参考：DNSSEC

DNSSEC の仕組みを理解する - Qiita

Multi-signer DNSSEC とは

複数のプロバイダで同時に DNSSEC 対応することです。
例えば、以下のマルチプライマリ構成では、ネームサーバー・NS レコードに複数のプロバイダを登録します。

Announcing Foundation DNS — Cloudflare’s new premium DNS offering

要件

以下の RFC にある通り、複数のプロバイダで DNSSEC に対応（Zone apex に DNSKEY 登録）できることが必要です。

RFC 8901: Multi-Signer DNSSEC Models
The central requirement for both of the multiple-signer models (Section 2.1) is to ensure that the ZSKs from all providers are present in each provider's apex DNSKEY RRset and vouched for by either the single KSK (in Model 1) or each provider's KSK (in Model 2.)

構成パターン

以下の2つが考えられます。
どちらのパターンでも、ZSK を相互にクロスインポートすることが必要です。

権威DNSサービス調査～複数のDNSプロバイダでDNSSEC対応してみた～

モデル1：KSK をプロバイダ共通のものとする

Multi-Signer DNSSEC models | APNIC Blog

Figure 2 — In Multi-Signer Model 1, the zone owner obtains the ZSKs, signs, and pushes the DNSKEY set to each provider.

モデル2：KSK をプロバイダ別に分ける

KSK を複数登録する代わりに、1つの Combined Signing Keys (CSK) を使う方法もあります。

Figure 4 — Model 2 cross-imports ZSKs across providers and publishes the DS corresponding to each of their KSKs in the parent DS RRset.

DNSSEC を無停止で移行するには

DNSSEC が有効なドメインを無停止で移行するには、モデル2（プロバイダ毎に固有のKSKとZSK）を過渡期の構成として使うことで実現できます。

Multi-Signer DNSSEC models | APNIC Blog
Importantly, non-disruptively transferring a DNSSEC signed zone from one DNS operator to another operator can be accommodated by Model 2 (Unique KSK and ZSK per provider). In fact, operator handoff is just a transitional state of a Model 2 Multi-Signer configuration.

Cloudflare と NS1 を使った Multi-signer DNSSEC

モデル2を使った構成になります。
レジストラには、Value Domain を使います。

セットアップ

以下のドキュメントに従って、実装します。

Set up multi-signer DNSSEC · Cloudflare DNS docs

このような Multi-Provider セットアップにおけるゾーンのアクティベーションには、Enterprise Plan が必要です

DNSSEC 有効化

Cloudflare

通常通り、Primary DNS として Cloudflare を権威 DNS とするようにゾーン登録します。

Change your nameservers (Full setup) · Cloudflare DNS docs

以下の API 操作で Multi-signer DNSSEC を有効化します。

export EMAIL='YOUR_EMAIL'
export APIKEY='YOUR_APIKEY'
export ZONE_ID='YOUR_ZONE_ID'

curl --request PATCH "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dnssec" \
--header "X-Auth-Email: $EMAIL" \
--header "X-Auth-Key: $APIKEY" \
--header 'Content-Type: application/json' \
--data '{
  "status": "active",
  "dnssec_multi_signer": true
}'

"dnssec_status": "pending" は「DNSSECは有効になっていますが、レジストラでCloudflare DSレコードが追加されていない」という意味です。

DNSSEC states · Cloudflare DNS docs

result.json

{
  "result": {
    "dnssec_status": "pending",
    "dnssec_enabled": true,
    "dnssec_multi_signer": true
  },
  "success": true,
  "errors": [],
  "messages": []
}

NS1

以下のリンクからフリーアカウントを作成できます。

NS1 を Primary DNS として設定し、DNSSEC を有効化します。

ZSK クロスインポート・NS レコード設定

Cloudflare

ZSK クロスインポート

NS1 から取得できる以下の Public Key (NS1 ZSK) を Cloudflare に設定します。

flags の値が 257 なら KSK、 256 なら ZSK です。

curl --request POST "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dns_records" \
--header "X-Auth-Email: $EMAIL" \
--header "X-Auth-Key: $APIKEY" \
--header 'Content-Type: application/json' \
--data '{
  "type": "DNSKEY",
  "name": "<ZONE_NAME>",
  "data": {
    "flags": 256,
    "protocol": 3,
    "algorithm": 13,
    "public_key": "<PUBLIC_KEY>"
  },
  "ttl": 3600
}'

result.json

{
  "result": {
    "id": "xxx",
    "zone_id": "xxx",
    "zone_name": "example.com",
    "name": "example.com",
    "type": "DNSKEY",
    "content": "256 3 13 xxx",
    "proxiable": false,
    "proxied": false,
    "ttl": 3600,
    "locked": false,
    "data": {
      "algorithm": 13,
      "flags": 256,
      "protocol": 3,
      "public_key": "xxx"
    },
    "meta": {
      "auto_added": false,
      "managed_by_apps": false,
      "managed_by_argo_tunnel": false,
      "source": "primary"
    },
    "comment": null,
    "tags": [],
    "created_on": "2023-10-31T02:11:10.060349Z",
    "modified_on": "2023-10-31T02:11:10.060349Z"
  },
  "success": true,
  "errors": [],
  "messages": []
}

NS レコード設定

NS1 から取得できる以下の Nameserver を Cloudflare で NS レコードに設定します。

curl --request POST "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dns_records" \
--header "X-Auth-Email: $EMAIL" \
--header "X-Auth-Key: $APIKEY" \
--header 'Content-Type: application/json' \
--data '{
  "type": "NS",
  "name": "<ZONE_NAME>",
  "content": "dns2.p09.nsone.net",
  "ttl": 86400
}'

result.json

{
  "result": {
    "id": "xxx",
    "zone_id": "xxx",
    "zone_name": "example.com",
    "name": "example.com",
    "type": "NS",
    "content": "dns2.p09.nsone.net",
    "proxiable": false,
    "proxied": false,
    "ttl": 86400,
    "locked": false,
    "meta": {
      "auto_added": false,
      "managed_by_apps": false,
      "managed_by_argo_tunnel": false,
      "source": "primary"
    },
    "comment": null,
    "tags": [],
    "created_on": "2023-10-31T02:25:44.9506Z",
    "modified_on": "2023-10-31T02:25:44.9506Z"
  },
  "success": true,
  "errors": [],
  "messages": []
}

use_apex_ns を有効化します。

This step is required if you are using Cloudflare as a primary DNS provider - without enabling this setting, DNS queries to the zone apex requesting NS records will be responded with Cloudflare nameservers.

curl --request PATCH "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dns_settings/use_apex_ns" \
--header "X-Auth-Email: $EMAIL" \
--header "X-Auth-Key: $APIKEY" \
--header 'Content-Type: application/json' \
--data '{
  "id": "use_apex_ns",
  "value": true
}'

result.json

{
  "result": [
    {
      "id": "use_apex_ns",
      "value": true
    }
  ],
  "success": true,
  "errors": [],
  "messages": []
}

NS1

ZSK クロスインポート

Cloudflare から取得できる以下の Public Key (Cloudflare ZSK) を NS1 に設定します。

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dnssec/zsk" \
--header "X-Auth-Email: $EMAIL" \
--header "X-Auth-Key: $APIKEY"

cloudflare_zsk.json

{
  "result": [
    {
      "Hdr": {
        "Name": "example.com.",
        "Rrtype": 48,
        "Class": 1,
        "Ttl": 3600,
        "Rdlength": 0
      },
      "Flags": 256,
      "Protocol": 3,
      "Algorithm": 13,
      "PublicKey": "xxx"
    }
  ],
  "success": true,
  "errors": [],
  "messages": []
}

API 操作が必要なため、API KEY を発行します。

以下のコマンドでインポートできます。

Managing external DNSSEC keys (API only) – NS1 Help Center

export NSONE_API_KEY='YOUR_NSONE_API_KEY'
export ZONE_NAME='YOUR_ZONE_NAME'

curl -X PUT -H "X-NSONE-Key: $NSONE_API_KEY" https://api.nsone.net/v1/zones/$ZONE_NAME/dnssec/external_keys/cloudflare -d '{
    "dnskey": {
        "ttl": 1200,
        "data": [
            {
                "flags": 256,
                "protocol": 3,
                "algorithm": 13,
                "public_key": "xxx"
            }
        ]
    }
}'

result.json

{
  "dnskey": {
    "data": [
      {
        "algorithm": 13,
        "flags": 256,
        "protocol": 3,
        "public_key": "xxx"
      }
    ],
    "ttl": 1200
  },
  "name": "cloudflare"
}

NS レコード設定

Cloudflare Nameservers xxx.ns.cloudflare.com を NS 1 の NS レコードに設定します。

Value Domain

DS レコード

Cloudflare と NS1 から取得できる DS レコード内容を Value Domain に設定します。

Cloudflare DS レコード

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dnssec" \                                                          
--header "X-Auth-Email: $EMAIL" \
--header "X-Auth-Key: $APIKEY"

NS1 DS レコード

ポータルから確認できる情報を以下のようにつなげて、DS レコード内容とします。
key_tag algorithm digest_type digest

Value Domain 設定

VALUE DOMAINにDNSSECの設定を登録する - レ点腫瘍学ノート
このうち使用するのはDSレコードのDS以降（上記の表であれば「12345 13 2 13579ACE...(64字の文字列)」）になります。

ネームサーバー

以下の6つのネームサーバーを登録します。

動作確認

ZSK がクロスインポートされている

% dig $ZONE_NAME dnskey @xxx.ns.cloudflare.com +noall +answer | grep 256
example.com.		3600	IN	DNSKEY	256 3 13 oJMRExxx==
example.com.		3600	IN	DNSKEY	256 3 13 pxEUuxxx==

% dig $ZONE_NAME dnskey @dns1.p09.nsone.net +noall +answer | grep 256
example.com.		3600	IN	DNSKEY	256 3 13 pxEUuxxx==
example.com.		3600	IN	DNSKEY	256 3 13 oJMRExxx==

DS レコードが複数設定されている

% dig $ZONE_NAME ds +noall +answer
example.com.		900	IN	DS	2371 13 2 DC134xxx
example.com.		900	IN	DS	48553 13 2 5AAD0xxx

複数の権威 DNS からの応答が検証できる

DNSSEC Analyzer を使って、以下のように Cloudflare と NS1 の両方で検証できていれば、Multi-signer DNSSEC です。

Visualize DNSSEC や DNSViz | A DNS visualization tool を使うと、DS レコードが複数存在する上で、どちらかが使われて、信頼のチェーンとなることが可視化できます。

以下の dig コマンドでも trace を確認できます。

dig A www.$ZONE_NAME +dnssec +trace

まとめ

比較的新しい RFC でまとめられている Multi-signer DNSSEC ですが、正しい手順を踏めば、DNSSEC を無効にすることなくドメイン移行する際の構成としては、難しくないと思います。

権威 DNS サービスを提供する事業者が、移行元・移行先の双方で DNSSEC 対応している必要がありますが、Cloudflare ではこうした構成に対応できることもわかりました。

その他参考

DNS(SEC) Views
https://www.dnssecviews.net/
- We're under construction. Please check back for an update soon. となっているが、他にも良い可視化ツールが出てくれば歓迎