Varför DNSSEC 2007? Varför inte? Det verkade enkelt Ett mervärde för kunderna (? ) Gratis Linux Bind miljö Publicitet?

Transkript

1 Interlan Primärt konsultbolag Web, mail och DNS som bisyssla Drygt 300 domäner och hemsidor 20 st. Gävle, Bollnäs, Övik Torbjörn Eklöv,

2 Varför DNSSEC 2007? Varför inte? Det verkade enkelt Ett mervärde för kunderna (? ) Gratis Linux Bind miljö Publicitet?

3 Publicitet fick vi. ssec_incident_en.pdf Friday, 21/9 at 14:28, Interlan Gefle reported that there are routers and clients that cannot handle DNSSEC correctly and can therefore not reach gavle.se or ockelbo.se.

4 Status idag? DNSSEC default on! Interlan kan inte allt så vi rekommenderar alltid kunder att använda webb/mailhotell som har DNSSEC.

5 Utbildning i DNSSEC Sundsvall klar Borlänge, Lycksele + Malmö i augusti och september Göteborg inplanerat

6 DNS-struktur då Ns.interlan.se Ns3.interlan.se Internet

7 Hur gjorde vi? Inventering av våra två DNS er ( Två DNS er, tre ISP er ) Vi körde Fedora/Centos? Och Bind 9.? Se till att de DNS ern bara är authoritative Kolla vilka de var resolvrar för ~rndc querylog Byte av namnserver på de som hade de som resolvrar Installerade en till DNS för nyckelhantering

8 DNS-struktur idag Ns.interlan.se Ns3.interlan.se Internet Signering Nyckelhantering

9 Hur gjorde vi? Kolla upp vilken Bind som krävs Generellt ligger Linuxdist efter på Bindversioner./configure

10 Hur gjorde vi Läste på om ZKT och installerade det för nyckelhantering./configure igen Valde en slaskdomän Signerade den med hjälp av ZKT Publicerade DS med.se s dåvarande verktyg Kollade om det såg bra ut Vi kollade inte tillräckligt, interlan.se och en testdomän var onåbar från telia och tele2 ett par månader.

11 Bygga Bind./configure --prefix=/usr --sysconfdir=/etc --disable-opensslversion-check --localstatedir=/var --with-openssl && make && make install

12 ZKT /etc/named.conf options { dnssec-enable yes;

13 ZKT Följer med senaste Bind, contrib/zkt./configure && make Kopiera dnssec-signer, dnssec-zkt och zkt-soaserial till t.ex /usr/local/bin Lägg in dnssec-cron i crontab #!/bin/sh dnssec-signer -v -v -r -N /etc/named.conf dnssec-zkt z

14 ZKT Flytta zonfil till egen katalog mv interlan.se interlan.se./zone.db touch interlan.se./zone.db.signed Named.conf zone interlan.se" { type master; file interlan.se./zone.db.signed ; }; Kör dnssec-cron och vips är ni igång!

15 ZKT Det är zone.db som ni sedan ändrar dnssec-cron signerar om när tiden är mogen eller när zone.db har förändrats Soa serial behöver ni inte ändra, zktsoaserial grejar det

16 ZKT Kolla dnssec.conf ResignInterval: 1w Sigvalidity: 30d

17 Erfarenheter Med rätt miljö är det enkelt och snabbt att komma igång Enkelt att skripta saker i Bind och ZKT addzone lägger upp domäner + signerar dem. Snart lägger vi upp DS-posterna via samma script automatiskt

18 Erfarenheter Övervakning! dnssec_monitor.pl

19 DNS-struktur Ns.interlan.se Ns3.interlan.se Internet Signering Nyckelhantering Övervakning

20 Erfarenheter Övervakning! dnssec_monitor.pl Backup!!! Slaven är ingen backup längre Ta backup OFTA! Dnscheck.iis.se is your best friend!!! NTP är ett krav!

21 Erfarenheter Kontrollera vilka resigninterval/sigvalidity ni klarar av/kräver Passa er för Intelligenta konsulter Passa er för Intelligenta brandväggar Schemalägger inte omsignering Signerar inte om ZSK som man ska Det är inte längre bara filer att kopiera Få med datum/tid när ni flyttar/kopierar Om något går snett, felsök och hittar ni inte felet slå av DNSSEC hos eran registrar TTL på fyra timmar hos.se

22 DNS-struktur idag Ns.interlan.se :b48:10::2 Ns3.interlan.se :b48:10:4::1 Internet Signering Nyckelhantering Övervakning

23 I morgon DNSSEC/DKIM DNSSEC deafult on överallt Hoppas på stöd i alla resolvrar/program

24 I morgon ZKT lagrar privata nycklarna på disk Inget stöd för någon HSM Se över hur det är att gå över till Opendnssec när den mognat lite mer

25 Webmin/Virtualmin

26 Webmin/Virtualmin OBS!!! Default är det DSA!!!

27 Infoweapons SolidDNS

28 Infoweapons SolidDNS

29 Infoweapons SolidDNS

30 DNSSEC i Windows Äntligen!!! Beskrivs i DNS SVR2008R2 DNSSEC.doc

31 Windows Server 2008 R2 Signering, glömt det! KSK dnscmd.exe /offlinesign /genkey /alg rsasha1 /length 2048 /flags KSK /zone domänen.se /sscert /friendlyname KSK-domänen.se ZSK dnscmd.exe /offlinesign /genkey /alg rsasha1 /length 2048 /zone domänen.se /sscert /friendlyname ZSK-domänen.se Signera Skapa katalog för dsset och keyset-filerna mkdir c:\windows\system32\dns\keys\domänen.se Ställ dig där när du signerar cd c:\windows\system32\dns\keys\domänen.se dnscmd /OfflineSign /SignZone /input C:\Windows\System32\dns\domänen.se /output C:\Windows\System32\dns\domänen.se.signed /zone domänen.se /signkey /cert /FriendlyName KSK-domänen.se /signkey /cert /friendlyname ZSK-domänen.se Hur ska vi få in domänen.se.signed i DNS en sedan? Bara en av många saker som fattas

32 Microsoft Windows Server 2008 R2 Resolver med validering Inte så knepigt att få till efter lite testande..

33 Tack!

34 Tack!

35 Tack!