← Cloudflare DNS / dns / dnssec

Podpora NSEC3

Jak je vysvětleno v náš blog ↗, implementace záporných odpovědí pomocí NSEC v podání Cloudflare je chráněna proti zone walking¹. Tato implementace, označovaná také jako Compact Denial of Existence (RFC 9824 ↗), odstraňuje potřebu NSEC3 a je výrazně efektivnější.

Pokud však musíte NSEC3 použít z důvodů dodržování předpisů, můžete jej povolit způsobem popsaným níže.

Povolení NSEC3

Použijte Koncový bod Edit DNSSEC Status, nastavením status na active a dnssec_use_nsec3 na true. Nahraďte hodnoty začínající $ s ID vaší zóny a přihlašovacími údaji. Více informací o používání Cloudflare API najdete v Základy.

Požadovaná oprávnění API tokenu

Alespoň jeden z následujících oprávnění tokenu je povinné:

DNS Write

Úprava stavu DNSSEC

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dnssec" \
	--request PATCH \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"dnssec_use_nsec3": true,
		"status": "active"
	}'

Předem podepsaný DNSSEC

Pokud používáte Cloudflare jako sekundárního poskytovatele DNS s předpodepsané DNSSEC, nastavením dnssec_use_nsec3 na true znamená, že Cloudflare použije NSEC3 záznamy tak, jak byly přeneseny od vašeho primárního poskytovatele DNS.

V opačném případě se záznamy NSEC3 vygenerují a podepíší až v okamžiku požadavku.

Ověřte, že se používá NSEC3

Pro ověření, že se používá NSEC3, zvažte následující scénáře:

Neexistující název zóny

Následující příkaz by vyvolal podepsanou zápornou odpověď využívající NSEC3 jako důkaz neexistence. Záznamy NSEC3 hledejte v části Authority Section odpovědi.

dig +dnssec doesnotexist.example.com

Neexistující typ záznamu u existujícího názvu

Pokud název www existuje, ale typ TXT ne, níže uvedený příklad vyvolá podepsanou odpověď NODATA pomocí NSEC3. Záznamy NSEC3 hledejte pod Authority Section odpovědi.

dig +dnssec www.example.com TXT

Dostupnost

NSEC3 je k dispozici pouze pro zóny na plánu Enterprise.

Poznámky pod čarou

Metoda, při které útočník zneužívá záporné odpovědi NSEC k získání všech názvů v dané zóně. To je možné, pokud tyto záporné odpovědi obsahují informace o předchozím a následujícím názvu v řetězci. ↩