Настройка DNSSEC с ГОСТ-2012 в НАЙС.ОС¶
Эта инструкция предназначена для системных администраторов. Она не требует разработки программ или самостоятельной сборки криптографических библиотек.
Перед включением на рабочем сервере
Строгий DNSSEC может временно нарушить разрешение имён, если используемые DNS-серверы, межсетевой экран, локальные зоны или параметры времени не готовы. На сервере, доступном только по сети, заранее обеспечьте резервный доступ и возможность откатить изменение. Сначала испытайте настройку на тестовой машине.
1. Убедитесь, что нужная версия установлена¶
В терминале НАЙС.ОС выполните:
Проверьте, что установлен выпуск системного пакета НАЙС.ОС с поддержкой RFC 9558. Если обновление отсутствует, установите его из официального репозитория вашей редакции. Одна только строка версии не подтверждает успешную DNSSEC-проверку в вашей сети: используйте сведения об обновлении и проверку на контрольной DNSSEC-зоне.
Для получения дополнительной информации о пакете:
Если служба не работает или система использует другой механизм DNS, проверьте действующую сетевую конфигурацию по общему руководству DNS. Не изменяйте /etc/resolv.conf и не переключайте сетевые службы вслепую на удалённом узле.
2. Проверьте предпосылки¶
- Служба времени синхронизирована; при ошибке часов подпись может считаться ещё не действительной или уже просроченной.
- Используемый DNS-сервер умеет передавать данные DNSSEC, а оборудование сети не обрезает дополнительные DNS-записи.
- Внутренние домены, используемые в организации, учтены в политике DNS. Нельзя предполагать, что частные зоны имеют такую же цепочку доверия, как публичные.
- Известно, какие сетевые интерфейсы, VPN-подключения и профили управляют DNS. Параметры отдельных интерфейсов могут отличаться от общесистемных.
Проверить время и текущие параметры:
3. Включите строгую проверку DNSSEC¶
Для работы в строгом режиме создайте отдельный конфигурационный файл (настройки в /etc не требуют изменения системного каталога /usr):
sudo mkdir -p /etc/systemd/resolved.conf.d
sudo tee /etc/systemd/resolved.conf.d/80-niceos-dnssec.conf >/dev/null <<'EOF'
[Resolve]
DNSSEC=yes
EOF
Примените настройки:
Убедитесь, что DNSSEC включён на нужных интерфейсах и сервер продолжает разрешать корпоративные и внешние имена. Если у вас есть дополнительные файлы конфигурации resolved.conf.d, проверьте порядок их применения: более поздняя настройка может переопределить значение.
Почему не советуем allow-downgrade как строгую защиту
В режиме allow-downgrade система может отказаться от DNSSEC-проверки, если сервер объявлен несовместимым. Это помогает сохранить доступность в сложных сетях, но не даёт такой же гарантии проверки, как DNSSEC=yes. Если на вашей машине действует режим allow-downgrade, для строгой политики его следует заменить и проверить результат.
4. Убедитесь, что приложения используют настроенный резолвер¶
Проверьте конфигурацию сети, использование systemd-resolved и /etc/resolv.conf. На части установок запросы проходят через системный механизм NSS, на других — через локальный DNS-адрес. Если конкретная программа напрямую обращается к другому DNS-серверу или использует собственный механизм разрешения имён, настройки systemd-resolved на неё могут не распространяться.
Используйте инструкцию по проверке DNSSEC. Обычная успешная загрузка страницы ещё не доказывает проверку подписи по ГОСТ-2012.
5. Возврат к предыдущим настройкам¶
Если строгая проверка прерывает работу сети, отмените созданное именно этой инструкцией переопределение и повторно проверьте исходные правила:
sudo rm -f /etc/systemd/resolved.conf.d/80-niceos-dnssec.conf
sudo systemctl restart systemd-resolved
resolvectl status
Это возвращает управление параметром остальной системной конфигурации; команда не обязательно отключает DNSSEC, если он включён в другом файле. Не оставляйте DNSSEC отключённым как постоянное решение, пока не выяснена причина отказа.
6. Что зафиксировать при вводе в эксплуатацию¶
Для эксплуатационного журнала достаточно записать установленный RPM-пакет, способ подключения к DNS, действующее значение DNSSEC, дату проверки времени, проверенный домен с подписью RFC 9558 и результат штатного запроса. Не публикуйте внутренние DNS-имена и адреса инфраструктуры в открытом отчёте.