Windows Server에서 DNSSEC를 구성하는 방법

도메인 이름 시스템 보안 확장 또는 DNSSEC는 DNS 프로토콜을 보호하기위한 확장 모음입니다. DNS 서버를 보호하는 방법 중 하나입니다. DNS 캐시 잠금 그리고 DNS 소켓 풀 . 암호화 서명을 사용하여 시스템을 보호하기 위해 DNS 응답을 검증합니다. 이 게시물에서 우리는 당신이 어떻게 할 수 있는지 볼 것입니다 Windows Server에서 DNSSEC를 구성하십시오

윈도우 무비 메이커 트림 도구

Windows Server에서 DNSSEC를 구성하십시오

DNSSEC 암호화 서명을 사용하여 DNS 응답을 검증하여 진정성과 무결성을 보장함으로써 DNS의 보안을 향상시킵니다. DNS 스푸핑 및 캐시 변조와 같은 일반적인 위협으로부터 보호하여 DNS 인프라를보다 신뢰할 수있게합니다. DNSSEC는 DNS 영역에 서명함으로써 기본 쿼리 응답 메커니즘을 변경하지 않고 유효성 검사 계층을 추가합니다. 이를 통해 전송 중에 DNS 데이터가 안전하게 유지되어 사용자 및 조직에 신뢰할 수있는 환경을 제공합니다. 주요 목표는 DNS 서버를 보호하는 것이므로 DNSSEC뿐만 아니라 DNS 소켓 풀 및 DNS 캐시 잠금도 구성 할 것입니다.

DNSSEC, DNS 소켓 풀 및 DNS 캐시 잠금을 구성하려면 아래에 언급 된 단계를 따라갈 수 있습니다.

DNSSEC를 구성하십시오
그룹 정책을 구성하십시오
DNS 소켓 풀
DNS 캐시 잠금

자세히 이야기합시다.

1] DNSSEC 구성

Windows Server에서 DNSSEC를 구성하십시오

먼저 도메인 컨트롤러에서 DNSSEC를 설정하여 시작하겠습니다. 그렇게하려면 아래 언급 된 단계를 따라야합니다.

열기 서버 관리자.
그런 다음 가십시오 도구> DNS.
그러면 서버를 확장하십시오 전진 조회 영역, 도메인 컨트롤러를 마우스 오른쪽 버튼으로 클릭하고 선택하십시오 DNSSEC> 구역에 서명하십시오 .
일단 구역 서명 마법사 다음을 클릭하십시오.
선택하다 영역 서명 매개 변수를 사용자 정의합니다 다음을 클릭하십시오.
당신이 있다면 키 마스터 창, 진드기 DNS 서버 클라우드 서버는 키 마스터로 선택되었습니다. 다음을 클릭하십시오.
당신이있을 때 키 서명 키 (KSK) 인터페이스, 추가를 클릭하십시오.
옵션을 살펴보면 모든 필드를 올바르게 작성해야합니다. 조직의 요구 사항에 따라이를 작성한 다음 키를 추가해야합니다.
추가하면 다음을 클릭하십시오.
당신이 도달 한 후 구역 서명 키 (ZSK) 옵션, 추가를 클릭하고 양식을 작성하고 저장하십시오. 다음을 클릭하십시오.
에 다음 보안 (NSEC) 화면, 세부 사항을 채우십시오. NSEC (Next Secure)는 DNS 영역에서 오는 이름을 제공하여 도메인 이름의 존재하지 않는 것을 증명하는 데 사용되는 DNSSEC 레코드입니다.
TA 화면에있을 때는 진드기입니다 이 구역 검사를위한 신뢰 앵커 분포 활성화 그리고 키 롤오버에서 신뢰 앵커의 자동 업데이트를 활성화합니다 확인란. 다음을 클릭하십시오.
에 서명 및 폴링 매개 변수 화면, DS 세부 사항을 입력하고 다음을 클릭하십시오.
마지막으로 요약을 살펴보고 다음을 클릭하십시오.
성공적인 메시지를 받으면 마감을 클릭하십시오.

Windows Server에서 DNSSEC를 구성하십시오

영역을 구성한 후에는 가야합니다 신뢰 지점> ae> 도메인 이름 DNS 관리자에서 확인할 수 있습니다.

2] 그룹 정책 구성

영역을 구성한 후 그룹 정책 관리 유틸리티를 사용하여 도메인 정책을 변경해야합니다. 그렇게하려면 아래 언급 된 단계를 따르십시오.

열기 그룹 정책 관리 프로그램.
이제 가야합니다 Forest : Windows.ae> Domains> Windows.ae> 기본 도메인 정책을 마우스 오른쪽 버튼으로 클릭하십시오. 편집을 선택하십시오.
탐색하십시오 컴퓨터 구성> 정책> Windows 설정> 이름 해상도 정책을 클릭하십시오. 그룹 정책 관리 편집기에서.
오른쪽 창에서 규칙을 만듭니다 , 입력하다 Windows.ae 접미사 상자에서 규칙을 네임 스페이스 접미어에 적용합니다.
둘 다 확인하십시오 이 규칙에서 DNSSEC를 활성화하십시오 그리고 DNS 클라이언트가 이름 및 주소 데이터를 검증하도록 요구합니다 상자, 클릭하십시오 만들다 규칙을 마무리합니다.

이것이 DNSSEC를 구성하는 방법입니다. 그러나 우리의 일은 끝나지 않습니다. 서버를 보호하려면 DNS 소켓 풀 및 DNS 캐시 잠금을 구성해야합니다.

3] DNS 소켓 풀

Windows 스포트라이트 이미지가 변경되지 않음

DNS 소켓 풀은 소스 포트를 외진 쿼리에 대해 무작위로 만들어 DNS 보안을 향상시켜 공격자가 트랜잭션을 예측하고 이용하기가 더 어려워집니다. 당신은 열어야합니다 PowerShell 관리자로서 다음 명령을 실행하십시오.

Get-DNSServer

또는

Get-DnsServerSetting -All | Select-Object -Property SocketPoolSize

확인해야합니다 Socketpoolsize 수영장의 현재 크기를 알기 위해.

우리의 목표는 소켓의 크기를 늘리는 것입니다. 값이 클수록 보호가 더 좋습니다. 그렇게하려면 다음 명령을 실행해야합니다.

41E972EDDEE3C9BEBA8F491AFAAAAACA7C6D2BAB6F

참고 : 값은 0 - 10000 사이 일 수 있습니다.

DNS 서버를 다시 시작하면 좋습니다.

4] DNS 캐시 잠금

드라이버 백업 윈도우 10

DNS 잠금은 TTL 동안 캐시 된 DNS 레코드가 덮어 쓰는 것을 방지하여 데이터 무결성과 캐시 중독에 대한 보호를 보장합니다. 값을 확인하려면 다음 명령을 실행해야합니다.

F2D88657FC2627B191224D13587132C6768A844

100 여야합니다. 그렇지 않은 경우 아래에 언급 된 명령을 실행하여 100으로 설정하십시오.

Set-DnsServerCache –LockingPercent 100

이러한 조치를 취하면 DNS 서버가 안전합니다.

읽다: 명령 프롬프트 또는 PowerShell을 사용하여 DNS 서버를 변경하는 방법

Windows Server가 DNSSEC를 지원합니까?

예, Windows Server는 DNSSEC를 지원하며 DNS 영역을 보호하도록 구성 할 수 있습니다. 디지털 서명을 사용하여 DNS 응답을 검증하고 스푸핑과 같은 공격을 방지합니다. DNS 관리자 또는 PowerShell 명령을 통해 DNSSEC를 활성화 할 수 있습니다.

읽다: Windows 서버에서 DNS 노화 및 청소를 활성화 및 구성