DNSSEC

DNSSEC (Domain Name System Security Extensions) добавляет криптографическую аутентификацию к DNS для защиты от атак подмены кэша и атак «человек посередине». Эта технология особенно важна для обеспечения безопасности сетевых взаимодействий и предотвращения злоупотреблений. Используется цепочка доверия, закреплённая в корне DNS: операторы зон подписывают свои DNS-записи закрытыми ключами, а резолверы проверяют подписи с помощью открытых ключей из DNSKEY-записей. Цепочка проверяется через DS-записи в родительских зонах вплоть до корня. DNSSEC не шифрует трафик DNS — он только обеспечивает целостность и подлинность данных.

Как это работает

DNSSEC обеспечивает целостность данных и подлинность DNS-записей, используя криптографические подписи. Процесс разрешения DNSSEC начинается с stub resolver, который отправляет запрос к recursive resolver (такому как ISP или 1.1.1.1/8.8.8.8), затем запрос передается к root-серверам, далее к TLD-серверам и, наконец, к authoritative серверам. DNSSEC поддерживает различные типы записей: A (IPv4), AAAA (IPv6), CNAME (alias), MX (mail), TXT (verification, SPF, DKIM), SRV, NS, SOA, CAA. TTL (Time To Live) контролирует время жизни кэша; для записей с возможным failover используется короткий TTL (60-300с), а для стабильной инфраструктуры — длинный TTL (24h+). DNSSEC также позволяет использовать split-horizon DNS, который возвращает разные ответы в зависимости от источника запроса (внутренний или внешний) — это особенно полезно в корпоративных сетях.

Когда применять

DNSSEC особенно полезен для защиты транзакционных электронных писем, таких как платежные уведомления и подтверждения заказа, которые часто отправляются через TXT-записи SPF, DKIM и DMARC. Убедитесь, что вы настроили правильные SPF, DKIM и DMARC TXT-записи, чтобы электронные письма не попадали в спам. CAA-записи предотвращают выпуск поддельных сертификатов. Короткий TTL (60-300с) следует использовать для записей, которые могут быть подвержены failover, а длинный TTL (24h+) — для стабильной инфраструктуры. Для DNS-основанного failover важно учитывать, что пропагация может быть медленной (клиенты игнорируют TTL). Для тестирования и разработки рекомендуется использовать resolvers, такие как 1.1.1.1 или 8.8.8.8, а для продакшена — управляемые resolvers.

Типичные ошибки

Типичные ошибки при использовании DNSSEC включают CNAME в apex (против спецификации — ALIAS или ANAME если провайдер поддерживает); использование высокого TTL при запланированной миграции (что продлевает время простоя); отсутствие DMARC (что позволяет спамерам подделывать домен); игнорирование DNSSEC-валидации на resolvers (что позволяет подмене данных).

Как это работает

Когда применять

Типичные ошибки

Связанные понятия

Полезные ресурсы