Cum se configurează DNSSEC pe Windows Server

Extensii de securitate pentru sistemul de nume de domeniusau DNSSEC este o colecție de extensii pentru a securiza protocolul DNS. Este una dintre metodele de a proteja serverul DNS, împreună cuBlocare cache DNSşiPool de prize DNS. Utilizează semnături criptografice pentru a valida răspunsurile DNS pentru a vă proteja sistemul. În această postare, vom vedea cum poțiconfigurați DNSSEC pe Windows Server

Configurați DNSSEC pe Windows Server

DNSSECîmbunătățește securitatea DNS prin utilizarea semnăturilor criptografice pentru a valida răspunsurile DNS, asigurând autenticitatea și integritatea acestora. Protejează împotriva amenințărilor comune, cum ar fi falsificarea DNS și manipularea cache-ului, făcând infrastructura DNS mai fiabilă. Prin semnarea zonelor DNS, DNSSEC adaugă un strat de validare fără a modifica mecanismul de bază interogare-răspuns. Acest lucru asigură că datele DNS rămân securizate în timpul transmisiei, oferind un mediu de încredere pentru utilizatori și organizații. Deoarece scopul nostru principal este să vă securizăm serverul DNS, vom configura nu doar DNSSEC, ci și DNS Socket Pool și DNS Cache Locking.

Pentru a configura DNSSEC, DNS Socket Pool și DNS Cache Locking, puteți urma pașii menționați mai jos.

Configurați DNSSEC
Configurați politica de grup
Pool de prize DNS
Blocare cache DNS

Să vorbim despre ele în detaliu.

1] Configurați DNSSEC

Să începem mai întâi prin a configura DNSSEC în controlerul nostru de domeniu. Pentru a face acest lucru, trebuie să urmați pașii menționați mai jos.

DeschidețiServer Manager.
Apoi, du-te laInstrumente > DNS.
Extindeți serverul, atunciZona de căutare înainte,faceți clic dreapta pe controlerul de domeniu și selectațiDNSSEC > Semnează zona.
Odată ceExpert pentru semnarea zoneiapare, faceți clic pe Următorul.
SelectaPersonalizați parametrii de semnare a zoneiși faceți clic pe Următorul.
Dacă sunteți peCheie Masterfereastră, bifăServerul DNS CLOUD-SERVER este selectat ca Key Master,și faceți clic pe Următorul.
Când ești peInterfață cheie de semnare a cheii (KSK),faceți clic pe Adăugați.
Parcurgeți opțiunile și trebuie să completați corect toate câmpurile. Trebuie să completați acest lucru în funcție de cerințele organizației dvs. și apoi să adăugați cheia.
Odată adăugat, faceți clic pe Următorul.
După ce ajungi laCheie de semnare a zonei (ZSK)opțiunea, faceți clic pe Adăugați, completați formularul și salvați. Faceți clic pe Următorul.
PeNext Secure (NSEC)ecran, completați detaliile. NSEC (Next Secure) este o înregistrare DNSSEC folosită pentru a dovedi inexistența unui nume de domeniu prin furnizarea numelor care vin înainte și după acesta în zona DNS, asigurându-se că răspunsul este autentificat și inviolabil.
Când vă aflați pe ecranul TA, bifațiActivați distribuirea ancorelor de încredere pentru această verificare a zoneişiActivați actualizarea automată a ancorelor de încredere la trecerea cheiicasete de selectare. Faceți clic pe Următorul.
PeParametri de semnare și sondareecran, introduceți detaliile DS și faceți clic pe Următorul.
În cele din urmă, parcurgeți rezumatul și faceți clic pe Următorul.
După ce primiți mesajul de succes, faceți clic pe Terminare.

După configurarea zonei, trebuie să mergeți laPunct de încredere > ae > nume de domeniuîn Managerul DNS pentru a confirma.

2] Configurați politica de grup

După configurarea zonei, trebuie să facem câteva modificări în politica noastră de domeniu folosind utilitarul Group Policy Management. Pentru a face acest lucru, urmați pașii menționați mai jos.

DeschidețiManagementul politicii de grupprogram.
Acum, trebuie să mergi laForest: Windows.ae > Domenii > Windows.ae > faceți clic dreapta pe Politica de domeniu implicită,și selectați Editați.
Navigați laConfigurare computer > Politici > Setări Windows > faceți clic pe Politică de rezoluție numeîn Editorul de gestionare a politicilor de grup.
În panoul din dreapta, subCreați reguli, intraWindows.aeîn caseta Sufix pentru a aplica regula sufixului spațiului de nume.
Verificați pe amândouăActivați DNSSEC în această regulăşiSolicitați clienților DNS să valideze datele de nume și adresăcasete, apoi faceți clicCreapentru a finaliza regula.

Așa puteți configura DNSSEC. Totuși, treaba noastră nu este făcută. Pentru a ne securiza serverul, ar trebui să configuram DNS Socket Pool și DNS Cache Locking

3] Pool de prize DNS

DNS Socket Pool îmbunătățește securitatea DNS făcând porturile sursă aleatorii pentru interogările de ieșire, făcând mai greu pentru atacatori să prezică și să exploateze tranzacțiile. Trebuie să deschiziPowerShellca administrator și rulați următoarea comandă.

Get-DNSServer

Get-DnsServerSetting -All | Select-Object -Property SocketPoolSize

Trebuie să verificațiSocketPoolSizepentru a cunoaște dimensiunea actuală a piscinei.

Scopul nostru este să creștem dimensiunea prizei; cu cât valoarea este mai mare, cu atât protecția este mai bună. Pentru a face acest lucru, trebuie să rulați următoarea comandă.

dnscmd /config /socketpoolsize 5000

Notă: valoarea poate fi doar între 0 – 10000.

Reporniți serverul DNS și veți fi gata.

4] Blocare cache DNS

Blocarea DNS previne suprascrierea înregistrărilor DNS din cache în timpul TTL, asigurând integritatea datelor și protecție împotriva otrăvirii cache-ului. Trebuie să rulăm următoarea comandă pentru a verifica valoarea.

Get-DnsServerCache | Select-Object -Property LockingPercent

Ar trebui să fie 100; dacă nu este, rulați comanda menționată mai jos pentru a o seta la 100.

Set-DnsServerCache –LockingPercent 100

Dacă luați aceste măsuri, serverul dvs. DNS va fi securizat.

Citire:

Windows Server acceptă DNSSEC?

Da, Windows Server acceptă DNSSEC și vă permite să îl configurați pentru a securiza zonele DNS. Folosește semnături digitale pentru a valida răspunsurile DNS și pentru a preveni atacuri precum falsificarea. Puteți activa DNSSEC prin intermediul comenzilor DNS Manager sau PowerShell.

Citire:

Cum configurez DNS pentru Windows Server?

Pentru a configura DNS pe Windows Server, trebuie să instalăm mai întâi rolul de server DNS. Odată terminat, trebuie să atribuim o adresă IP statică și să configuram intrarea DNS. Vă recomandăm să consultați ghidul nostru despre cum

Citește și: