在大型企业中部署DNSSEC（域名系统安全扩展）是一项复杂但至关重要的任务。DNSSEC旨在确保DNS（域名系统）提供的信息安全可靠。尽管对于任何规模的企业来说部署DNSSEC相对直接，但对于拥有大型区域和频繁更改记录的企业来说，挑战尤为明显。在DNS-OARC 31会议上，Salesforce的同事Allison Mankin和我分享了我们在Salesforce部署DNSSEC的经验，特别是在我们的大型、动态实时生产区域中部署DNSSEC的经验，希望这些经验能帮助其他组织在走这条路时。
如何选择合适的DNS提供商
在Salesforce，我们的DNSSEC部署始于分析我们的区域，并寻找满足我们DNSSEC要求的第三方提供商。市场上有很多托管DNS提供商，它们提供特定于提供商的功能，有不同的政策和基础设施，并且在DNSSEC支持的范围上可能存在限制。为了找到适合我们的提供商，我的同事Pallavi Aras和Shumon Huque对多个DNS提供商进行了功能测试，包括区域签名算法、NSEC3支持和区域大小支持。除了功能测试外，他们还在非高峰和高峰时段模拟了公司的DNS配置场景，对这些DNS提供商的配置和解析性能进行了测试，包括API使用、服务器利用率和更新传播延迟。通过这些测试，我们发现没有单个提供商能满足所有我们的要求。因此，我们根据区域的大小、更新频率和密钥管理策略将区域分为两组，并应用了两种不同的DNSSEC模型。
多DNS提供商的优势
使用多个DNS提供商来服务区域的一个额外好处是，当任何单个提供商完全失败时，DNS服务仍然可以继续。Shumon之前讨论了在多个DNS提供商中部署DNSSEC的理想方式。在他的模型中，每个提供商独立地对相同的区域进行签名和提供服务，这要求每个提供商将所有其他提供商的公共区域签名密钥（ZSKs）导入其DNSKEY RR集。由于在我们研究的时候，没有足够的提供商实施了这些模型，所以我们采用了两种其他模型。第一种是传统的“隐藏签名主”模型，可以在内部主服务器上运行（带有Rest API配置服务）。它维护和签名区域数据，然后将区域通过DNS区域传输传播到两个提供商，这些提供商提供服务，如图1所示。第二种模型是“第三方签名提供商”模型。
实际意义
对于运维和网络工程师来说，了解如何在大型企业中部署DNSSEC具有重要意义。通过分析区域和选择合适的DNS提供商，可以确保DNS服务的安全性和可靠性。此外，采用多DNS提供商的策略可以增强系统的鲁棒性，减少单点故障的风险。这些经验对于其他面临类似挑战的企业来说，是一个宝贵的参考。
原文: APNIC Blog（2020-02-26）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog