เปิด DNSSEC ใน Plesk และนำ DS Record ไปใส่ Registrar อย่างถูกลำดับ

DNSSEC ใช้ลายเซ็นดิจิทัลช่วยให้ resolver ตรวจได้ว่าข้อมูล DNS ที่ได้รับสอดคล้องกับ zone ที่ลงนามไว้ การเปิดฟีเจอร์นี้ใน Plesk สำหรับผู้ใช้โดเมนไม่ใช่แค่กดปุ่ม Sign เพราะต้องนำ DS record ไปใส่ที่ parent zone หรือ registrar ให้ถูกคู่ด้วย หากสองฝั่งไม่ตรงกัน ผู้ใช้บางส่วนอาจ resolve โดเมนไม่ได้ จึงควรวางแผนและมีทางกลับก่อนเริ่ม

เงื่อนไขที่ต้องตรวจ

เอกสาร Plesk ระบุว่าผู้ให้บริการโฮสติ้งต้องติดตั้ง DNSSEC extension ก่อน ผู้ใช้จึงจะเห็นเมนูนี้ในโดเมนของตน ตรวจด้วยว่า Plesk เป็นผู้ดูแล zone ที่จะลงนามจริงหรือไม่ และ registrar ที่จดโดเมนรองรับการใส่ DS record หากใช้ DNS ภายนอกเป็น authoritative แต่ไปลงนาม zone ใน Plesk ที่ไม่มีใครถาม ผลก็ไม่ตรงเป้าหมาย ให้ตรวจ nameserver และผู้ดูแล zone ก่อน

ใน Websites & Domains เลือกโดเมนแล้วเปิด DNSSEC กด Sign the DNS Zone ระบบอาจขอสร้าง key ครั้งแรก เลือกค่าเริ่มต้นตามคำแนะนำหากไม่มีนโยบายเฉพาะ เมื่อเสร็จ Plesk จะแสดง DS record ที่ได้จาก Key Signing Key ให้คัดลอกค่าไปยังหน้าจัดการโดเมนของ registrar หรือ parent zone ตามขั้นตอนของผู้ให้บริการโดเมนนั้น ตรวจตัวเลขและอักขระทุกช่องให้ครบ อย่าคัดลอกเพียงส่วน hash แล้วทิ้ง key tag หรือ algorithm

ทำไม DS record จึงสำคัญ

DNSSEC ต้องมีสายความเชื่อถือจาก zone แม่ลงมาหาโดเมนที่ลงนาม หาก parent zone มี DS ที่อ้าง key เก่า แต่ Plesk ใช้ key ใหม่ การตรวจลายเซ็นอาจไม่ผ่าน การเปลี่ยน Key Signing Key จึงต้องประสานการอัปเดต DS ที่ registrar ด้วย เอกสาร Plesk แนะนำให้ KSK มีระยะ rollover ยาวกว่า ZSK เพื่อลดความถี่ของงานปรับ DS ส่วน Zone Signing Key มีวงจรสั้นกว่าและระบบจัดการการหมุนตามการตั้งค่า

หลังเปิดและเพิ่ม DS แล้ว ให้ใช้เครื่องมือตรวจ DNSSEC จากภายนอกที่สอบถาม resolver หลายแห่ง ตรวจทั้งคำตอบปกติและการยืนยันลายเซ็น ก่อนประกาศว่างานเสร็จ หากพบ SERVFAIL หลังเพิ่ม DS ให้ย้อนตรวจ nameserver, key และค่า DS ที่ registrar อย่าเพิ่งไปแก้เว็บเซิร์ฟเวอร์ เพราะปัญหาอาจเกิดก่อนคำขอ HTTP จะไปถึงเครื่อง

การปิดหรือย้าย DNS

เมื่อต้องย้าย DNS ไปผู้ให้บริการอื่น ต้องวางลำดับการเปลี่ยน key, DS และ nameserver ให้เหมาะสม การลบลายเซ็นใน zone แต่ปล่อย DS ที่ parent ไว้เป็นสภาวะที่เสี่ยงต่อการเข้าถึงไม่ได้ บันทึกค่าเดิมและช่วงเวลาที่เปลี่ยน พร้อมทดสอบจากภายนอกทุกครั้ง ผู้ใช้ Customer Panel ทำส่วนที่ได้รับสิทธิ์ ส่วนการตั้งค่า registrar หรือการติดตั้ง extension ต้องทำกับผู้ให้บริการที่รับผิดชอบ

อ่านเพิ่มเติม: เอกสาร Plesk — Configuring DNSSEC for a Domain