Hilfe & Fehlerbehebung
DNSKEY-Eintrag
Worum es geht
DNSKEY-Einträge veröffentlichen die öffentlichen Schlüssel einer DNSSEC-signierten Zone. Der Key Signing Key (Flags 257) wird durch den DS-Eintrag des Elternteils verankert; Zone Signing Keys (Flags 256) signieren die Eintragssätze der Zone.
So liest du dein Ergebnis
Eine signierte Zone zeigt mindestens einen KSK und typischerweise einen ZSK. Keine DNSKEY-Einträge bedeutet einfach, dass die Zone nicht signiert ist. Wenn Schlüssel existieren, ist die entscheidende Frage, ob der DS-Eintrag des Elternteils zum aktuellen KSK passt — starte die DNSSEC-Status-Abfrage für das Gesamtbild.
Häufige Probleme und wie du sie behebst
Schlüssel wurden gewechselt, aber der DS-Eintrag passt noch zum alten KSK
Wie es sich zeigt: Die Domain lässt sich auf validierenden Resolvern plötzlich nicht mehr auflösen (SERVFAIL auf 8.8.8.8 / 1.1.1.1), während sie auf nicht-validierenden einwandfrei erscheint.
So behebst du es: Erzeuge den DS für den aktuellen KSK und aktualisiere ihn sofort beim Registrar. Veröffentliche bei geplanten Schlüsselwechseln alte und neue Schlüssel nebeneinander und ziehe den alten Schlüssel erst zurück, nachdem sich der neue DS verbreitet hat.
DNSKEY vorhanden, aber Zone wurde zu einem Anbieter ohne DNSSEC verschoben
Wie es sich zeigt: Nach einer DNS-Migration wird die Domain für viele Nutzer dunkel; die Schlüssel des alten Anbieters antworten nicht mehr.
So behebst du es: Bevor du eine signierte Zone migrierst, übertrage entweder die Signatureinrichtung, oder entferne zuerst den DS-Eintrag beim Registrar, warte, bis er aus den Caches abgelaufen ist, und migriere dann und signiere beim neuen Anbieter neu.