So konfigurieren Sie DNSSEC auf Windows Server

Sicherheitserweiterungen für das Domain Name Systemoder DNSSEC ist eine Sammlung von Erweiterungen zur Sicherung des DNS-Protokolls. Dies ist eine der Methoden zum Schutz des DNS-ServersDNS-Cache-SperreUndDNS-Socket-Pool. Es verwendet kryptografische Signaturen zur Validierung von DNS-Antworten, um Ihr System zu schützen. In diesem Beitrag werden wir sehen, wie Sie das könnenKonfigurieren Sie DNSSEC auf Windows Server

DNSSECErhöht die Sicherheit von DNS durch die Verwendung kryptografischer Signaturen zur Validierung von DNS-Antworten und stellt so deren Authentizität und Integrität sicher. Es schützt vor häufigen Bedrohungen wie DNS-Spoofing und Cache-Manipulation und macht die DNS-Infrastruktur zuverlässiger. Durch das Signieren von DNS-Zonen fügt DNSSEC eine Validierungsebene hinzu, ohne den grundlegenden Abfrage-Antwort-Mechanismus zu ändern. Dadurch wird sichergestellt, dass DNS-Daten während der Übertragung sicher bleiben und eine vertrauenswürdige Umgebung für Benutzer und Organisationen geschaffen wird. Da unser Hauptziel darin besteht, Ihren DNS-Server zu sichern, werden wir nicht nur DNSSEC, sondern auch DNS Socket Pool und DNS Cache Locking konfigurieren.

Um DNSSEC, DNS-Socket-Pool und DNS-Cache-Sperre zu konfigurieren, können Sie die unten aufgeführten Schritte ausführen.

1. Konfigurieren Sie DNSSEC
2. Gruppenrichtlinie konfigurieren
3. DNS-Socket-Pool
4. DNS-Cache-Sperre

Lassen Sie uns ausführlich darüber sprechen.

1] Konfigurieren Sie DNSSEC

Beginnen wir zunächst mit der Einrichtung von DNSSEC in unserem Domänencontroller. Dazu müssen Sie die unten aufgeführten Schritte befolgen.

1. Öffnen Sie dieServermanager.
2. Dann gehen Sie zuExtras > DNS.
3. Erweitern Sie dann den ServerForward-Lookup-Zone,Klicken Sie mit der rechten Maustaste auf den Domänencontroller und wählen SieDNSSEC > Zone signieren.
4. Sobald dieZonensignatur-Assistenterscheint, klicken Sie auf Weiter.
5. WählenPassen Sie die Zonensignaturparameter anund klicken Sie auf Weiter.
6. Wenn Sie auf der sindSchlüsselmeisterFenster, ankreuzenAls Schlüsselmaster wird der DNS-Server CLOUD-SERVER ausgewählt,und klicken Sie auf Weiter.
7. Wenn Sie auf der sindKey Signing Key (KSK)-Schnittstelle,Klicken Sie auf Hinzufügen.
8. Gehen Sie die Optionen durch und Sie müssen alle Felder korrekt ausfüllen. Sie müssen dieses entsprechend den Anforderungen Ihrer Organisation ausfüllen und dann den Schlüssel hinzufügen.
9. Klicken Sie nach dem Hinzufügen auf Weiter.
10. Nachdem Sie die erreicht habenZonensignaturschlüssel (ZSK)Klicken Sie auf „Hinzufügen“, füllen Sie das Formular aus und speichern Sie es. Klicken Sie auf Weiter.
11. Auf derNext Secure (NSEC)Geben Sie auf dem Bildschirm die Details ein. NSEC (Next Secure) ist ein DNSSEC-Eintrag, der zum Nachweis der Nichtexistenz eines Domänennamens verwendet wird, indem er die Namen vor und nach ihm in der DNS-Zone bereitstellt und so sicherstellt, dass die Antwort authentifiziert und manipulationssicher ist.
12. Wenn Sie sich auf dem TA-Bildschirm befinden, kreuzen Sie anAktivieren Sie die Verteilung von Vertrauensankern für diese ZonenprüfungUndAktivieren Sie die automatische Aktualisierung von Vertrauensankern beim Schlüssel-RolloverKontrollkästchen. Klicken Sie auf Weiter.
13. Auf derSignatur- und Polling-ParameterGeben Sie auf dem Bildschirm „DS“ die DS-Details ein und klicken Sie auf „Weiter“.
14. Gehen Sie abschließend die Zusammenfassung durch und klicken Sie auf Weiter.
15. Sobald Sie die Erfolgsmeldung erhalten, klicken Sie auf Fertig stellen.

Nachdem Sie die Zone konfiguriert haben, müssen Sie zu gehenVertrauenspunkt > ae > Domänennameim DNS-Manager zur Bestätigung.

2] Gruppenrichtlinie konfigurieren

Nach der Konfiguration der Zone müssen wir mit dem Dienstprogramm zur Gruppenrichtlinienverwaltung einige Änderungen an unserer Domänenrichtlinie vornehmen. Befolgen Sie dazu die unten aufgeführten Schritte.

1. Öffnen Sie dieGruppenrichtlinienverwaltungProgramm.
2. Jetzt müssen Sie gehenGesamtstruktur: Windows.ae > Domänen > Windows.ae > Rechtsklick auf Standarddomänenrichtlinie,und wählen Sie Bearbeiten.
3. Navigieren Sie zuComputerkonfiguration > Richtlinien > Windows-Einstellungen > klicken Sie auf Namensauflösungsrichtlinieim Gruppenrichtlinienverwaltungs-Editor.
4. Im rechten Bereich unterErstellen Sie Regeln, eingebenWindows.aeim Feld Suffix, um die Regel auf das Namespace-Suffix anzuwenden.
5. Überprüfen Sie beidesAktivieren Sie DNSSEC in dieser RegelUndFordern Sie DNS-Clients auf, Namens- und Adressdaten zu validierenKlicken Sie dann auf die KästchenErstellenum die Regel zu finalisieren.

So können Sie DNSSEC konfigurieren. Unsere Arbeit ist jedoch noch nicht erledigt. Um unseren Server zu sichern, sollten wir den DNS-Socket-Pool und die DNS-Cache-Sperre konfigurieren

3] DNS-Socket-Pool

Der DNS Socket Pool verbessert die DNS-Sicherheit, indem er die Quellports für ausgehende Abfragen zufällig macht, wodurch es für Angreifer schwieriger wird, Transaktionen vorherzusagen und auszunutzen. Sie müssen öffnenPowerShellals Administrator und führen Sie den folgenden Befehl aus.

Get-DNSServer

ODER

Get-DnsServerSetting -All | Select-Object -Property SocketPoolSize

Sie müssen das überprüfenSocketPoolSizeum die aktuelle Größe des Pools zu erfahren.

Unser Ziel ist es, die Steckdose zu vergrößern; Je größer der Wert, desto besser ist der Schutz. Dazu müssen Sie den folgenden Befehl ausführen.

dnscmd /config /socketpoolsize 5000

Hinweis: Der Wert kann nur zwischen 0 und 10000 liegen.

Starten Sie Ihren DNS-Server neu und schon kann es losgehen.

4] DNS-Cache-Sperre

Die DNS-Sperre verhindert, dass zwischengespeicherte DNS-Einträge während ihrer TTL überschrieben werden, und gewährleistet so die Datenintegrität und den Schutz vor Cache-Poisoning. Wir müssen den folgenden Befehl ausführen, um den Wert zu überprüfen.

Get-DnsServerCache | Select-Object -Property LockingPercent

Es sollte 100 sein; Ist dies nicht der Fall, führen Sie den unten genannten Befehl aus, um den Wert auf 100 zu setzen.

Set-DnsServerCache –LockingPercent 100

Wenn Sie diese Maßnahmen ergreifen, ist Ihr DNS-Server sicher.

Lesen:

Unterstützt Windows Server DNSSEC?

Ja, Windows Server unterstützt DNSSEC und ermöglicht die Konfiguration zur Sicherung von DNS-Zonen. Es verwendet digitale Signaturen, um DNS-Antworten zu validieren und Angriffe wie Spoofing zu verhindern. Sie können DNSSEC über die DNS-Manager- oder PowerShell-Befehle aktivieren.

Lesen:

Wie konfiguriere ich DNS für Windows Server?

Um DNS auf Windows Server zu konfigurieren, müssen wir zuerst die DNS-Serverrolle installieren. Anschließend müssen wir eine statische IP-Adresse zuweisen und den DNS-Eintrag konfigurieren. Wir empfehlen Ihnen, unseren Leitfaden dazu zu lesen

Lesen Sie auch: