DNSSEC im Betrieb: Delegation und Schlüsselwechsel sicher planen
Nach einem Nameserverwechsel funktioniert die Website aus einem Netz, aus einem anderen nicht. Auch E-Mails können betroffen sein. Eine mögliche Ursache ist eine unterbrochene DNSSEC-Vertrauenskette. Wer Signierung, Delegation und Zuständigkeiten getrennt erfasst, kann solche Änderungen besser vorbereiten und Fehler gezielt eingrenzen.
Was DS, DNSKEY und Signaturen verbinden
DNSSEC macht Herkunft und Unverändertheit von DNS-Daten prüfbar. Es verschlüsselt weder DNS-Abfragen noch Websiteinhalte. RRSIG-Einträge enthalten Signaturen; DNSKEY-Einträge stellen die öffentlichen Schlüssel bereit. Der DS-Eintrag in der übergeordneten Zone verweist über einen kryptografischen Fingerabdruck auf einen Schlüssel der untergeordneten Zone. Zusammen mit einem vertrauenswürdigen Ausgangsschlüssel entsteht die prüfbare Kette.
Ein Signierungsschalter beim DNS-Anbieter belegt daher noch keine vollständige Absicherung. Entscheidend ist, ob ein validierender Resolver die gesamte Kette prüfen kann. Ein vorhandener DS-Eintrag ohne passende Schlüssel und gültige Signaturen kann dagegen zu Validierungsfehlern führen.
Vor dem Wechsel die Zuständigkeiten klären
Halten Sie fest, wer die Domain registriert, wer die autoritativen Nameserver betreibt und wer DS-Änderungen zur Registry übermittelt. Das können unterschiedliche Anbieter sein. Fragen Sie vor einem Wechsel nach dem konkreten DNSSEC-Verfahren, der Unterstützung auf der Zielplattform und einem erreichbaren Ansprechpartner für die Umschaltung.
Ein Registrarwechsel, ein Nameserverwechsel und ein Wechsel der Signierungsschlüssel sind getrennte Vorgänge. Werden nur Website oder Postfächer verschoben, folgt daraus nicht automatisch ein Schlüsselwechsel. Vereinbaren Sie ausdrücklich, welche dieser Ebenen sich tatsächlich ändern.
Schlüsselwechsel brauchen einen abgestimmten Ablauf
Beim Schlüsselwechsel müssen Resolver auch mit zwischengespeicherten Antworten weiterhin eine gültige Kette bilden können. Der Ablauf hängt vom verwendeten Verfahren ab. RFC 6781 beschreibt unterschiedliche Rollovers; eine pauschale Anweisung wie „alten Schlüssel löschen, neuen eintragen“ reicht nicht. Auch eine später verkürzte TTL beseitigt bereits gecachte Antworten nicht rückwirkend.
Automatisierung hilft, ersetzt aber nicht die Abstimmung mit der übergeordneten Zone. ISC unterscheidet bei BIND zwischen automatischen ZSK-Wechseln und KSK- beziehungsweise CSK-Wechseln, die eine passende DS-Aktualisierung benötigen. Überwachen Sie deshalb auch den bestätigten DS-Zustand und fehlgeschlagene Automationsschritte. Alte Schlüssel oder Signaturen erst nach dem vorgesehenen Ablauf entfernen.
SERVFAIL eingrenzen, bevor Einstellungen geändert werden
SERVFAIL ist keine eindeutige DNSSEC-Diagnose. Google nennt auch unerreichbare oder fehlerhaft antwortende Nameserver als Ursachen. Vergleichen Sie denselben Namen und Abfragetyp über mehrere Resolver sowie direkt an den autoritativen Servern. Speichern Sie vollständige Antworten einschließlich Status und gegebenenfalls Extended DNS Errors.
Cloudflare beschreibt den Vergleich einer normalen dig-Abfrage mit derselben Abfrage und +cd als Diagnosehilfe. Funktioniert nur die Abfrage mit deaktivierter Prüfung, ist das ein Hinweis auf ein Validierungsproblem. Diese ungeprüfte Antwort ist kein Sicherheitsnachweis. Prüfen Sie anschließend DS, DNSKEY, Signaturen und letzte Änderungen; deaktivieren Sie die Validierung nicht dauerhaft als Umgehung.
Allein +dnssec fordert DNSSEC-Daten an und führt in dig keine eigene kryptografische Prüfung aus. Bei einem vertrauenswürdigen validierenden Resolver signalisiert das AD-Flag eine validierte Antwort. Der ISC-Leitfaden behandelt außerdem abgelaufene Signaturen und eine falsche Resolverzeit als mögliche Fehlerquellen.
Checkliste für Änderung und Abnahme
- Domain, Nameserver, DNS-Betreiber und verantwortlichen Registrar erfassen.
- DS- und DNSKEY-Ausgangszustand sowie relevante TTLs dokumentieren.
- Verfahren, Reihenfolge, Wartezeiten und Rückfallweg mit beiden Anbietern bestätigen.
- Validierung von Website- und Mail-DNS-Einträgen vor und nach der Änderung prüfen.
- Abweichungen mit Uhrzeit, Resolver, Abfragetyp und vollständiger Antwort festhalten.
- Abnahme erst nach externen Tests und den vereinbarten Cache-Fristen abschließen.
Domainumzug und DNSSEC gemeinsam planen
Bei einem Domainumzug zu NUXOA sollten Sie den bestehenden DNSSEC-Zustand und einen geplanten Nameserverwechsel vorab angeben. Lassen Sie die Unterstützung für Ihre konkrete Domainendung und den vorgesehenen DNS-Betrieb bestätigen. Der verlinkte Umzugsratgeber hilft dabei, Domainverwaltung, DNS und E-Mail getrennt zu planen.