Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
DS kaydı nedir; DNSSEC'te neden registrar'a iletilir?
Kısa cevap
DS (Delegation Signer) kaydı, alt zone'un signing key'inin özetini üst zone'da tutan kayıttır (RFC 4034). DNSSEC chain of trust root'tan başlar ve her zone bir sonrakini DS kaydıyla onaylar: .com zone'undaki DS kaydı example.com'un anahtarını doğrular. Bu yüzden bir zone'da DNSSEC açıldıktan sonra DS kaydı üst zone'a, pratikte domain'in kayıtlı olduğu registrar'a iletilir; iletilmezse doğrulayan resolver'lar zone'u imzasız sayar ve imzalar doğrulanamaz. TR7 GTM DS değerlerini Domains listesindeki DNSSEC kilidinden açılan DNSSEC Info for penceresinin DS records tablosunda Key tag, Algorithm, Digest type ve Digest kolonlarıyla verir; cluster'da her cihaz için ayrı tablo gösterilir ve iki tablodaki DS kayıtları da registrar'a girilir.
TR7'de Nerede Kullanılır
| Nerede | Alan / etiket | Ne için |
|---|---|---|
| GTM → GTM Services → servis adı → Domains → DNSSEC kilidi | DS Records tablosu: Key Tag, Algorithm, Digest Type, Digest (DNSSEC) | Registrar'a iletilecek DS değerleri; Algorithm ve Digest type sayısal değerin yanında adıyla gösterilir |
| GTM → GTM Services → servis adı → Records → Add | Record Type = DS | TR7'deki bir zone'un altında, başka bir sunucuya delege edilen imzalı alt zone'un DS kaydını yayımlama |
DS Kaydının Alanları
| Alan | Anlamı |
|---|---|
| Key tag | Özeti alınan anahtarı tanımlayan kısa sayı |
| Algorithm | Anahtarın imza algoritması (IANA numarası) |
| Digest type | Özet algoritması (ör. 2 = SHA-256) |
| Digest | Anahtarın özeti |
- Registrar formları genellikle bu dört alanı ayrı ayrı ister; değerler pencereden olduğu gibi kopyalanır.
- DNSSEC kapatılmadan önce DS kaydı registrar'dan kaldırılır; DS yerinde kalırken zone imzasız sunulursa doğrulayan resolver'lar yanıtları geçersiz sayar (SERVFAIL).
- DNSSEC kapatılıp yeniden açıldığında zone için yeni anahtar üretilir; DNSSEC Info for penceresindeki yeni DS değerleri registrar'daki eskilerin yerine girilir.
Sık Karıştırılan Noktalar
- "DS kaydı TR7'deki kendi zone'a eklenir." Bir zone'un DS kaydı üst zone'da yayımlanır; TR7 kendi zone'u için değerleri yalnızca üretir ve gösterir. Records ekranındaki DS türü, TR7'nin barındırdığı zone'un altındaki delege edilmiş alt zone'lar içindir.
- "DS iletilmeden DNSSEC kısmen çalışır." Chain of trust kopuk olduğundan doğrulayan resolver'lar zone'u imzasız sayar.
- "Cluster'da tek cihazın DS'si yeterlidir." İki cihaz farklı anahtarla imzaladığından iki cihazın DS kayıtları da iletilir.
Dokümantasyonda nasıl yapılır
