karkarramba Jun 6 2011 at 10:24

DNSSec: Что такое и зачем

6 min

112K

System administration *

From sandbox

+46

Comments 14

shadowalone Jun 6 2011 at 13:28

Статья на 5+, но хотелось бы побольше почитать по практическим действиям — создать, подписать и т.д.

karkarramba Jun 6 2011 at 18:14

Дело в том, что по сути софта для DNSSec не так много, основные программы — Opendnssec (от компании с аналогичным названием) и dnssec-* (ISC). У первых удобнее управлять ключами, у вторых выше скорость подписи. Однако при небольших зонах (примерно до ста тысяч записей) разница в скорости не сильно заметна. Соответственно очевидным выбором (если зона не содержит миллионы записей) является Opendnssec, тем более, что со следующим релизом они собираются это отставание убрать.
Как пользоваться соответствующей софтиной лучше прочитать в документации; про софт, DLV, ключи, их ротацию и рекомендации я, если интересно, расскажу в следующий раз; а вот писать подробное хау-ту я бы не хотел — хаутушки на мой взгляд крайне отрицательное явление и использования их стоит избегать.

estet Jun 7 2011 at 08:11

забыли nsd — whyscream.net/wiki/index.php/Dnssec_howto_with_NSD_and_ldns
и unbound — www.unbound.net/documentation/howto_anchor.html

karkarramba Jun 7 2011 at 08:18

Это DNS серверы, авторитетный и рекурсивный, соответственно. Они не предоставляют средств управления ключами.
Ldns — это библиотека, в компании с ней идет несколько программ в качестве примеров. Конечно, если нет задачи автоматизировать ротацию, подписывание и не следить за временем жизни подписей, эти примеры можно использовать, но я надеюсь, Вы так делать не будете :).

lehha Jun 6 2011 at 17:19

Will DNSSEC bring down the certificate industry

кстати интересный факт может получиться, но не совсем — всё-таки перехват HTTP-данных требует защиты…

Andrew1000000 Jun 7 2011 at 13:03

По сути DNSSEC — это система, похожая на систему сертификатов, только применённая к определённой области.
Конечно, она не заменит SSL и другие технологии с применением ассиметричной криптографии.

karkarramba Jun 7 2011 at 14:25

Безусловно, это не замена, но хорошее дополнение.

UFO landed and left these words here

Grigory_Otrepyev Jan 30 2024 at 17:19

Судя по "читают сейчас" - техподдержка рос-кто-там-уронил-днс - ищет лекарство
https://habr.com/ru/news/790188/

windweb Jan 30 2024 at 17:54

да уж, актуальность этого поста стала зашкаливать.

Но всё же, некоторые старожилы хабра, осуждают комменты в некропостах.

p07a1330 Jan 30 2024 at 18:09

Кстати - почему?
Особенно, если это не новость, а условно что-то нетлеющее?

windweb Jan 30 2024 at 19:31

Полагаю, что они считают такие комменты в старых темах не имеют смысла или актуальности.
Правда бывают исключения, когда даже старые темы могут стать интересными и актуальными в определенных контекстах.

Javian Feb 2 2024 at 05:27

Есть вещи не устаревающие, а есть (чаще нетехнические) статьи, которые сейчас читаешь и удивляешься как оно через несколько лет вывернулось.

FotoHunter Oct 14 at 08:02

Игрался с DNSSEC - польза сомнительная, зато при смене регистратора может "некрасиво" получиться. Я про то, что нужно сначала УДАЛИТЬ DNSSEC а уже потом уходить с Руцентра прочитал, когда переехал и как результат - мои DNSSEC ключики у регистартора НИКТО не зачистил и домен как бы есть, но для тех, кто юзает DNSSEC - его как бы нет :( Пришлось откатывать домен обратно на руцентр, удалять привязку к DNSSEC и уже после этого окончательно уходить!!! А БЕЗ привязки к регистратору технология не только теряет смысл, но и вредна т.к. выше было сказано - трафика нужно больше прокинуть, а это UDP и что то где то может не прочитаться... У меня условно 3 домена в зонах .ORG.RU, .SPB.RU, .RU - руцентр поддерживает DNSSEC для (.SPB.RU, .RU), а Reg.RU к которому я переехал, может подписать только .RU и соответственно .ORG.RU - переехал без проблем, у него как был ключ не прикреплённый к верхней зоне, так ему и ничем это и не помешало, домен остался легальным. А вот .SPB.RU, .RU - конкретно так перекосило т.е. они стали BOGUS и при попытке их резолвить на 8.8.8.8, 8.8.4.4., 1.1.1.1 - я получил пустоту вместо ip.
https://dnsviz.net - инструмент для анализа подписанной зоны, практически всё, что написано в статье, только наглядно в виде блоксхем. А в настоящее время, при "локализации" корневых зон с отрывом от реальных корней - DNSSEC - однозначно перекосит.
Так же я баловался с подписью локальных доменов локальных подсетей и обратную зону - забавно, но бессмысленно :-)