Конфигурация DNSSEC

Я купил хостинг для rizsolutions.com, моего основного домена, через HosterPK. Моя локальная Linux-среда хостит мои субдомены, такие как dev.rizsolutions.com, cloud.rizsolutions.com и app.rizsolutions.com. С помощью Let’s Encrypt я обеспечил безопасность каждого веб-сервера с помощью SSL-сертификата и настроил DNS-сервер на Windows Server 2016.

Теперь я хочу настроить DNSSEC на cPanel HosterPK и на моем DNS-сервере Windows. Главное, что меня беспокоит, это то, нужно ли мне создавать ключи DNSSEC в cPanel HosterPK, а затем копировать их на мой DNS-сервер Windows, или мне следует создать ключи на своем сервере Windows и скопировать их на cPanel HosterPK? Является ли добавление элемента DNSKEY в записи DNS правильным способом настройки DNSSEC или существует другой способ?

Кроме того, я заметил, что все работает как задумано при внутреннем доступе, но не функционирует корректно при внешнем доступе, например, при попытке перейти на веб-сервера, такие как portainer.dev.rizsolutions.com. Чтобы обеспечить безопасную и соответствующую настройку, пожалуйста, предоставьте точные и актуальные настройки, необходимые для обеих систем.

Главное, что меня беспокоит, это то, нужно ли мне создавать ключи DNSSEC в cPanel HosterPK, а затем копировать их на мой DNS-сервер Windows, или мне следует создать ключи на своем сервере Windows и скопировать их на cPanel HosterPK?

Наличие собственного авторитетного DNS-сервера обычно означает, что вы не будете использовать управление DNS в cPanel вашего хостинг-провайдера – вы не можете иметь одну и ту же зону DNS, размещенную в обоих местах. (Ну, вы можете, но не пройдет и недели, как у вас появятся несовпадающие записи, и все начнет идти не так, так что выберите один или другой вариант.)

Обычная практика заключается в том, что вы генерируете пару ключей на системе, где она будет использоваться, и копируете только открытый ключ на другие системы. (Например, при выдаче HTTPS-сертификатов это никогда не центр сертификации генерирует пару ключей для вас – вместо этого ваш сервер сам генерирует пару ключей в нужном формате и предоставляет только открытый ключ для сертификации центром.)

То же самое относится и к подписанию DNSSEC. Если ваш собственный DNS-сервер будет выполнять все подписи, нет причин, чтобы ваш регистратор доменов имел доступ к вашему закрытому ключу (и меня удивляет, что он даже предлагает такую опцию) – регистратору нужен только открытый ключ (KSK), который он опубликует, чтобы резолверы могли его найти.

С другой стороны, если HosterPK будет обрабатывать DNSSEC для вас, то пусть они генерируют ключи.

Вы не обязаны использовать одни и те же ключи на протяжении всего срока действия домена; вы всегда можете мигрировать, публикуя новые ключи (записи DS) в подготовку и удаляя старые DS в конце. (Как правило, это проще, чем пытаться расшифровать, какой странный формат Windows ожидает для импорта закрытого ключа.) Это означает, что вы можете одновременно публиковать как свои ключи, так и ключи HosterPK, но это следует делать только для миграции.

Является ли добавление элемента DNSKEY в записи DNS правильным способом настройки DNSSEC, или существует другой способ?

Записи DNSKEY сами по себе бессмысленны; они имеют смысл только в сочетании с RRSIG “подписью записи”, которую генерирует ваш DNS-сервер.

Если вы используете консоль управления DNS “DNS Manager”, щелкните правой кнопкой мыши на своей зоне в левом панели и выберите “DNSSEC → Подписать зону”, чтобы она сгенерировала ключи и подписала все записи в зоне. (Она автоматически обновит подписи по расписанию и всякий раз, когда вы сделаете какие-либо обновления.)

Затем посмотрите на автоматически добавленные записи DNSKEY, в частности на “KSK” (значение флага 257), и предоставьте их вашему регистратору – либо в виде полного открытого ключа (DNSKEY), либо в виде отпечатка SHA256 (DS), в зависимости от того, что он требует (разные реестры TLD имеют разные требования, хотя в конечном итоге все равно будет опубликована только запись DS).

Чтобы обеспечить безопасную и соответствующую настройку, пожалуйста, предоставьте точные и актуальные настройки, необходимые для обеих систем.

Не задавайте свои вопросы через ChatGPT.