给你的站点添加 DNS CAA 保护

最新推荐文章于 2024-11-06 08:59:29 发布

weixin_34349320

最新推荐文章于 2024-11-06 08:59:29 发布

阅读量386

点赞数

文章标签：运维

原文链接：https://segmentfault.com/a/1190000011097942

版权

什么是 DNS CAA

譬如说，你的站点已经启用了 HSTS，甚至已经被固化到了浏览器内部。但是一个中间人仍然劫持了你的连接。你走了 HTTPS 协议？没问题，我也搞到了一个你所访问域名的 SSL 证书。要知道 SSL 连接使用的证书是服务端决定的，但是这个证书未必就是真正的域名所有人申请的。虽然普通人未必能搞到不属于你的域名的证书，但是证书颁发机构就不一样——虽然基于信誉的原因他们不太可能会这样做，但是没有任何外在的保护防止他们颁发并非由域名所有人申请的证书。

简而言之，一个有效的证书未必就是域名所有人申请的证书。就好比普通人造不出能过验钞机的假钞，但是再强大的验钞机也不能阻止造币厂监守自盗。这时就需要一个更上层的服务去验证这个“有效的证书”的合法性，这就是 DNS CAA 的作用。

DNS Certification Authority Authorization（DNS证书颁发机构授权，简称 CAA）是一项借助互联网的域名系统（DNS），使域持有人可以指定允许为其域签发证书的数字证书认证机构（CA）的技术。它会在 DNS 下发 IP 的同时，同时下发一条资源记录，标记该域名下使用的证书必须由某证书颁发机构颁发。比如我大 EOI 的官网使用了 Let's Encrypt 颁发的免费证书，我可以同时使用 CAA 技术标记 EOI 官网域名 www.eoitek.com 使用的 SSL 证书由 Let's Encrypt 颁发，这样就可以（在一定程度上）解决上面所述的问题。

启用 DNS CAA

CAA 是 DNS 服务器下发的记录，所以首先要 DNS 服务器支持才行。EOI官网域名购买自阿里云旗下的万网，然而万网自带的 DNS 服务并不支持 CAA 资源记录。如果想体验 CAA，还得使用国外的 DNS 服务器。支持 CAA 记录的国外 DNS 服务这里有比较详细的记录：https://sslmate.com/caa/support

支持CAA的DNS服务

笔者使用的是 Hurricane Electric Free DNS 这款号称永久免费的 DNS 服务。注册账号并邮箱验证后，添加一个新的域名，注意要填写一级域名。

添加域名

首先添加 DNS 解析（A）记录，指向你服务器的外网 IP

添加 A 记录

然后添加 CAA 记录。

Name 可以直接填写顶级域名，会自动应用到多级域名。
CAA data 填写 0 issue "证书颁发机构域名"。
如果如果你用 Let's Encrypt 颁发的免费证书，CAA data 部分直接填写 0 issue "letsencrypt.org" 即可。
你还可以添加一条为 0 iodef "mailto:你的邮箱" 的 CAA 记录，表示如果发现违背 CAA 记录的情况给这个邮箱发邮件通知。

添加 CAA 记录