​​​​

1. Présentation

Dans ce guide dédié à Windows Server 2022, vous découvrirez comment configurer DNSSEC pour crypter les enregistrements de la zone DNS de votre Active Directory.

Pour suivre les étapes de ce tutoriel, vous aurez besoin d'un contrôleur de domaine Active Directory et d'une machine faisant partie du domaine (comme un serveur ou un poste de travail) pour tester la configuration et vérifier son bon fonctionnement.
​
2. La technologie DNSSEC

Liée directement au protocole DNS et aux serveurs DNS, constitue une extension axée sur la sécurité pour signer les enregistrements d'une zone DNS. Cette approche s'applique spécifiquement à la zone DNS associée au domaine Active Directory.

En ajoutant cette couche de sécurité, DNSSEC vise à contrer les attaques telles que le DNS Spoofing (connu aussi sous le nom de Cache Poisoning) et les attaques de type Man-in-the-middle. Elle empêche un assaillant de se faire passer pour notre serveur DNS en l'empêchant de fournir des enregistrements signés. Si une tentative frauduleuse est effectuée, le client DNS détecte l'invalidité de la réponse. Sans DNSSEC, il existe un risque de réponse altérée (cache DNS contenant des informations erronées), potentiellement redirigeant vers un serveur malveillant, sans que l'utilisateur ne le remarque.

Le serveur DNS de Windows Server prend en charge DNSSEC et assure une mise en œuvre conforme aux différentes RFC relatives à ce sujet : RFC 4033, RFC 4034 et RFC 4035.

La signature DNSSEC doit être appliquée par un serveur DNS autorisé pour la zone, ce qui est le cas pour la zone DNS Active Directory, garantissant ainsi la signature de tous les enregistrements DNS. Malgré la présence de DNSSEC, le fonctionnement fondamental du DNS demeure inchangé : répondre aux requêtes de résolution de noms, tout en ajoutant une signature numérique aux réponses DNS.
​
3. Configurer DNSSEC

​Depuis le serveur principal DNS, lancer le gestionnaire DNS.
​

Nous arrivons ici.
Faire un clique droits de souris, sur la zone principal.
Sélectionner DNSSEC, puis Signer la zone

​

Une fenêtre s'ouvre.
Nous cliquons sur le bouton Suivant >
​

Nous sélectionnons Personnalisez les paramètres de signature de zone.
Nous cliquons sur le bouton Suivant >​

​

Nous sélectionnons Le serveur DNS SWDCP01 est le maître des clés.
Nous cliquons sur le bouton Suivant >​

​

Nous cliquons sur le bouton Suivant >​

​

Nous cliquons sur le bouton Ajouter

​

Nous mettons l'ensemble des options comme ci-dessous.
Nous cliquons sur le bouton OK

​

Nous cliquons sur le bouton Suivant >​

​

Nous cliquons sur le bouton Suivant >​

​


Nous cliquons sur le bouton Ajouter

​

Mettre les options comme ci-dessous.
Nous cliquons sur le bouton OK

​

Nous cliquons sur le bouton Suivant >​

​

Bien cocher la case Activer la distribution des ancres d'approbation pour cette zone.
Nous cliquons sur le bouton Suivant >​

​

Nous cliquons sur le bouton Suivant >​


​

Nous cliquons sur le bouton Suivant >​

​

Nous cliquons sur le bouton Terminer

​


Une fois terminé, il y a un cadenas doit s'afficher devants la zone DNS.

​


4. Création d'une GPO

​

​