Implementação do DNSSEC no iG
0 gostou227 visualizações
O documento discute a implementação do DNSSEC no domínio ig.com.br, sendo o primeiro portal brasileiro a assinar seu domínio. Detalha a política e infraestrutura de chaves, ferramentas de administração e monitoramento, e estatísticas do desempenho dos servidores autoritativos e recursivos após a implantação.
Implementação do DNSSEC no iG
- 1. Implementação do DNSSEC Wilson Rogério Lopes wlopes@ig.com http://tisora.com.br GTER 32 - 12/2011
- 2. DNSSEC no iG Domínio ig.com.br assinado em 14 de maio de 2011 Primeiro portal brasileiro a ter o domínio assinado domínio:ig.com.br entidade: Internet Group do Brasil SA servidor DNS: dnssec1.ig.com.br status DNS: 26/11/2011 AA último AA: 26/11/2011 servidor DNS: dnssec2.ig.com.br status DNS: 26/11/2011 AA último AA: 26/11/2011 record DS: 56476 RSA/SHA-1FFC9F99278B14E76733A85... status DS: 24/11/2011 DSOK
- 3. Agenda Premissas DNS Autoritativo Política de chaves e assinaturas Infraestrutura, ferramentas e operação Estatísticas DNS Recursivo Infraestrutura Estatísticas Considerações Finais
- 4. Premissas Operação DNSSEC não pode ser um problema operacional Processo alinhado com a gerência de mudanças Confiabilidade e Monitoração Manter a confiabilidade da infra de DNS Reassinatura/Rollover automatizados Escalabilidade
- 5. Política de chaves e assinaturas KSK RSASHA1 1024 bits Assina todo o conteúdo da zona Rollover a cada 12 meses - método double-sign RRSIG's – assinaturas válidas por 30 dias Reassinatura automática
- 7. Autoritativo - Ferramentas Pdnsadmin – Desenvolvimento interno Administração de zonas/registros Validação Provisionamento de zonas via rndc Email notificando as alterações Validações antes de cada publicação Integridade da zona Número de registros alterados Existência de registros importantes DSC – DNS Statistics Collector Clara visualização do uso do DNSSEC
- 8. Autoritativo - Ferramentas Verisign DNSSEC Analyzer http://dnssec-debugger.verisignlabs.com
- 12. Recursivo - Infraestrutura Atende aos clientes do dial iG Alguns milhares de clientes simultâneos Ancorada chave da raiz - Rollover automático Preocupações Servidores CPU - Custo da criptografia Memória - RRSET + RRSIG EDNS0 – Evitar aumento de consultas via TCP Clientes Latência nas respostas MTU – Clientes via túnel L2TP
- 14. Recursivo - Estatísticas CPU Aumento de consumo não relevante neste ambiente Devido à... 90% das queries em cache Os domínios mais consultados não estão assinados Cache dos registros já validados – DS, DNSKEY, RRSIG ENDS0 – edns-udp-size MTU - max-udp-size
- 16. OBRIGADO ! Wilson Rogério Lopes Gerência de Datacenter wlopes@ig.com noc@ig.com