DNSSEC II: İşletim ve Arıza Modları

Kavram

DNSSEC neredeyse hiç ilk kurulum aşamasında bozulmaz — işletim anlarında bozulur: anahtar rotasyonu, algoritma değişiklikleri. Bu, "açtım" ile "yönetebiliyorum" arasındaki farktır ve gerçek dünyadaki DNSSEC kesintilerinin çoğu tam olarak burada yaşanır.

Yaygın Yanlış Anlama

"Anahtar rotasyonu sadece bir anahtarı diğeriyle değiştirmektir, sıra önemli değil." Sıra tamamen önemlidir — üst zondaki DS kaydı, yeni anahtar tüm çözümleyicilere gerçekten yayılmadan (veya eski anahtarın imzaları önbelleklerden düşmeden) ÖNCE güncellenirse, bazı çözümleyiciler o anda önbelleklediklerine uymayan bir DS'e karşı doğrulama yapar — sonuç: gerçek kullanıcılar için SERVFAIL.

Uygulamalı Alıştırma

Temel teşhis için laboratuvar ortamı zorunlu değil:

• marinadns.io/dnssec ve noda.marinadns.io — mevcut imza durumunu ve rotasyon sırasında birden fazla aktif anahtarın varlığını gösterir.

Anahtar rotasyonu ve kasıtlı arıza simülasyonu (yalnızca test domaininde!) alıştırması için, SERVFAIL imzasını tanımayı ve delv ile bozulma noktasını bulmayı öğrenmek amacıyla bkz. Laboratuvar Ortamı sayfasındaki Ders 6.

Çalıştırılacak Komutlar

# Temel: mevcut doğrulamanın temiz olduğunu onaylayın
delv yourdomain.com A

# Sağlayıcı panelinden anahtar rotasyonunu başlatın, ardından geçişi izleyin:
dig yourdomain.com DNSKEY +short      # rotasyon örtüşmesi sırasında iki anahtarın bulunmasını izleyin
dig yourdomain.com DS +short          # DS'nin üst zonda YENİ DNSKEY canlıya alındıktan SONRA güncellendiğini doğrulayın, önce değil

# Kasıtlı olarak bozun (yalnızca laboratuvar domaininde — asla üretim zonunda):
# örn. DS kaydını rotasyona uğramış bir anahtara göre eski bırakın, veya sağlayıcı ham kayıt düzenlemeye izin veriyorsa bir imzayı elle bozun
dig yourdomain.com A +dnssec          # doğrulayan bir çözümleyicide SERVFAIL ve tam hatayı gözlemleyin
delv yourdomain.com A                 # delv tam olarak hangi zincir halkasının başarısız olduğunu gösterecektir