Sử dụng bộ sưu tập để sắp xếp ngăn nắp các trang
Lưu và phân loại nội dung dựa trên lựa chọn ưu tiên của bạn.
Tiện ích bảo mật hệ thống tên miền (DNSSEC) là một tính năng của Hệ thống tên miền (DNS) giúp xác thực các phản hồi cho các lượt tra cứu tên miền.
Tính năng này không cung cấp biện pháp bảo vệ quyền riêng tư cho các lượt tra cứu đó, nhưng ngăn chặn kẻ tấn công thao túng hoặc làm hỏng phản hồi cho các yêu cầu DNS.
Để bảo vệ miền khỏi các cuộc tấn công giả mạo và đầu độc, hãy bật và định cấu hình DNSSEC ở những nơi sau:
Vùng DNS. Nếu bạn bật DNSSEC cho một vùng, Cloud DNS sẽ tự động quản lý việc tạo và xoay vòng khoá DNSSEC (bản ghi DNSKEY) cũng như ký dữ liệu vùng bằng các bản ghi chữ ký số bản ghi tài nguyên (RRSIG).
Tổ chức quản lý tên miền cấp cao nhất (TLD) (đối với example.com, đây sẽ là .com). Trong tổ chức quản lý TLD, bạn phải có bản ghi DS xác thực bản ghi DNSKEY trong vùng của mình. Bạn có thể thực hiện việc này bằng cách kích hoạt DNSSEC
tại nhà đăng ký miền của bạn.
Trình phân giải DNS. Để được bảo vệ đầy đủ bằng DNSSEC, bạn phải sử dụng trình phân giải DNS xác thực chữ ký cho các miền được ký bằng DNSSEC. Bạn có thể bật tính năng xác thực cho từng hệ thống hoặc trình phân giải lưu vào bộ nhớ đệm cục bộ nếu bạn quản trị các dịch vụ DNS của mạng.
Để biết thêm thông tin về việc xác thực DNSSEC, hãy xem các tài nguyên sau:
Bạn cũng có thể định cấu hình hệ thống để sử dụng trình phân giải công khai xác thực DNSSEC, đáng chú ý là DNS Google Public và DNS Verisign Public.
Điểm thứ hai giới hạn tên miền mà DNSSEC có thể hoạt động.
Cả nhà đăng ký và tổ chức quản lý tên miền đều phải hỗ trợ DNSSEC cho TLD mà bạn đang sử dụng. Nếu bạn không thể thêm bản ghi DS thông qua nhà đăng ký miền để kích hoạt DNSSEC, thì việc bật DNSSEC trong Cloud DNS sẽ không có hiệu lực.
Trước khi bật DNSSEC, hãy kiểm tra các tài nguyên sau:
Tài liệu về DNSSEC cho cả nhà đăng ký tên miền và tổ chức quản lý tên miền cấp cao nhất
Danh sách ICANN về các nhà đăng ký tên miền hỗ trợ DNSSEC để xác nhận việc hỗ trợ DNSSEC cho miền của bạn.
Nếu tổ chức quản lý tên miền cấp cao (TLD) hỗ trợ DNSSEC nhưng nhà đăng ký tên miền của bạn không hỗ trợ (hoặc không hỗ trợ DNSSEC cho TLD đó), thì bạn có thể chuyển miền sang một nhà đăng ký tên miền khác hỗ trợ DNSSEC. Sau khi hoàn tất quy trình đó, bạn có thể kích hoạt DNSSEC cho miền.
Thao tác quản lý
Để biết hướng dẫn từng bước về cách quản lý DNSSEC, hãy xem các tài nguyên sau:
Để biết thêm thông tin về các loại tập hợp bản ghi và các loại bản ghi khác, hãy xem các tài nguyên sau:
Để kiểm soát những tổ chức phát hành chứng chỉ (CA) công khai nào có thể tạo TLS hoặc các chứng chỉ khác cho miền của bạn, hãy xem bản ghi CAA.
Để bật tính năng mã hoá cơ hội thông qua đường hầm IPsec, hãy xem các bản ghi IPSECKEY.
Các loại bản ghi DNS có vùng được bảo mật bằng DNSSEC
Để biết thêm thông tin về các loại bản ghi DNS và các loại bản ghi khác, hãy xem tài nguyên sau:
Để cho phép các ứng dụng máy khách SSH xác thực máy chủ SSH, hãy xem phần Bản ghi SSHFP.
Di chuyển hoặc chuyển vùng đã bật DNSSEC
Cloud DNS hỗ trợ di chuyển các vùng đã bật DNSSEC, trong đó DNSSEC đã được kích hoạt tại tổ chức đăng ký miền mà không làm gián đoạn chuỗi tin cậy. Bạn có thể di chuyển các vùng đến hoặc từ các nhà cung cấp dịch vụ DNS khác cũng hỗ trợ di chuyển.
Nếu miền hiện tại của bạn do nhà đăng ký tên miền lưu trữ, bạn nên di chuyển máy chủ định danh sang Cloud DNS trước khi chuyển sang nhà đăng ký tên miền khác.
[[["Dễ hiểu","easyToUnderstand","thumb-up"],["Giúp tôi giải quyết được vấn đề","solvedMyProblem","thumb-up"],["Khác","otherUp","thumb-up"]],[["Khó hiểu","hardToUnderstand","thumb-down"],["Thông tin hoặc mã mẫu không chính xác","incorrectInformationOrSampleCode","thumb-down"],["Thiếu thông tin/mẫu tôi cần","missingTheInformationSamplesINeed","thumb-down"],["Vấn đề về bản dịch","translationIssue","thumb-down"],["Khác","otherDown","thumb-down"]],["Cập nhật lần gần đây nhất: 2025-06-27 UTC."],[[["\u003cp\u003eDNSSEC authenticates domain name lookup responses, preventing attackers from manipulating or poisoning them, but it does not offer privacy for these lookups.\u003c/p\u003e\n"],["\u003cp\u003eTo fully protect domains with DNSSEC, it must be enabled in the DNS zone, the top-level domain (TLD) registry, and the DNS resolver.\u003c/p\u003e\n"],["\u003cp\u003eDNSSEC's functionality is contingent on both the domain registrar and the registry supporting the TLD, otherwise enabling DNSSEC in Cloud DNS will have no effect.\u003c/p\u003e\n"],["\u003cp\u003eCloud DNS supports the migration of DNSSEC-enabled zones to and from other DNS operators without disrupting the chain of trust.\u003c/p\u003e\n"],["\u003cp\u003eBefore enabling DNSSEC, verify that your domain registrar and TLD registry both support DNSSEC and check for registrar-specific instructions.\u003c/p\u003e\n"]]],[],null,["# DNS Security Extensions (DNSSEC) overview\n\nThe Domain Name System Security Extensions (DNSSEC) is a feature of the Domain\nName System (DNS) that authenticates responses to domain name lookups.\nIt does *not* provide privacy protections for those lookups,\nbut prevents attackers from manipulating or poisoning the responses to DNS\nrequests.\n\nTo protect domains from spoofing and poisoning attacks, enable and configure\nDNSSEC in the following places:\n\n1. The DNS zone. If you [enable DNSSEC](/dns/docs/dnssec-config#enabling) for\n a zone, Cloud DNS automatically manages the creation and rotation of\n DNSSEC keys (DNSKEY records) and the signing of zone data with resource\n record digital signature (RRSIG) records.\n\n2. The top-level domain (TLD) registry (for `example.com`, this would be `.com`).\n In your TLD registry, you must have a DS record that authenticates a DNSKEY\n record in your zone. Do this by [activating DNSSEC](/dns/docs/registrars#add-ds)\n at your domain registrar.\n\n3. The DNS resolver. For full DNSSEC protection, you must use a DNS resolver\n that *validates* signatures for DNSSEC-signed domains. You can enable\n validation for individual systems or your local caching resolvers if you\n administer your network's DNS services.\n\n For more information about DNSSEC validation, see the following resources:\n - [Do you have DNSSEC validation enabled?](https://blog.apnic.net/2017/05/11/dnssec-validation-enabled/)\n - [Deploying DNSSEC with BIND and Ubuntu Server\n (Part 1)](https://blog.apnic.net/2019/05/23/how-to-deploying-dnssec-with-bind-and-ubuntu-server/)\n - [DNSSEC Guide: Chapter 3. Validation](https://dnsinstitute.com/documentation/dnssec-guide/ch03s03.html)\n - [DNSSEC](https://wiki.debian.org/DNSSEC)\n\n You can also configure systems to use public resolvers that validate DNSSEC,\n notably [Google Public DNS](https://developers.google.com/speed/public-dns/docs/using)\n and [Verisign Public DNS](https://www.verisign.com/security-services/public-dns/index.xhtml).\n\nThe second point limits the domain names where DNSSEC can work.\nBoth the [registrar and registry](https://support.google.com/domains/answer/3251189)\nmust support DNSSEC for the TLD that you are using. If you cannot add a DS\nrecord through your domain registrar to activate DNSSEC,\nenabling DNSSEC in Cloud DNS has no effect.\n\nBefore enabling DNSSEC, check the following resources:\n\n- The DNSSEC documentation for both your domain registrar and TLD registry\n- The [Google Cloud community tutorial's](/community/tutorials/dnssec-cloud-dns-domains#domain_registrar-specific_instructions) domain registrar-specific instructions\n- The [ICANN list](https://www.icann.org/search/#!/?searchText=domain%20registrar%20DNSSEC%20support) of domain registrar DNSSEC support to confirm DNSSEC support for your domain.\n\nIf the TLD registry supports DNSSEC, but your registrar does not\n(or does not support it for that TLD), you might be able to transfer\nyour domains to a different registrar that does. After you have completed that\nprocess, you can activate DNSSEC for the domain.\n\nManagement operations\n---------------------\n\nFor step-by-step instructions for managing DNSSEC, see the following resources:\n\n- To change the DNSSEC state of the zone from `Transfer` to `On`, see\n [Leaving DNSSEC transfer state](/dns/docs/dnssec-config#leaving-transfer).\n\n- To enable DNSSEC for delegated subdomains, see\n [Delegating DNSSEC-signed subdomains](/dns/docs/dnssec-advanced#subdelegation).\n\nRecord set types enhanced by DNSSEC\n-----------------------------------\n\nFor more information about record set types and other record types, see the\nfollowing resources:\n\n- To control which public certificate authorities (CAs) can generate TLS or\n other certificates for your domain, see\n [CAA records](/dns/docs/dnssec-advanced#caa).\n\n- To enable opportunistic encryption through IPsec tunnels, see\n [IPSECKEY records](/dns/docs/dnssec-advanced#ipseckey).\n\nDNS record types with DNSSEC-secured zones\n------------------------------------------\n\nFor more information about DNS record types and other record types, see the\nfollowing resource:\n\n- To enable SSH client applications to validate SSH servers, see [SSHFP records](/dns/docs/dnssec-advanced#sshfp).\n\nMigration or transfer of DNSSEC-enabled zones\n---------------------------------------------\n\nCloud DNS supports migrating DNSSEC-enabled zones where DNSSEC has been\nactivated at the domain registry without breaking the chain of trust. You can\nmigrate zones to or from other DNS operators that also support migration.\n\n- To migrate a DNSSEC-signed zone to Cloud DNS, see\n [Migrate DNSSEC-signed zones to Cloud DNS](/dns/docs/dnssec-migrate#migrating-to).\n\n- To migrate a DNSSEC-signed zone to another DNS operator, see\n [Migrate DNSSEC-signed zones from Cloud DNS](/dns/docs/dnssec-migrate#migrating-from).\n\nIf your existing domain is hosted by your registrar, we recommend migrating the\nname servers to Cloud DNS before transferring to another registrar.\n\nWhat's next\n-----------\n\n- To view DNSSEC key records, see [View DNSSEC keys](/dns/docs/dnskeys).\n- To work with managed zones, see [Create, modify, and delete zones](/dns/docs/zones).\n- To find solutions for common issues that you might encounter when using Cloud DNS, see [Troubleshooting](/dns/docs/troubleshooting).\n- To get an overview of Cloud DNS, see [Cloud DNS overview](/dns/docs/overview)."]]