей уверенностью.
Проверка подписи, прежде чем доверять ответу
Слои
DNSSEC и HTTPS защищают разные вещи
Они защищают разные слои. Вместе они сильнее.
DNS честность ответа
Помогает при проверке резолверов подтвердить, что записи DNS являются подлинными и неподдельными.
Безопасность соединения
Шифрует и аутентифицирует соединение между клиентом и веб-сервером.
DNSSEC не заменяет TLS
Используйте DNSSEC для укрепления доверия DNS там, где это поддерживается, и HTTPS для защиты сеансов веб-сайта. Одно не заменяет другое.
Честные ограничения
Что DNSSEC защищает — и не защищает
Четкие границы укрепляют доверие. DNSSEC является мощным внутри слоя DNS — и только там.
DNSSEC помогает
- Подтвердить DNS ответы
- Обнаружение измененных подписанных DNS данных
- Создание цепочки доверия
- Снижение определенных рисков спуфинга
DNSSEC нет
- Шифрование трафика веб-сайта
- Заменить HTTPS
- Защита слабых паролей
- Код безопасного приложения
- Предотвратить каждую кибератаку
GlobalR
Управляйте DNSSEC с помощью GlobalR
Для поддерживаемых доменов GlobalR позволяет управлять записями DNSSEC DS в интерфейсе управления доменом. Доступность зависит от расширения домена и поддержки реестр.
Ваш провайдер DNS обычно подписывает зону и предоставляет данные DS. Вы настраиваете эти значения DS в GlobalR, чтобы родительский реестр мог их опубликовать. GlobalR не предусматривает автоматическое создание ключей на этой странице.
Обзор
DNSSEC Рекорды
Неймсерверы
Иллюстративное превью — не статус живого домена.
| Поле | Запись ДС №1 | |
|---|---|---|
| Ключевой тег | 2371 | |
| Алгоритм | 13 | |
| Тип дайджеста | 2 | |
| Дайджест | 5A8F… | Редактировать |
DS Запись №2 Добавить DNSSEC Запись
Сохранить изменения
Гибкость
Поддержка нескольких записей DS
Некоторые конфигурации DNSSEC используют несколько записей DS — например, во время изменения ключа или в зависимости от конфигурации реестр.
ДОМЕН DNSSEC
├── Запись DS 1 ├── Запись DS 2 └── Запись DS 3
Активация
Как обычно работает конфигурация DNSSEC
Точные шаги зависят от хостинг-провайдера DNS, реестр и TLD.
01
DNS Провайдер
Подписывает зону DNS и готовит материал DNSSEC.
02
Информация о ДС
Предоставляет сведения DS/DNSSEC, необходимые родительскому элементу.
03
GlobalR
Запись DS настроена для поддерживаемого домена.
04
Реестр
Родительская зона публикует информацию DS.
05
Проверяющий DNS-резолвер
Может проверить цепочку доверия для подписанных ответов.
Поставщик и дисперсия TLD
Рабочие процессы различаются на хостах DNS и реестры. DNSSEC доступность зависит от расширения домена и реестр поддержка — GlobalR не обещает DNSSEC для каждого расширения.
Варианты использования
Кому выгодна DNSSEC?
DNSSEC особенно полезен там, где поддельные ответы DNS могут вызвать серьезное доверие или нанести вред бренду.
Бизнес-сайты
Добавьте еще один уровень доверия DNS для доменов компании.
Финансовый / коммерция
Полезно, когда целостность домена имеет большое значение для транзакций и учетных записей.
Клиентские порталы
Помогает защитить DNS доверие к именам хостов службы входа и учетной записи.
Домены электронной почты
Может способствовать укреплению безопасности DNS. Включение DNSSEC само по себе не обеспечивает защиту содержимого электронной почты.
Критически важные для бренда домены
Помогает снизить риски, связанные с поддельными отзывами DNS для ценных брендов.
Государственные услуги
Полезно для доменов, где подлинность места назначения особенно важна.
Иллюстративный статус
Безопасность домена: краткий обзор
Только пример панели, а не мониторинг реального домена в реальном времени.
Безопасность домена
example.com
DNS ● Активный
неймсерверы ● Подключено
DNSSEC ● Включено
DS Records 2
Цепочка доверия ✓ Действует
Последняя проверка Недавно
Часто задаваемые вопросы
Часто задаваемые вопросы
Краткие ответы о DNS, DNSSEC и управлении записями DS с помощью GlobalR.
Что такое DNS?
DNS (система доменных имен) преобразует удобочитаемые доменные имена, такие как example.com, в ответы, пригодные для использования машиной, такие как IP-адреса, почтовые серверы и другие служебные записи.
Зачем моему домену нужен DNS?
Без DNS браузеры и приложения не смогут найти, куда должен указывать ваш домен. DNS соединяет ваш домен с веб-сайтами, электронной почтой и другими онлайн-сервисами.
Что такое запись DNS?
Запись DNS — это опубликованная инструкция для домена (например, A, AAAA, CNAME, MX, TXT или NS), которая сообщает резолверам, как найти службу или связанное имя.
В чем разница между записями A и CNAME?
Запись A сопоставляет имя непосредственно с адресом IPv4. CNAME сопоставляет имя с другим именем хоста, которое затем разрешается дальше.
Что такое DNSSEC?
DNSSEC (расширения безопасности системы доменных имен) добавляет криптографические подписи, чтобы проверяющие преобразователи могли убедиться, что ответы DNS являются подлинными и не были подделаны при передаче.
Заменяет ли DNSSEC DNS?
Нет. DNSSEC расширяет DNS с проверкой. Вам по-прежнему потребуется DNS для публикации и разрешения записей; DNSSEC помогает подтвердить, что эти ответы заслуживают доверия.
Шифрует ли DNSSEC трафик DNS?
№ DNSSEC знаки DNS данные о подлинности и целостности. Он не шифрует DNS запросы или трафик веб-сайта.
Заменяет ли DNSSEC HTTPS?
Нет. DNSSEC помогает проверить ответы DNS. HTTPS/TLS шифрует и аутентифицирует соединение с веб-сервером. Они защищают разные слои и лучше всего работают вместе.
Что такое запись DS?
Запись DS (лицо, подписывающее делегирование) публикуется в родительской зоне. Он связывает DNSKEY дочернего домена с цепочкой доверия DNSSEC.
Что такое DNSKEY?
Запись DNSKEY публикует открытый ключ, используемый в зоне, подписанной DNSSEC, чтобы преобразователи могли проверять подписи для данных этой зоны.
Что такое RRSIG?
Запись RRSIG — это криптографическая подпись, охватывающая набор записей DNS (набор RRset), позволяющая проверяющему преобразователю проверять соответствие данных ключам зоны.
Что такое цепочка доверия DNSSEC?
Цепочка доверия — это связанный путь ключей и записей DS от корня DNS до TLDs к вашему домену, позволяющий проверяющему преобразователю доказывать подлинность ответов.
Может ли каждый домен использовать DNSSEC?
Доступность DNSSEC зависит от расширения домена и поддержки реестр. Ваш поставщик DNS и рабочий процесс регистратор также должны поддерживать подпись и публикацию DS.
Могу ли я настроить несколько записей DS?
Да. В некоторых настройках используется несколько записей DS — например, при изменении ключей или на основе требований реестр. GlobalR поддерживает управление несколькими записями DS, где доступен DNSSEC.
Как мне управлять DNSSEC в GlobalR?
Для поддерживаемых доменов войдите в свою учетную запись GlobalR, откройте настройки домена DNSSEC и настройте данные записи DS, предоставленные вашим провайдером DNS. Доступность DNSSEC зависит от расширения домена и поддержки реестр.
Следующий шаг
Укрепите свой домен DNS фундаментом
Изучите конфигурацию DNS, управляйте инфраструктурой своего домена и добавьте проверку DNSSEC там, где это поддерживается.
Доступность DNSSEC зависит от расширения домена и поддержки реестр.