Sicheres DNS-System in Windows Server 8

DNSSEC und verbesserte DNS-Verwaltung Sicheres DNS-System in Windows Server 8

19.04.2012Autor / Redakteur: Thomas Joos / Stephan Augsten

Mit Windows Server 8 erweitert Microsoft die Möglichkeit der DNS-Verwaltung und verbessert die Sicherheit der DNS-Einträge. Das ist vor allem dann von Belang, wenn Server sicher in Cloud-Infrastrukturen eingebunden werden sollen. Dieser Beitrag befasst sich mit der Verwaltung der Domain Name System Security Extensions.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

V2_Screen_M.png (SEPPmail - Deutschlang GmbH)

SEPPmail - Deutschland GmbH

square-keeper-coin-color-2x (https://www.keepersecurity.com/de_DE/)

Keeper Security EMEA Ltd.

Windows Server 8 soll die Verwaltung von DNSSEC und entsprechenden DNS-Zonen vereinfachen.

Bereits mit Windows Server 2008 R2 hat Microsoft DNSSEC eingeführt um Zonen und Einträge abzusichern. Unter Windows Server 8 verbessert Microsoft die Möglichkeiten von DNS noch weiter. Die Installation von DNS erfolgt über den Server-Manager wie alle anderen Rollen. Die Installation kann auch hier über das Netzwerk auf andere Server erfolgen.

Windows Server 2008 R2 kann bereits Zonen digital signieren und dadurch vor unerlaubten Änderungen schützen. Die Erstellung des Schlüssels erfolgt manuell über das Befehlszeilentool „dnscmd.exe“. Dynamische DNS-Updates sind bei dieser Konfiguration nicht erlaubt.

Die Verwaltung von DNS-Servern ist durch die Gruppierung im Server-Manager von Windows Server 8 wesentlich effizienter. Mit dem neuen Betriebssystem lassen sich Zonen auch online digital signieren. Es ist nicht notwendig, diese vorher offline zu setzen.

DNSSEC lässt sich in unter Windows Server 8 komplett in das Active Directory integrieren. Das umfasst auch die Möglichkeit, dynamische Updates für geschützte Zonen zu aktivieren. Entgegen Windows Server 2008 R2 werden dabei Standards wie NSEC3 und RSA/SHA-2 unterstützt. Die DNS-Verwaltungsoberfläche hat Microsoft ebenfalls verbessert – und auch die Windows-Powershell ermöglicht jetzt die Verwaltung von DNS über Skripte.

Neu ist die Unterstützung von DNSSEC auf schreibgeschützten Domänencontrollern (RODC). Findet ein RODC mit Windows Server 8 eine signierte DNS-Zone, legt er automatisch eine sekundäre Kopie der Zone an und überträgt die Daten der DNSEC-geschützten Zone. Das hat den Vorteil, dass auch Niederlassungen mit RODCs gesicherte Daten auflösen können, aber die Signatur und Daten der Zone nicht in Gefahr sind.

Bildergalerie

Die Installation von DNS erfolgt über den Server-Manager – auch für Server im Netzwerk. Die grundlegende Installation unterscheidet sich nicht von Windows Server 2008 R2. Nach der Installation ist DNS im Server-Manager integriert und der Assistent hat auch eine eigene Servergruppe erstellt. Über diese verwalten Admins den Server und sehen Fehlermeldung zentral.

Der DNS-Manager lässt sich über Tools im Server-Manager starten. DNSSEC wird bei Bedarf über das Kontextmenü der Zonen erstellt. Eine komplizierte Konfiguration in der Befehlszeile ist somit nicht mehr notwendig. Auch das Offline-Setzen von Zonen erübrigt sich.

Das Signieren der Zone erfolgt über einen Assistenten. Mit diesem können Administratoren recht einfach DNS-Zonen vor Manipulationen schützen. Der Assistent erlaubt die manuelle Signierung, eine Aktualisierung zuvor signierter Zonen und eine Signatur auf Basis automatischer Einstellungen.

Auch wenn der Administrator den Schlüssel für die eigentliche Signatur festlegen möchte, hilft die Verwaltungskonsole mit einem Assistenten. Nach dem Erstellen der notwendigen Schlüssel – also Schlüsselsignaturschlüssel (Key Signing Key, KSK) und Zonensignaturschlüssel (Zone Signing Key, ZSK) – lassen sich diese automatisiert ausrollen.

Bildergalerie mit 11 Bildern

(ID:33219460)

DNSSEC und verbesserte DNS-Verwaltung Sicheres DNS-System in Windows Server 8

Karrierechancen