Como configurar o DNSSEC no servidor Windows

Extensões de segurança do sistema de nomes de domínio ou DNSSEC é uma coleção de extensões para proteger o protocolo DNS. É um dos métodos para proteger o servidor DNS, juntamente com Bloqueio de cache do DNS e Pool de soquete DNS . Ele usa assinaturas criptográficas para validar as respostas do DNS para proteger seu sistema. Neste post, vamos ver como você pode Configure o DNSSEC no servidor Windows

Configure o DNSSEC no servidor Windows

DNSSEC Aumenta a segurança do DNS usando assinaturas criptográficas para validar as respostas do DNS, garantindo sua autenticidade e integridade. Protege contra ameaças comuns, como falsificação de DNS e violação de cache, tornando a infraestrutura DNS mais confiável. Ao assinar zonas DNS, o DNSSEC adiciona uma camada de validação sem alterar o mecanismo básico de resposta à consulta. Isso garante que os dados do DNS permaneçam seguros durante a transmissão, fornecendo um ambiente confiável para usuários e organizações. Como nosso objetivo principal é proteger seu servidor DNS, configuraremos não apenas o DNSSEC, mas também o DNS Socket Pool e o DNS Cache Locking.

Para configurar o DNSSEC, o DNS Socket Pool e o bloqueio do cache DNS, você pode seguir as etapas mencionadas abaixo.

1. Configure o DNSSEC
2. Configure a política do grupo
3. Pool de soquete DNS
4. Bloqueio de cache do DNS

Vamos falar sobre eles em detalhes.

1] Configure DNSSEC

Vamos começar a configurar o DNSSEC em nosso controlador de domínio. Para fazer isso, você precisa seguir as etapas mencionadas abaixo.

centro de segurança windows 10

1. Abra o  Gerenciador de servidor.
2. Então, vá para  Ferramentas> DNS.
3. Expanda o servidor, então  Zona de pesquisa avançada,  Clique com o botão direito do mouse no controlador de domínio e selecione DNSSEC> Assine a zona .
4. Uma vez o  Assistente de assinatura de zona  Aparece, clique em Avançar.
5. Selecione Personalize os parâmetros de assinatura de zona  e clique em Avançar.
6. Se você estiver no  Mestre -chave  janela, marque O servidor de nuvem do servidor DNS é selecionado como o principal mestre,  e clique em Avançar.
7. Quando você está no Interface de chave de assinatura de chave (KSK),  Clique em Adicionar.
8. Passe as opções e você precisa preencher todos os campos corretamente. Você precisa preencher isso de acordo com os requisitos da sua organização e adicionar a chave.
9. Depois de adicionado, clique em Avançar.
10. Depois de chegar ao Chave de assinatura de zona (ZSK)  Opção, clique em Adicionar, preencher o formulário e salvar. Clique em Avançar.
11. No Próximo seguro (NSEC)  tela, preencha os detalhes. O NSEC (Next Secure) é um registro DNSSEC usado para provar a inexistência de um nome de domínio, fornecendo os nomes que vêm antes e depois dele na zona DNS, garantindo que a resposta seja autenticada e à prova de violação.
12. Quando você estiver na tela AT, marque Habilite a distribuição de âncoras de confiança para esta verificação de zona  e  Ativar atualização automática de âncoras de confiança na rolagem de chaves  caixas de seleção. Clique em Avançar.
13. No Parâmetros de assinatura e pesquisa Tela, insira os detalhes do DS e clique em Avançar.
14. Por fim, siga o resumo e clique em Avançar.
15. Depois de receber a mensagem bem -sucedida, clique em Concluir.

Depois de configurar a zona, você precisa ir para  Ponto de confiança> AE> Nome de domínio  no gerente do DNS para confirmar.

2] Configurar a política do grupo

Depois de configurar a zona, precisamos fazer algumas alterações em nossa política de domínio usando o utilitário de gerenciamento de políticas de grupo. Para fazer isso, siga as etapas mencionadas abaixo.

1. Abra o  Gerenciamento de políticas de grupo  programa.
2. Agora, você precisa ir para  Floresta: Windows.ae> Domínios> Windows.ae> Clique com o botão direito do mouse na política de domínio padrão,  e selecione Editar.
3. Navegar para Configuração do computador> Políticas> Configurações do Windows> Clique na Política de Resolução de Nomes no editor de gerenciamento de políticas de grupo.
4. No painel direito, sob Criar regras , digitar Windows.ae Na caixa de sufixo para aplicar a regra ao sufixo do espaço para nome.
5. Verifique os dois Ativar DNSSEC nesta regra e Exigir que os clientes DNS validem os dados de nome e endereço Caixas e clique em Criar para finalizar a regra.

É assim que você pode configurar o DNSSEC. No entanto, nosso trabalho não está feito. Para proteger nosso servidor, devemos configurar o pool de soquete DNS e o bloqueio de cache do DNS

3] Pool de soquete DNS

O DNS Socket Pool aprimora a segurança do DNS, tornando as portas de origem aleatórias para consultas de saída, dificultando a previsão e a exploração de transações. Você precisa abrir  Powershell  como administrador e execute o seguinte comando.

Get-DNSServer

OU

erro 0x80070643

Get-DnsServerSetting -All | Select-Object -Property SocketPoolSize

Você precisa verificar  SocketPoolSize  conhecer o tamanho atual da piscina.

Nosso objetivo é aumentar o tamanho do soquete; Quanto maior o valor, melhor a proteção. Para fazer isso, você precisa executar o seguinte comando.

Nota: O valor pode estar entre 0 e 10000.

Reinicie seu servidor DNS e você estará pronto.

4] Bloqueio de cache de DNS

O bloqueio do DNS impede que os registros do DNS em cache sejam substituídos durante o TTL, garantindo a integridade dos dados e a proteção contra envenenamento por cache. Precisamos executar o seguinte comando para verificar o valor.

Deve ser 100; Caso contrário, execute o comando mencionado abaixo para defini -lo como 100.

Set-DnsServerCache –LockingPercent 100

Se você tomar essas medidas, seu servidor DNS estará seguro.

incapaz de carregar dll

Ler:  Como alterar o servidor DNS com prompt de comando ou PowerShell

O Windows Server suporta DNSSEC?

Sim, o Windows Server suporta o DNSSEC e permite configurá -lo para proteger as zonas DNS. Ele usa assinaturas digitais para validar respostas do DNS e evitar ataques como falsificação. Você pode ativar o DNSSEC através dos comandos do gerente ou PowerShell do DNS.

Ler:  Ativar e configurar o envelhecimento e a eliminação do DNS no servidor Windows

Como configuro o DNS para o Windows Server?

Para configurar o DNS no Windows Server, precisamos instalar a função do servidor DNS primeiro. Uma vez feito, precisamos atribuir um endereço IP estático e configurar a entrada DNS. Recomendamos que você verifique nosso guia sobre como Instale e configure o DNS no Windows Server.

Leia também: Altere as configurações de DNS no Windows 11 facilmente.