最佳实践

Size: px

Start display at page:

Download "最佳实践"

完邬
5 years ago
Views:

1 云解析服务最佳实践文档版本 02 发布日期华为技术有限公司

2 版权所有华为技术有限公司 2018 保留一切权利非经本公司书面许可, 任何单位和个人不得擅自摘抄复制本文档内容的部分或全部, 并不得以任何形式传播商标声明和其他华为商标均为华为技术有限公司的商标本文档提及的其他所有商标或注册商标, 由各自的所有人拥有注意您购买的产品服务或特性等应受华为公司商业合同和条款的约束, 本文档中描述的全部或部分产品服务或特性可能不在您的购买或使用范围之内除非合同另有约定, 华为公司对本文档内容不做任何明示或默示的声明或保证由于产品版本升级或其他原因, 本文档内容会不定期进行更新除非另有约定, 本文档仅作为使用指导, 本文档中的所有陈述信息和建议不构成任何明示或暗示的担保华为技术有限公司地址 : 深圳市龙岗区坂田华为总部办公楼邮编 : 网址 : 客户服务邮箱 : support@huawei.com 客户服务电话 : 文档版本 02 ( ) 版权所有华为技术有限公司 i

4 1 设置 CAA 记录防止错误颁发 HTTPS 证书 1 设置 CAA 记录防止错误颁发 HTTPS 证书 CAA(Certification Authority Authorization, 证书颁发机构授权 ) 是一项防止 HTTPS 证书错误颁发的安全措施, 遵从 IETF RFC6844 从 2017 年 9 月 8 日起, 要求 CA (Certification Authority, 证书颁发 ) 机构执行 CAA 强制性检查公有云的云解析服务支持为公网域名设置 CAA 记录, 您可以通过在管理控制台为域名添加 CAA 解析记录背景全球约有上百个 CA 机构有权发放 HTTPS 证书, 证明您网站的身份假如浏览器将某个 CA 机构列入黑名单, 并宣称不再信任其颁发的 HTTPS 证书, 当您访问到部署了这些 HTTPS 证书的网站时, 会被提示 HTTPS 证书不受信任, 如图 1-1 所示图 1-1 HTTPS 证书错误颁发 CAA 标准要求 CA 机构在为域名签发证书时执行 CAA 强制性检查 : 如果检查域名的 DNS 解析记录, 发现未设置 CAA 字段, 则为该域名颁发证书这种情况下, 任何 CA 机构均可为该域名签发证书, 存在 HTTPS 证书错误颁发的风险如果检查域名的 DNS 解析记录, 在 CAA 字段发现获得授权, 则为该域名颁发证书文档版本 02 ( ) 版权所有华为技术有限公司 1

5 1 设置 CAA 记录防止错误颁发 HTTPS 证书如果检查域名的 DNS 解析记录, 在 CAA 字段发现未获得授权, 则拒绝为该域名颁发证书, 防止未授权 HTTPS 证书错误颁发为网站的域名添加 CAA 解析记录可以使网站将指定 CA 机构列入白名单, 仅授权指定 CA 机构为网站的域名颁发证书, 提高网络的安全性配置原则 CAA 记录集的格式为 :[flag] [tag] [value], 由一个标志字节的 [flag] 和一个 [tag]-[value] ( 标签 - 值 ) 对组成配置原则 : flag: 认证机构限制标志, 定义为 0~255 无符号整型常用取值为 0 tag: 仅支持大小写字母和数字 0~9, 长度 1~15, 常用取值 : issue: 授权任何类型的域名证书 issuewild: 授权通配符域名证书 iodef: 指定违规申请证书通知策略 value: 域名或用于违规通知的电子邮箱或 Web 地址其值取决于 [tag] 的值, 必须加双引号取值范围 : 字符串 ( 仅包含字母数字空格 -#*?&_~=:;.@+^/! %), 最长 255 字符不同应用场景下, 设置 CAA 记录集的规则如表 1-1 所示表 1-1 CAA 记录配置规则目的样例描述设置单域名 CAA 记录设置发送警报通知设置颁发通配符域名证书 domain.com. CAA 0 issue "ca.example.com" domain.com. CAA 0 issue ";" domain.com. CAA 0 iodef "mailto:admin@domain.com" domain.com. CAA 0 iodef " domain.com/log/" domain.com. CAA 0 iodef " domain.com/log/" domain.com. CAA 0 issuewild "ca.example.com" 该字段表示只有 ca.example.com 可以为域名 domain.com 颁发证书, 未经授权的第三方 CA 机构申请域名 domain.com 的 HTTP 证书将被拒绝该字段表示拒绝任何 CA 机构为域名 domain.com 颁发证书该字段用于当第三方尝试为一个未获得授权的域名申请证书时, 通知 CA 机构向网站所有者发送警报邮件该字段用于记录尝试在其他 CA 申请 HTTPS 证书的行为该字段用于将通配符证书的颁发权限指定 CA 机构 ca.example.com 文档版本 02 ( ) 版权所有华为技术有限公司 2

6 1 设置 CAA 记录防止错误颁发 HTTPS 证书目的样例描述综合配置样例 domain.com. CAA 0 issue "ca.abc.com" domain.com. CAA 0 issuewild "ca.def.com" domain.com. CAA 0 iodef "mailto:admin@domain.com" 该字段表示域名 domain.com: 授权 CA 机构 ca.abc.com 颁发不限类型的证书授权 CA 机构 ca.def.com 颁发通配符证书禁止其他 CA 机构颁发证书当有违反设置规则的情况发生,CA 机构发送通知邮件到 admin@domain.com 添加 CAA 记录集 1. 登录管理控制台 2. 选择网络 > 云解析服务进入云解析服务页面 3. 在左侧树状导航栏, 选择域名解析 > 公网域名进入公网域名页面 4. 在公网域名页面的域名列表中, 单击待添加 CAA 记录集的域名 domain.com 系统进入 domain.com 的域名解析记录页面 5. 单击添加记录集系统进入添加记录集页面 6. 设置 CAA 记录集的参数类型 :CAA CA 证书颁发机构授权校验线路类型 : 全网默认 TTL:5 分钟值 : domain.com. CAA 0 issue "ca.abc.com" domain.com. CAA 0 iodef "mailto:admin@domain.com" 7. 单击确定, 完成 CAA 类型记录集的添加验证 CAA 解析记录是否生效? CAA 解析记录可以通过 dig+trace 命令查看域名是否生效以及具体的解析过程命令格式为 :dig [ 类型 ] [ 域名 ] +trace 示例如下 : dig caa +trace 说明如果操作系统没有自带 dig 命令, 需要手动安装后才能使用文档版本 02 ( ) 版权所有华为技术有限公司 3

7 背景内网域名是指仅在 VPC 内生效的虚拟域名, 无需购买和注册, 无需备案云解析服务提供的内网域名功能, 可以让您在 VPC 中拥有权威 DNS, 且不会将您的 DNS 记录暴露给互联网, 解析性能更高, 时延更低, 并且可以防护解析劫持我们可以将 VPC 内承担内网域名解析功能的 DNS 称为内网 DNS 内网域名功能支持为 VPC 内每个云服务器创建一个内网域名, 实现 : 通过内网域名访问 VPC 内的云服务器, 无需经过 Internet, 访问速度更快安全性更高在代码中使用内网域名代替内网 IP 当需要进行云服务器切换时, 只需通过修改内网域名解析记录即可, 无需修改代码操作场景云解析服务作为内网 DNS 的典型应用场景如图 2-1 所示图 2-1 逻辑组网图图 2-1 展示了某网站的逻辑组网, 在一个 VPC 内, 部署了 2 台 ECS 和一个 RDS 其中 : 文档版本 02 ( ) 版权所有华为技术有限公司 4

8 ECS: 作为主业务站点和业务入口 ECS1: 作为公共接口 RDS1: 作为数据库, 存储业务数据 ECS2 和 RDS2: 作为备份服务器和数据库当该网站在运行过程中, 因 ECS1 故障, 需要将业务切换到备份的云服务器 ECS2 时, 若云服务器没有配置内网域名, 则需要通过修改主业务节点 ECS 的代码来重新设置云服务器的内网 IP 地址该操作需要中断业务并重新发布网站, 耗时耗力假如在部署该网站时, 我们为云服务器申请了内网域名, 且代码中设置的是云服务器的内网域名, 则仅需要通过修改内网域名解析记录即可实现云服务器的切换, 无需中断业务, 也不需要重新发布网站本文介绍为云服务器配置内网域名的操作指导数据规划云服务器的内网域名规划如表 2-1 所示表 2-1 内网域名数据规划设备内网域名关联 VPC 内网 IP 记录集类型说明 ECS1 api.ecs.com VPC_ A 公共接口 ECS ECS2 api.ecs.com VPC_ A 备份公共接口 ECS RDS1 db.com VPC_ A 数据库, 用于存储业务数据 RDS2 db.com VPC_ A 备份数据库操作流程为云服务器配置内网域名的流程如图 2-2 所示文档版本 02 ( ) 版权所有华为技术有限公司 5

图 2-2 内网域名配置流程配置流程说明 : ( 可选 ) 创建 VPC 及 VPC 子网 : 在管理控制台虚拟私有云服务页面完成配置, 仅当您在网站部署阶段为云服务器配置内网域名时, 执行本操作创建内网域名和创建记录集 : 在管理控制台云解析服务页面完成相关配置 ( 可选 ) 更改 VPC 子网的 DNS : 在管理控制台虚拟私有云服务页面完成配置,

9 图 2-2 内网域名配置流程配置流程说明 : ( 可选 ) 创建 VPC 及 VPC 子网 : 在管理控制台虚拟私有云服务页面完成配置, 仅当您在网站部署阶段为云服务器配置内网域名时, 执行本操作创建内网域名和创建记录集 : 在管理控制台云解析服务页面完成相关配置 ( 可选 ) 更改 VPC 子网的 DNS : 在管理控制台虚拟私有云服务页面完成配置, 仅当您为已运行网站的云服务器配置内网域名时, 执行本操作 ( 可选 ) 创建 VPC 及 VPC 的子网当您在网站部署阶段为云服务器配置内网域名时, 需要首先完成 VPC 及其子网的创建 1. 登录管理控制台 2. 单击管理控制台左上角的, 选择区域和项目 3. 选择网络 > 虚拟私有云 4. 在左侧树状导航栏, 选择虚拟私有云 5. 单击创建虚拟私有云, 根据界面提示配置参数, 关键参数的配置说明如表 2-2 所示表 2-2 虚拟私有云关键参数说明参数说明取值样例区域不同区域的资源之间内网不互通请选择靠近您客户的区域, 可以降低网络时延提高访问速度华北 - 北京一文档版本 02 ( ) 版权所有华为技术有限公司 6

10 参数说明取值样例名称 VPC 名称 VPC_001 网段 VPC 的地址范围,VPC 内的子网地址必须在 VPC 的地址范围内目前支持网段范围 : /8~ /12~ /16~ /16 子网名称子网的名称 Subnet 子网网段子网的地址范围, 需要在 VPC 的地址范围内 /24 网关子网的网关 DNS 服务器地址若要为 VPC 内的云服务器配置内网域名, 需要设置 DNS 服务器地址与华为云的内网 DNS 地址保持一致单击立即创建, 完成 VPC 以及 VPC 默认子网的设置创建内网域名为云服务器 ECS1 和数据库 RDS1 创建内网域名 1. 选择网络 > 云解析服务进入云解析服务页面 2. 在左侧树状导航栏, 选择域名解析 > 内网解析 3. 单击创建内网域名, 开始创建内网域名 4. 根据界面提示配置参数, 参数说明如表 2-3 所示表 2-3 创建内网域名参数说明参数参数说明取值样例域名域名可以自定义, 支持创建顶级域, 但需符合域名命名规范 api.ecs.com VPC 内网域名要关联的 VPC VPC_001 邮箱可选参数管理该内网域名的管理员邮箱建议用户使用保留邮箱 HOSTMASTER@ 域名作为此管理员邮箱更多关于的信息, 请参见 SOA 记录中的格式为什么变化了? HOSTMASTER@ecs1.c om 文档版本 02 ( ) 版权所有华为技术有限公司 7

11 参数参数说明取值样例标签描述可选参数由键和值组成, 用于搜索域名或为域名资源分组当系统中配置多个域名时, 可以选择配置此参数键和值的命名规则请参见表 2-4 可选参数域名的描述信息长度不超过 255 个字符 - This is a zone example. 表 2-4 标签命名规则参数规则举例键值不能为空对于同一资源键值唯一长度不超过 36 个字符取值为不包含 =, *, <, >, \,,,, / 的所有 Unicode 字符, 且首尾字符不能为空格不能为空长度不超过 43 个字符取值为不包含 =, *, <, >, \,,,, / 的所有 Unicode 字符, 且首尾字符不能为空格 example_key1 example_value1 5. 单击确定, 完成内网域名 api.ecs.com 的创建创建完成后, 您可以在内网域名页面查看新创建的域名信息说明单击名称列的域名名称, 可以看到系统已经为您创建了 SOA 类型和 NS 类型的记录集其中, SOA 类型的记录集标识了对此域名具有最终解释权的主权威服务器 NS 类型的记录集标识了此域名的权威服务器 6. 重复执行 4~5, 完成内网域名 db.com 的创建内网域名规划请参见表 2-1 创建记录集为云服务器 ECS1 和数据库 RDS1 的内网域名添加到对应内网 IP 的解析记录 1. 在内网域名页面的域名列表中, 单击新创建域名的名称系统进入域名解析记录页面 2. 单击添加记录集文档版本 02 ( ) 版权所有华为技术有限公司 8

12 3. 根据界面提示填写参数配置, 参数说明如表 2-5 所示表 2-5 添加 A 类型记录集参数说明参数参数说明取值样例主机记录域名前缀此处参数设置为空, 表示解析的域名是 api.ecs.com - 类型记录集的类型, 此处为 A 类型 A 将域名指向 IPv4 地址 TTL( 秒 ) 值标签解析记录在 DNS 服务器的缓存时间, 以秒为单位如果您的服务地址经常更换, 建议 TTL 值设置相对小些, 反之, 建议设置相对大些域名对应的 IPv4 地址多个 IPv4 地址以换行符分隔此处设置为云服务器的内网 IP 可选参数, 由键和值组成, 用于搜索记录集或为记录集资源分组当系统中配置多个记录集时, 可以选择配置此参数键和值的命名规则请参见表 2-4 默认为 5min, 即 300s 描述可选配置, 对域名的描述 - 4. 单击确定, 完成为内网域名 api.ecs.com 添加 A 类型记录集 5. 重复执行 1~4, 为内网域名 db.com 添加 A 类型的记录集 ( 可选 ) 更改 VPC 子网的 DNS 切换 ECS 域名 db.com 对应记录集的值设置为记录集的详细数据规划请参见表 2-1 当您为已运行网站的云服务器配置内网域名时, 需要更改 VPC 子网的 DNS 为实现内网域名在 VPC 内的正常解析, 您需要把 VPC 子网的 DNS 改成云解析服务提供的内网 DNS 更改 VPC 子网的 DNS 的操作请参见怎样切换内网 DNS? 当 ECS1 发生故障, 需要将业务切换到备份的云服务器 ECS2 上此时, 可以通过修改内网域名 api.ecs.com 的解析记录实现业务切换 1. 登录管理控制台 2. 单击管理控制台左上角的, 选择华北 - 北京一文档版本 02 ( ) 版权所有华为技术有限公司 9

13 3. 选择网络 > 云解析服务进入云解析服务页面 4. 在左侧树状导航栏, 选择域名解析 > 内网解析 5. 在内网域名页面域名列表中, 单击名称列的域名 api.ecs.com 进入域名解析记录页面 6. 在 A 类型记录集中, 单击操作列的修改 7. 将值修改为单击确定, 完成解析记录的修改此时,ECS 到公共接口 ECS1 的访问会通过内网 DNS 解析到 ECS2 上, 实现了 ECS 的切换文档版本 02 ( ) 版权所有华为技术有限公司 10