ドメイン
ドメインの DNSSEC を有効にする
DNSSEC signs your DNS zone cryptographically so that resolvers can prove an answer really came from you, and Kapsule can turn it on for any domain whose DNS we host.
DNSSECはDNSゾーンに暗号署名を施すため、リゾルバーが回答が本当にあなたから来たものであることを証明できます。Kapsuleでは、DNSをホストしているドメインなら、任意のドメインに対してこの機能をオンにできます。
DNSSECがない場合、DNS回答は単なる署名なしパケットに過ぎず、リゾルバーのキャッシュに偽造応答を注入できる攻撃者は、ブラウザバーに依然としてあなたのドメインが表示されているのに、訪問者を攻撃者のサーバーに送信できます。DNSSECはこれを防ぐため、ゾーンの署名からレジストリまでチェーンを構築します。本ガイドでは、オンにする方法、DSレコードを公開する方法、各ステータスの読み方、壊れたチェーンを修復する方法、およびオフにするときに重要な1つの順序規則をカバーしています。
始める前に
DNSSECカードは、ドメインのDNSゾーンがKapsuleネームサーバーでホストされている場合にのみ表示されます。セキュリティタブに表示されない場合、あなたのドメインは他社のDNSから応答しています。
Kapsuleのネームサーバー、4つすべて:
ns1.kapsulecloud.com
ns2.kapsulecloud.com
ns3.kapsuledns.com
ns4.kapsuledns.com
毎回4つすべてを指定してください。2つの異なるトップレベルドメインは意図的なものです。1つの親ゾーンの問題が、当社のすべてのネームサーバーを同時に停止させることはできません。ドメインをこれらに指定する方法については、ネームサーバーを参照してください。
DNSSECを有効にする
- KPanelにサインインし、左側のサイドバーでDomainsをクリックします。
- 署名するドメインをクリックします。
- Securityタブを開きます。DNSSECカードは一番上にあり、プライバシーとロックの上にあります。
- カード上の現在のステータスを読みます: Disabled、Pending、またはActive。
- Enable DNSSECをクリックします。
KPanelは"DNSSEC enabled. Add the DS record to your registrar to activate."と確認メッセージを表示します。
ゾーンに署名することは仕事の半分に過ぎません。レジストリの親ゾーンに一致するDSレコードが存在するまで、リゾルバーがあなたのゾーンに署名があることを知る方法はなく、何も検証されません。次のセクションはスキップできません。
DSレコードを公開する
DS（Delegation Signer）レコードは署名キーのフィンガープリントであり、ドメイン階層の1段上で保持されます。これが署名されたゾーンを検証されたゾーンに変えるものです。
ドメインがKapsuleで登録されている場合
何もする必要はありません。Kapsuleはあなたのために自動的にDSレコードをレジストリに送信し、最新の状態を保ちます。カードには直接こう書かれています: "Active, managed automatically. We publish and renew the DS record at the registry for you."
とにかく値を見たい場合は、View technical detailsをクリックしてください。
ドメインが別の場所で登録されている場合
DSレコードを手動で移す必要があります。Kapsuleがゾーンに署名します。DSレコードを親に配置できるのはあなたのレジストラーだけです。
- DNSSECカード上で、DS Record: add to your registrarパネルを展開します。
- 3つの値すべてをコピーします:
| フィールド | それは何か |
|---|---|
| Key tag | 署名キーの短い数値識別子 |
| Algorithm | 署名アルゴリズム番号 |
| Digest type | ダイジェストに使用されるハッシュタイプ |
- あなたのレジストラーにサインインし、そのDNSSECまたはDS Recordsセクションを見つけます。表現は異なりますが、ほぼ常にドメインセキュリティ設定の下にあります。
- 値を表示されたとおりに正確に貼り付けて保存します。
あなたのゾーンに実際に署名しているキーと一致しないDSレコードは、DSレコードがまったくない場合よりも悪いです。検証リゾルバーは、あなたのドメインのすべての回答を偽造と見なし、解決を拒否します。これにより、インターネットの大部分であなたのウェブサイトとメールがオフラインになります。値をコピーし、再度入力せず、その後ステータスが有効になることを確認してください。
ステータスを読む
| ステータス | それが意味するもの | 何をするか |
|---|---|---|
| Disabled | ゾーンに署名がありません。 | 必要な場合はEnable DNSSECをクリックしてください。 |
| Pending | キーが生成されゾーンに署名が行われているか、DSレコードがまだ親で確認されていません。 | 待ってください。外部レジストラーを使用している場合は、今すぐDSレコードを公開してください。 |
| Active | ゾーンに署名があり、信頼のチェーンが完全です。 | 何もしません。これが目標です。 |
外部から確認する
パネルの言葉を信じないでください。公開記録から検証してください:
- KPanelでDomainsを開き、次にWHOIS Lookupを開きます。
- あなたのドメインを入力してLook upをクリックします。
- DNSSEC行を読みます。レジストリが実際に公開しているものに基づいてSignedまたはUnsignedが表示されます。
そこでSignedであり、パネルでActiveであれば、チェーンは本当に完全です。
DNSSECを修復する
ステータスがPendingで止まったり、外部チェックが壊れたチェーンを報告したりする場合、DNSSECカードはRepair DNSSECを提供します。確認には、それが正確に何をするかが説明されています: "Kapsule will re-sign your DNS zone and re-publish the DS record at your registrar. This is safe and reversible."
確認すると、"DNSSEC repair queued. The status will update shortly."と表示されます。1、2分後にカードを再読み込みしてください。
Disableに到達する前にRepairに到達してください。Repairはゾーンが署名なしの期間なしにチェーンを再確立しますが、無効化と再有効化は、DSレコードの巻き戻しと最初からチェーン全体の構築を意味します。
DNSSECを無効にする
DNSSECをオフにすることは本当に安全です。ただし、2つのステップを正しい順序で実行する限りです。間違った順序で実行すると、ドメインがインターネットから削除されます。
最初にレジストラーでDSレコードを削除してから、親ゾーンから削除されるのを待ってください。その後でのみここでDNSSECを無効にしてください。
DSレコードがまだ公開されている間に署名を無効にすると、検証リゾルバーはすべてのリゾルバーに署名があると主張しているが、有効な署名を生成しないドメインを表示し、それに応答することを拒否します。検証リゾルバーの背後にいる誰かのためにあなたのサイトとメールは暗くなります。これには、ほとんどの大規模公開リゾルバーや多くのISPが含まれます。あなた自身の設定には何も壊れているように見えません。
正しい順序は:
- あなたのレジストラーで、DSレコードを削除します。Kapsuleがあなたのレジストラーである場合は、パネルで何もする前に、それを撤回するよう要求してください。
- **実際に親から削除されたことを確認してください。**権限のある親ネームサーバーにDSレコードをクエリし、本当に何も返されなくなるまで待ちます。公開リゾルバーからのキャッシュされた応答を信頼しないでください。キャッシングリゾルバーは、レジストリが削除した後も長い間古いDSレコードを提供し続ける可能性があり、その古い応答に基づいて行動することはまさにこの警告が存在する理由です。
- それに加えて親ゾーンのTTLを待ちます。
- その後に限り、KPanelでドメインのSecurityタブを開き、DNSSECカードのDisableをクリックします。"DNSSEC disabled."と表示されます。
DNSSECが価値がある場合
あなたになりすまされる理由がある何かのためにオンにしてください: オンラインストア、ログインまたは支払いを処理するもの、専門サービスドメイン、および信頼されるべきメールを送信するドメイン。
Kapsule DNSでは何もコストがかからず、DSレコードが配置されたら何も維持する必要はありません。特に私たちで登録されたドメイン上にあります。レコードはあなたのために公開され、更新されます。
DNSSECはDNS回答が改ざんされていないことを証明します。DNS参照を暗号化したり、ウェブサイト上のTLSに置き換わったり、メールを単独で認証したりしません。それはそれらと一緒にあります。メール認証については、SPF、DKIM、DMARCの説明を参照してください。
トラブルシューティング
**セキュリティタブにDNSSECカードがありません。**ドメインのDNSはKapsuleネームサーバーでホストされていません。最初にゾーンをKapsule DNSに移動します: ネームサーバーを参照してください。
ステータスが数時間Pendingのままです。外部レジストラーでは、DSレコードがおそらく公開されていないか、間違った値で公開されています。パネル内の3つの値とレジストラーが表示するものを文字ごとに比較してください。次にRepair DNSSECを使用してください。
DNSSEC関連で何か変更した直後にサイトがダウンしました。これはDSミスマッチエラーです。レジストラーでDSレコードを復元してKapsuleが公開しているものと一致させるか、KPanelでDNSSECを再度有効にしてゾーンに再度署名され、次にRepair DNSSECを使用します。回復は親ゾーンのTTLで制限されます。
**リクエストが失敗しました。**カードがDNSクラスターに到達できませんでした。リロードして再試行し、それでも失敗し続ける場合は、サポートチケットを開いてください、ドメイン名を記入してください。
**このドメインを別のドメインに移そうとしています。**転送中ではなく、転送前にDNSSECに対処してください。別のレジストラーへのドメインの移行を参照してください。
関連情報: DNS基礎、ネームサーバー、および.nzドメインの登録と管理。