DNSSEC configureren op Windows Server

Domeinnaamsysteembeveiligingsuitbreidingenof DNSSEC is een verzameling extensies om het DNS-protocol te beveiligen. Het is een van de methoden om de DNS-server te beschermen, samen metDNS-cachevergrendelingEnDNS-socketpool. Het maakt gebruik van cryptografische handtekeningen om DNS-reacties te valideren om uw systeem te beschermen. In dit bericht gaan we zien hoe je dat kunt doenconfigureer DNSSEC op Windows Server

Configureer DNSSEC op Windows Server

DNSSECverbetert de beveiliging van DNS door cryptografische handtekeningen te gebruiken om DNS-reacties te valideren, waardoor hun authenticiteit en integriteit wordt gegarandeerd. Het beschermt tegen veelvoorkomende bedreigingen zoals DNS-spoofing en cache-manipulatie, waardoor de DNS-infrastructuur betrouwbaarder wordt. Door DNS-zones te ondertekenen voegt DNSSEC een validatielaag toe zonder het fundamentele query-responsmechanisme te wijzigen. Dit zorgt ervoor dat DNS-gegevens veilig blijven tijdens de verzending, waardoor een betrouwbare omgeving voor gebruikers en organisaties ontstaat. Omdat ons primaire doel het beveiligen van uw DNS-server is, gaan we niet alleen DNSSEC configureren, maar ook DNS Socket Pool en DNS Cache Locking.

Om DNSSEC, DNS Socket Pool en DNS Cache Locking te configureren, kunt u de onderstaande stappen volgen.

1. Configureer DNSSEC
2. Groepsbeleid configureren
3. DNS-socketpool
4. DNS-cachevergrendeling

Laten we er in detail over praten.

1] DNSSEC configureren

Laten we eerst beginnen met het instellen van DNSSEC in onze domeincontroller. Om dit te doen, moet u de onderstaande stappen volgen.

1. Open deServerbeheerder.
2. Ga dan naarHulpmiddelen > DNS.
3. Breid dan de server uitVoorwaartse zoekzone,klik met de rechtermuisknop op de domeincontroller en selecteerDNSSEC > Teken de zone.
4. Zodra deWizard voor zoneondertekeningverschijnt, klik op Volgende.
5. SelecteerPas de parameters voor zoneondertekening aanen klik op Volgende.
6. Als u op deSleutelmeestervenster, vinkjeDe DNS-server CLOUD-SERVER is geselecteerd als Key Master,en klik op Volgende.
7. Wanneer u op deKey Signing Key (KSK)-interface,klik op Toevoegen.
8. Doorloop de opties en u moet alle velden correct invullen. U moet dit invullen volgens de vereisten van uw organisatie en vervolgens de sleutel toevoegen.
9. Eenmaal toegevoegd, klikt u op Volgende.
10. Nadat u deZonehandtekeningsleutel (ZSK)optie, klik op Toevoegen, vul het formulier in en sla het op. Klik op Volgende.
11. Op deVolgende veilig (NSEC)scherm, vul de details in. NSEC (Next Secure) is een DNSSEC-record dat wordt gebruikt om het niet-bestaan ​​van een domeinnaam te bewijzen door de namen op te geven die ervoor en erna in de DNS-zone komen, zodat het antwoord wordt geverifieerd en fraudebestendig is.
12. Wanneer u zich op het TA-scherm bevindt, vinkt u aanSchakel de distributie van vertrouwensankers in voor deze zonecontroleEnSchakel automatische update van vertrouwensankers in bij sleuteloverdrachtselectievakjes. Klik op Volgende.
13. Op deOndertekenings- en pollingparametersscherm, voer de DS-gegevens in en klik op Volgende.
14. Doorloop ten slotte het overzicht en klik op Volgende.
15. Zodra u het succesvolle bericht ontvangt, klikt u op Voltooien.

Nadat u de zone heeft geconfigureerd, moet u naar gaanVertrouwenspunt > ae > domeinnaamin DNS Manager om te bevestigen.

2] Groepsbeleid configureren

Nadat we de zone hebben geconfigureerd, moeten we enkele wijzigingen aanbrengen in ons domeinbeleid met behulp van het hulpprogramma Groepsbeleidsbeheer. Volg hiervoor de onderstaande stappen.

1. Open deBeheer van groepsbeleidprogramma.
2. Nu moet je naar toeForest: Windows.ae > Domeinen > Windows.ae > klik met de rechtermuisknop op Standaarddomeinbeleid,en selecteer Bewerken.
3. Navigeer naarComputerconfiguratie > Beleid > Windows-instellingen > klik op Naamresolutiebeleidin de Groepsbeleidsbeheer-editor.
4. In het rechterdeelvenster, onderMaak regels, binnenkomenWindows.aein het vak Achtervoegsel om de regel toe te passen op het achtervoegsel van de naamruimte.
5. Controleer beideSchakel DNSSEC in deze regel inEnVereisen dat DNS-clients naam- en adresgegevens validerenvakjes en klik vervolgensCreërenom de regel af te ronden.

Zo configureer je DNSSEC. Ons werk is echter nog niet gedaan. Om onze server te beveiligen, moeten we de DNS Socket Pool en DNS Cache Locking configureren

3] DNS-socketpool

DNS Socket Pool verbetert de DNS-beveiliging door de bronpoorten willekeurig te maken voor uitgaande zoekopdrachten, waardoor het voor aanvallers moeilijker wordt om transacties te voorspellen en te misbruiken. Je moet openenPowerShellals beheerder en voer de volgende opdracht uit.

Get-DNSServer

OF

Get-DnsServerSetting -All | Select-Object -Property SocketPoolSize

Je moet het controlerenSocketPoolSizeom de huidige grootte van het zwembad te kennen.

Ons doel is om de omvang van de socket te vergroten; hoe groter de waarde, hoe beter de bescherming. Om dit te doen, moet u de volgende opdracht uitvoeren.

dnscmd /config /socketpoolsize 5000

Let op: De waarde kan alleen tussen 0 – 10.000 liggen.

Start uw DNS-server opnieuw op en u bent klaar om te gaan.

4] DNS-cachevergrendeling

DNS-vergrendeling voorkomt dat DNS-records in de cache worden overschreven tijdens hun TTL, waardoor de gegevensintegriteit en bescherming tegen cache-vergiftiging worden gewaarborgd. We moeten de volgende opdracht uitvoeren om de waarde te controleren.

Get-DnsServerCache | Select-Object -Property LockingPercent

Het zou 100 moeten zijn; Als dit niet het geval is, voert u de onderstaande opdracht uit om deze op 100 in te stellen.

Set-DnsServerCache –LockingPercent 100

Als u deze maatregelen neemt, is uw DNS-server veilig.

Lezen:

Ondersteunt Windows Server DNSSEC?

Ja, Windows Server ondersteunt DNSSEC en u kunt het configureren om DNS-zones te beveiligen. Het maakt gebruik van digitale handtekeningen om DNS-reacties te valideren en aanvallen zoals spoofing te voorkomen. U kunt DNSSEC inschakelen via de DNS Manager- of PowerShell-opdrachten.

Lezen:

Hoe configureer ik DNS voor Windows Server?

Om DNS op Windows Server te configureren, moeten we eerst de DNS-serverrol installeren. Als we klaar zijn, moeten we een statisch IP-adres toewijzen en de DNS-invoer configureren. We raden u aan onze handleiding te raadplegen over hoe u dit moet doen

Lees ook: