DNSSEC II: эксплуатация и режимы отказа

Концепция

DNSSEC почти никогда не ломается на этапе первоначальной настройки — он ломается в эксплуатации: при ротации ключей, смене алгоритма подписи. Это разрыв между «я включил DNSSEC» и «я умею им управлять», и именно здесь происходит большинство реальных сбоев DNSSEC в продакшене.

Распространённое заблуждение

«Ротация ключа — это просто замена одного ключа на другой, порядок действий не важен». Порядок имеет решающее значение: если DS-запись у родителя обновляется на новый ключ ДО того, как этот ключ реально распространился до всех резолверов (или до истечения TTL подписей старого ключа), часть резолверов будет валидировать против DS, который не соответствует тому, что у них закэшировано — итог: SERVFAIL для реальных пользователей.

Практическое упражнение

Лабораторное окружение не обязательно для базовой диагностики:

• marinadns.io/dnssec и noda.marinadns.io — покажут текущее состояние подписи и наличие нескольких активных ключей во время ротации.

Для практического упражнения по ротации ключа и намеренному воспроизведению сбоя (только на тестовом домене!), чтобы научиться узнавать сигнатуру SERVFAIL и находить точку разрыва через delv — см. Урок 6 на странице Лабораторное окружение курса.

Команды для выполнения

# Базовая проверка: убедитесь, что текущая валидация чистая
delv yourdomain.com A

# Инициируйте ротацию ключа в панели провайдера, затем наблюдайте за переходом:
dig yourdomain.com DNSKEY +short      # ищите два ключа одновременно во время перекрытия ротации
dig yourdomain.com DS +short          # убедитесь, что DS обновляется у родителя ПОСЛЕ, а не до появления нового DNSKEY

# Намеренно сломайте (только на лабораторном домене — никогда на продакшн-зоне):
# например, оставьте DS-запись устаревшей относительно ротированного ключа, или испортите подпись вручную, если провайдер позволяет прямое редактирование записей
dig yourdomain.com A +dnssec          # наблюдайте SERVFAIL и точную ошибку у валидирующего резолвера
delv yourdomain.com A                 # delv точно покажет, какое звено цепочки нарушено