DNSSEC چیست و چطور امنیت دامنه شما را بیشتر می‌کند؟

وقتی آدرس یه سایت رو تو مرورگر تایپ می‌کنید، پشت صحنه یه سؤال و جواب سریع بین کامپیوتر شما و سرورهای DNS رد و بدل می‌شه: «آی‌پی این دامنه چنده؟» مشکل اینجاست که سیستم DNS تو طراحی اولیه‌ش هیچ راهی برای تشخیص جواب درست از جواب جعلی نداشت. یعنی اگه یکی زودتر از سرور واقعی جواب بده، کامپیوتر شما همون جواب جعلی رو باور می‌کنه.

DNSSEC دقیقاً برای بستن همین حفره ساخته شده. تو این مقاله اول ساده و بدون اصطلاحات اضافه می‌گیم DNSSEC چیه و چطور کار می‌کنه، بعد قدم‌به‌قدم فعال‌سازیش رو روی سی‌پنل، دایرکت‌ادمین و کلادفلر یاد می‌گیرید و در نهایت می‌بینیم اگه چیزی درست کار نکرد، از کجا باید دنبال مشکل بگردید.

خلاصه در سه خط: DNSSEC با امضای دیجیتال ثابت می‌کنه پاسخ DNS واقعاً از صاحب اصلی دامنه اومده و وسط راه دستکاری نشده. فعال‌سازیش دو مرحله داره: یکی روی هاست (تولید کلید و امضای زون) و یکی روی رجیسترار دامنه (ثبت رکورد DS). و مهم‌تر از همه: DNSSEC اطلاعات شما رو رمزنگاری نمی‌کنه — کار دیگه‌ای می‌کنه که پایین‌تر توضیح می‌دیم.

⚠️ قبل از هر کاری این رو بخونید: DNSSEC یه قابلیت «فعالش کن و فراموشش کن» نیست. اگه اشتباه تنظیم بشه یا هماهنگی بین هاست و رجیسترار به هم بخوره، سایت شما برای بخش بزرگی از کاربرها با خطای SERVFAILکاملاً از دسترس خارج می‌شه — نه کند می‌شه، نه خطا می‌ده؛ اصلاً بالا نمیاد. پس این مقاله رو تا آخر بخونید و بعد دست به کار بشید.

DNSSEC چیست؟ به زبان ساده

DNSSEC مخفف Domain Name System Security Extensions است؛ یه مجموعه افزودنی امنیتی برای DNS که توسط IETF استاندارد شده. کاری که می‌کنه اینه: هر پاسخ DNS رو با یه امضای دیجیتال همراه می‌کنه تا گیرنده بتونه بررسی کنه این پاسخ واقعاً از صاحب اون دامنه اومده و بین راه دست نخورده.

یه تشبیه ساده: DNS مثل دفترچه تلفنه که هر کسی می‌تونه یه صفحه‌ی جعلی توش بذاره. DNSSEC مثل مهر و امضای رسمی روی هر صفحه‌ست؛ متن رو مخفی نمی‌کنه، فقط ثابت می‌کنه جعلی نیست.

مشکلی که DNSSEC حل می‌کنه: جعل پاسخ DNS

دو تا حمله‌ی معروف اینجا مطرحن که خیلی وقت‌ها به جای هم به کار می‌رن:

• DNS Spoofing: مهاجم یه پاسخ جعلی رو زودتر از سرور واقعی به کاربر می‌رسونه.
• Cache Poisoning: نسخه‌ی خطرناک‌تر همون. پاسخ جعلی تو حافظه‌ی کش سرور DNS ذخیره می‌شه و از اون به بعد همه‌ی کاربرهایی که از اون سرور استفاده می‌کنن به آدرس جعلی هدایت می‌شن، تا وقتی که کش منقضی بشه.

نتیجه‌ی عملی برای کاربر اینه که آدرس درست رو تایپ می‌کنه، تو نوار آدرس هم دامنه‌ی درست رو می‌بینه، ولی روی سرور مهاجم فرود میاد. اینجاست که مثلاً یه صفحه‌ی ورود جعلی می‌تونه اطلاعات حساب کاربرها رو جمع کنه.

چیزی که DNSSEC حل نمی‌کنه (مهم‌ترین سوءتفاهم)

این بخش رو خیلی‌ها اشتباه می‌گن، پس صریح می‌نویسیم: DNSSEC ترافیک DNS شما رو رمزنگاری نمی‌کنه. کسی که وسط مسیر نشسته، همچنان می‌تونه ببینه شما دنبال چه دامنه‌ای می‌گردید. DNSSEC فقط دو چیز رو تضمین می‌کنه:

1. اصالت مبدأ: این پاسخ از صاحب واقعی دامنه اومده.
2. یکپارچگی داده: این پاسخ بین راه تغییر نکرده.

اگه دنبال محرمانگی هستید، ابزارش چیز دیگه‌ایه: DoH و DoT که پرس‌وجوی DNS رو رمزنگاری می‌کنن. این دو تا رقیب DNSSEC نیستن، مکمل اونن — پایین‌تر تفاوتشون رو کامل باز می‌کنیم.

DNSSEC چطور کار می‌کنه؟ زنجیره‌ی اعتماد

ایده‌ی اصلی DNSSEC یه زنجیره‌ست: هر سطح، سطح پایین‌تر خودش رو تأیید می‌کنه. این زنجیره از روت (ریشه) شروع می‌شه، به دامنه‌ی سطح بالا (مثلاً com.) می‌رسه و از اونجا به دامنه‌ی شما.

یعنی سرور اعتبارسنج (Resolver) لازم نیست به دامنه‌ی شما اعتماد کنه؛ فقط کافیه به روت اعتماد کنه و بعد زنجیره رو حلقه‌به‌حلقه پایین بیاد. اگه یکی از این حلقه‌ها بشکنه، کل زنجیره بی‌اعتبار می‌شه — و دقیقاً به همین دلیله که پیکربندی نصفه‌ونیمه، سایت رو از دسترس خارج می‌کنه.

چهار رکوردی که باید بشناسید

• DNSKEY: کلید عمومی دامنه‌ی شما. معمولاً دو تاست: یکی برای امضای رکوردها (ZSK) و یکی برای امضای خود کلیدها (KSK).
• RRSIG: امضای دیجیتال روی رکوردهای DNS. هر رکورد امضاشده یه RRSIG کنارش داره که تاریخ انقضا هم داره.
• DS: اثر انگشت کلید شماست که در سطح بالاتر (یعنی نزد رجیسترار) ثبت می‌شه. این همون حلقه‌ایه که دامنه‌ی شما رو به زنجیره‌ی اعتماد وصل می‌کنه.
• NSEC / NSEC3: برای اثبات اینکه یه رکورد واقعاً وجود نداره. بدون این، مهاجم می‌تونست با «وجود ندارد»های جعلی سرویس رو مختل کنه.

از این چهار تا، تنها چیزی که شما دستی باهاش سر و کار دارید رکورد DS است. بقیه رو هاست خودکار می‌سازه.

ساختار رکورد DS و چهار بخشش

وقتی روی هاست DNSSEC رو فعال کنید، یه رکورد DS تحویل می‌گیرید که چهار قسمت داره:

کدوم الگوریتم رو انتخاب کنیم؟

اگه پنل هاستتون چند گزینه جلوی شما گذاشت، این قاعده رو یادتون باشه:

• الگوریتم ۱۳ (ECDSAP256SHA256) — انتخاب پیش‌فرض امروز. امن و در عین حال کلیدهای کوچیک‌تری تولید می‌کنه که یعنی پاسخ‌های DNS سبک‌تر.
• الگوریتم ۸ (RSASHA256) — همچنان قابل قبول و پشتیبانی‌شده. اگه ۱۳ در دسترس نبود، این رو بردارید.
• الگوریتم ۵ یا ۷ (RSASHA1) — منسوخ شده. برای امضای جدید سراغش نرید.
• برای Digest Type هم همیشه ۲ (SHA-256) رو انتخاب کنید، نه ۱ که SHA-1 است.

خیلی از پنل‌ها هم‌زمان دو رکورد DS با Digest Type های ۱ و ۲ به شما می‌دن. اگه رجیسترار فقط یکی رو قبول می‌کنه، همون شماره‌ی ۲ رو ثبت کنید.

قبل از شروع: پیش‌نیازها و یک هشدار جدی

سه تا شرط باید هم‌زمان برقرار باشه، وگرنه فرآیند نصفه می‌مونه:

1. هاست شما باید DNSSEC رو پشتیبانی کنه و بتونه زون رو امضا کنه. تو سی‌پنل و دایرکت‌ادمین این قابلیت وجود داره، ولی گاهی باید توسط مدیر سرور فعال بشه.
2. رجیسترار دامنه باید امکان ثبت رکورد DS رو بده. اگه این یکی نباشه، هرچقدر هم زون رو امضا کنید، زنجیره‌ی اعتماد وصل نمی‌شه و عملاً هیچ اتفاقی نمی‌افته.
3. پسوند دامنه‌تون باید DNSSEC رو پشتیبانی کنه. اکثر پسوندهای بین‌المللی مثل com. و net. و org. سال‌هاست پشتیبانی می‌کنن.

تکلیف دامنه‌های ir. چیست؟

این بخش رو جدا نوشتیم چون احتمالاً مهم‌ترین قسمت مقاله برای خواننده‌ی ایرانیه و معمولاً هیچ‌جا گفته نمی‌شه.

برخلاف پسوندهای بین‌المللی، DNSSEC روی دامنه‌های ir. به‌صورت عمومی در دسترس نیست. ایرنیک این پروتکل رو در قالب یه طرح آزمایشی راه‌اندازی کرده که دامنه‌های تستش زیر پسوند .dnssec.ir ثبت می‌شن، و ارائه‌دهنده‌های داخلی هم معمولاً صریح اعلام می‌کنن که ثبت رکورد DS برای دامنه‌های ir. از سمت ایرنیک فعال نیست و این قابلیت فقط برای دامنه‌های بین‌المللی قابل تنظیمه.

یعنی اگه دامنه‌ی شما ir. است، احتمالاً می‌تونید روی هاست زون رو امضا کنید، ولی چون جایی برای ثبت رکورد DS وجود نداره، زنجیره‌ی اعتماد کامل نمی‌شه و عملاً محافظتی به دست نمیارید. قبل از اینکه وقت بذارید، این رو از رجیسترار خودتون بپرسید.

هشداری که حتماً باید جدی بگیرید

گفتیم ولی چون مهمه دوباره می‌گیم: DNSSEC از اون قابلیت‌هاییه که اگه نصفه رها بشه، از فعال نکردنش بدتره. سه تا سناریوی رایجی که سایت رو از دسترس خارج می‌کنه:

• زون رو امضا کردید ولی رکورد DS رو اشتباه (حتی یک کاراکتر) تو رجیسترار وارد کردید.
• هاست رو عوض کردید بدون اینکه اول رکورد DS رو از رجیسترار حذف کنید.
• کلیدها روی هاست عوض شدن ولی رکورد DS قدیمی هنوز تو رجیسترار مونده.

تو هر سه حالت، سرورهای اعتبارسنج مثل گوگل و کلادفلر پاسخ رو رد می‌کنن و کاربر با SERVFAIL روبه‌رو می‌شه. پس دو تا قانون ساده رو رعایت کنید: اول زون رو امضا کنید و بعد DS رو ثبت کنید؛ و موقع مهاجرت، اول DS رو حذف کنید و بعد هاست رو عوض کنید.

فعال‌سازی DNSSEC در دایرکت‌ادمین

دایرکت‌ادمین رایج‌ترین کنترل‌پنل روی هاست‌های اشتراکی ایرانیه، برای همین مفصل‌ترین بخش این مقاله رو بهش اختصاص دادیم.

یه نکته‌ی فنی که کمک می‌کنه بفهمید چرا بعضی چیزها اونجایی که انتظار دارید نیستن: دایرکت‌ادمین از دو مؤلفه‌ی DNS جدا استفاده می‌کنه. BIND که به درخواست‌های بیرونی جواب می‌ده و زون شما رو نگه می‌داره، و Unbound که نقش resolver محلی خود سرور رو داره. کاری که ما می‌خوایم انجام بدیم، امضای زون توی BIND ئه.

قدم صفر: با چه سطح دسترسی‌ای وارد شدید؟

قبل از هر چیز این رو مشخص کنید، چون کل مسیر شما به همین بستگی داره. دایرکت‌ادمین به‌صورت پیش‌فرض DNSSEC رو فقط در سطح ادمین (Admin Level) نشون می‌ده. این یه تصمیم عمدی از سمت دایرکت‌ادمینه تا کاربرهای عادی سهواً تنظیمات DNS رو خراب نکنن. پس اگه با یه اکانت معمولی وارد شدید و گزینه‌ی DNSSEC رو پیدا نمی‌کنید، اشکال از چشم شما نیست.

مسیر ۱: فعال‌سازی با دسترسی ادمین (گام‌به‌گام)

گام ۱ — ورود با اکانت ادمین. با نام کاربری admin و رمزی که موقع نصب سرور تعیین شده وارد دایرکت‌ادمین بشید و مطمئن بشید تو حالت Admin Level هستید. اگه بالای پنل گزینه‌ی جابه‌جایی سطح دسترسی می‌بینید، از همون‌جا Admin رو انتخاب کنید.

گام ۲ — رفتن به DNS Administration. تو منوی سطح ادمین دنبال گزینه‌ی DNS Administration بگردید و روش کلیک کنید.

گام ۳ — انتخاب دامنه. از لیست دامنه‌های سرور، روی دامنه‌ی خودتون کلیک کنید تا صفحه‌ی مدیریت زون همون دامنه باز بشه.

گام ۴ — پیدا کردن گزینه‌ی DNSSEC. تو صفحه‌ی مدیریت DNS، معمولاً بالای صفحه دکمه یا تبی به اسم DNSSEC هست. اگه نمی‌بینیدش، دوباره چک کنید که واقعاً تو سطح ادمین باشید؛ ۹۰ درصد مواقع مشکل همینه.

گام ۵ — تولید کلیدها. روی Generate Keys کلیک کنید. یه پیام هشدار امنیتی می‌بینید که باید تأییدش کنید. دایرکت‌ادمین کلیدهای رمزنگاری (KSK و ZSK) رو خودش می‌سازه.

گام ۶ — امضای زون. بعد از تولید کلید، گزینه‌ی Sign یا Sign your zone ظاهر می‌شه. روش کلیک کنید. از این لحظه زون شما امضا شده — ولی هنوز هیچ اتفاقی برای کاربرها نیفتاده، چون زنجیره‌ی اعتماد وصل نشده.

گام ۷ — کپی کردن رکوردهای DS. پایین همون صفحه، رکوردهای DS نمایش داده می‌شن؛ معمولاً دو تا، با Digest Type های ۱ و ۲. همون‌طور که تو بخش اول گفتیم، Digest Type 2 (SHA-256) رو بردارید. کل مقادیر رو تو یه فایل متنی ذخیره کنید، چون تو مرحله‌ی بعد لازمشون دارید.

موقع کپی کردن Digest حواستون باشه هیچ فاصله یا خط جدیدی وسطش جا نیفته. رشته‌ی SHA-256 دقیقاً ۶۴ کاراکتره؛ همین رو معیار بذارید و بشمریدش.

نکته مهم: اگه از هاست اشتراکی استفاده می‌کنید، توی دایرکت ادمین به صورت پیش فرض، حالت Admin Level فعال نیست و عملا این بخش رو نمی‌تونید انجام بدید. بهتره مسیر دوم که در ادامه می‌خونید رو انجام بدید.

مسیر ۲: اگر دسترسی ادمین ندارید

ساده‌ترین راه اینه که از پشتیبانی هاست بخواید انجامش بده. کار براشون کمتر از یک دقیقه‌ست، فقط باید دقیق بگید چی می‌خواید. می‌تونید عیناً این متن رو تو تیکت بفرستید:

«سلام. لطفاً DNSSEC را برای دامنه‌ی [نام دامنه] در سطح ادمین دایرکت‌ادمین فعال کنید (Generate Keys و سپس Sign زون) و رکوردهای DS را با Digest Type 2 برای من ارسال کنید تا در پنل رجیسترار ثبت کنم. ممنون.»

مسیر ۳: اگر می‌خواهید از این به بعد خودتان انجام بدید

دایرکت‌ادمین یه تنظیم داره که این قابلیت رو برای کاربرهای عادی هم نمایان می‌کنه. ادمین سرور باید این دستور رو تو ترمینال اجرا کنه:

da config-set user_dnssec_control 1 --restart

بعد از اجرای این دستور و ری‌استارت سرویس، شما به‌عنوان کاربر عادی هم گزینه‌ی DNSSEC رو تو بخش مدیریت DNS خودتون می‌بینید.

اگه هاست اشتراکی دارید، ممکنه هاستینگ به دلایل امنیتی این درخواست رو قبول نکنه. کاملاً هم منطقیه؛ تو این حالت از مسیر ۲ استفاده کنید.

دو نکته‌ی مهم برای سرورهای خاص

حالت Multi-Server: اگه DNS شما روی چند سرور رونویسی (replicate) می‌شه، مطمئن بشید تو فایل directadmin.conf مقدار dnssec=1 ست شده باشه. وگرنه ممکنه امضاها روی همه‌ی سرورها همگام نشن و نتیجه‌ش پاسخ‌های متناقض و خطای اعتبارسنجیه.

زیردامنه‌ها: اگه با زیردامنه کار می‌کنید (مثلاً shop.example.com)، رکورد DS باید تو زون والد ثبت بشه، نه خود زیردامنه. تو اکثر سناریوهای معمول، بهتره اصلاً برای زیردامنه زون DNS جداگانه نسازید و رکوردهاش رو داخل زون اصلی نگه دارید.

ثبت رکورد DS در رجیسترار دامنه

این مهم‌ترین مرحله‌ست. تا اینجا فقط زون رو امضا کردیم؛ حالا باید به سطح بالاتر اعلام کنیم که «کلید معتبر این دامنه اینه». بدون این مرحله، DNSSEC شما عملاً خاموشه.

1. وارد پنل مدیریت دامنه‌تون بشید (همون‌جایی که نیم‌سرورها رو تنظیم می‌کنید).
2. دنبال بخشی به اسم DNSSEC یا DS Record Management بگردید.
3. گزینه‌ی Add DS Record رو بزنید.
4. چهار فیلد Key Tag، Algorithm، Digest Type و Digest رو دقیقاً از روی چیزی که از دایرکت‌ادمین گرفتید پر کنید و ذخیره کنید.

بعضی رجیسترارها به‌جای چهار فیلد جدا، یه فیلد واحد می‌خوان که کل رکورد رو به‌صورت یک رشته وارد کنید. تو اون حالت قالبش این‌جوریه:

example.com. IN DS 12345 13 2 A1B2C3...64کاراکتر...

یادتون باشه اگه دامنه‌تون ir. است، همون‌طور که تو بخش اول توضیح دادیم، احتمالاً اصلاً چنین بخشی تو پنل پیدا نمی‌کنید. تو این حالت وقت بیشتری صرف نکنید و از پشتیبانی رجیسترار وضعیت رو بپرسید.

بعد از ثبت، بین ۱ تا ۲۴ ساعت طول می‌کشه تا تغییرات همه‌جا منتشر بشه. تو این فاصله نه چیزی رو عوض کنید نه دوباره ثبت کنید.

اگر DNS شما روی کلادفلر است

خیلی از سایت‌های ایرانی DNS رو به کلادفلر سپردن. اگه شما هم همین‌طورید، کل فرآیند بالا رو فراموش کنید؛ اینجا داستان خیلی کوتاه‌تره:

1. تو داشبورد کلادفلر دامنه رو انتخاب کنید و به بخش DNS برید.
2. زیربخش DNSSEC رو باز کنید و فعالش کنید.
3. کلادفلر یه رکورد DS به شما می‌ده. همون رو تو پنل رجیسترار ثبت کنید.

وقتی DNS دامنه روی کلادفلره، امضا رو کلادفلر انجام می‌ده نه هاست شما. پس نباید هم‌زمان روی دایرکت‌ادمین هم زون رو امضا کنید؛ این کار فقط تداخل درست می‌کنه.

تست و عیب‌یابی

سریع‌ترین راه: ابزارهای آنلاین

بعد از اینکه چند ساعت گذشت، دامنه‌تون رو تو یکی از ابزارهای تحلیل DNSSEC (مثل DNSViz یا DNSSEC Analyzer شرکت Verisign) وارد کنید. این ابزارها زنجیره‌ی اعتماد رو از روت تا دامنه‌ی شما حلقه‌به‌حلقه بررسی می‌کنن و دقیقاً نشون می‌دن کجا شکسته.

اگر با ترمینال راحت‌ترید

با این دستور می‌تونید ببینید پاسخ اعتبارسنجی شده یا نه:

dig @1.1.1.1 example.com +dnssec

تو خروجی دنبال فلگ ad (مخفف Authenticated Data) تو خط flags بگردید. اگه بود، یعنی resolver پاسخ رو اعتبارسنجی کرده و همه‌چیز سرجاشه. برای دیدن رکورد DS ثبت‌شده هم:

dig DS example.com @8.8.8.8

خطاهای رایج و معنی‌شون

نگهداری: تعویض کلید و انتقال هاست

DNSSEC یه بار فعال بشه، تموم نمی‌شه. دو تا موقعیت هست که اگه حواستون نباشه، سایت رو از دسترس خارج می‌کنه:

تعویض کلید (Key Rollover). کلیدها هر از چند وقت باید عوض بشن. تو اکثر سرورهای مدرن این کار خودکار انجام می‌شه، ولی اگه KSK دستی عوض بشه، باید رکورد DS جدید رو هم تو رجیسترار به‌روز کنید. ترتیب درستش اینه: اول DS جدید رو اضافه کنید، چند روز صبر کنید، بعد DS قدیمی رو حذف کنید — نه اینکه هم‌زمان جایگزین کنید.

انتقال هاست یا تغییر نیم‌سرور. این خطرناک‌ترین سناریوئه. ترتیب امن این‌طوریه:

1. اول رکورد DS رو از رجیسترار حذف کنید.
2. به اندازه‌ی TTL صبر کنید (معمولاً چند ساعت تا یک روز) تا حذف همه‌جا منتشر بشه.
3. حالا هاست یا نیم‌سرور رو عوض کنید.
4. روی هاست جدید دوباره DNSSEC رو فعال و زون رو امضا کنید.
5. رکورد DS جدید رو ثبت کنید.

اگه این ترتیب رو رعایت نکنید، تو فاصله‌ی بین انتقال و ثبت کلید جدید، دامنه‌تون برای کاربرهای زیادی بالا نمیاد.

DNSSEC، SSL و DoH/DoT چه فرقی دارند؟

این سه تا مدام با هم اشتباه گرفته می‌شن، در حالی که هر کدوم یه لایه‌ی متفاوت رو پوشش می‌دن:

خلاصه‌ش: DNSSEC مطمئن می‌شه به آدرس درست می‌رید، SSL مطمئن می‌شه مسیر ارتباطتون امنه، و DoH/DoT مطمئن می‌شه کسی نمی‌بینه کجا می‌رید. هیچ‌کدوم جایگزین اون یکی نیستن.

سؤالات متداول

جمع‌بندی

اگه بخوایم کل این مقاله رو تو چند خط خلاصه کنیم: DNSSEC با امضای دیجیتال جلوی جعل پاسخ‌های DNS رو می‌گیره، ولی چیزی رو رمزنگاری نمی‌کنه. فعال‌سازیش دو مرحله‌ی جدانشدنی داره — امضای زون روی هاست، و ثبت رکورد DS نزد رجیسترار. اگه فقط یکی از این دو تا انجام بشه، یا هیچ فایده‌ای نداره یا بدتر، سایتتون رو از دسترس خارج می‌کنه.

پیشنهاد عملی ما اینه: اگه سایتتون اطلاعات کاربرها رو نگه می‌داره — فروشگاه اینترنتی، پنل کاربری، انجمن — این کار ارزش وقت گذاشتن رو داره. فقط تو یه ساعت خلوت انجامش بدید، بعد از هر مرحله تست کنید، و شماره‌ی پشتیبانی هاست رو دم دست داشته باشید. اگه جایی گیر کردید، تو بخش نظرات بنویسید؛ خوشحال می‌شیم کمک کنیم. موفق و پیروز باشید!

تیم تولید محتوا

ما در تیم تولید محتوای میهن وردپرس در تلاش هستیم تا بهترین مقالات آموزشی در زمینه وردپرس و کسب‌و‌کارهای اینترنتی را تهیه کنیم. صحت محتوای این صفحه توسط رضا راد بررسی خواهد شد.