Hilfe & Fehlerbehebung
NSEC-Eintrag
Worum es geht
NSEC-Einträge liefern in DNSSEC-signierten Zonen einen authentifizierten Existenznachweis der Nichtexistenz: Sie beweisen, dass ein Name oder Typ tatsächlich nicht existiert, indem sie jeden Namen mit dem nächsten in sortierter Reihenfolge verketten.
So liest du dein Ergebnis
Keine NSEC-Einträge zu sehen ist normal — unsignierte Zonen haben keine, und viele signierte Zonen nutzen stattdessen NSEC3. NSEC-Antworten erscheinen vor allem beim Abfragen von Namen, die nicht existieren.
Häufige Probleme und wie du sie behebst
Zoneninhalt kann aufgezählt werden (Zone Walking)
Wie es sich zeigt: Jeder kann jeden Hostnamen deiner Zone auflisten, indem er den NSEC-Verkettungen folgt — und legt so interne Namen wie vpn.example.com oder Staging-Hosts offen.
So behebst du es: Stelle die Zone bei deinem DNS-Anbieter auf NSEC3 (gehashte Namen) um, und vermeide es, wirklich sensible Hostnamen überhaupt in öffentliches DNS zu setzen — NSEC3 erhöht den Aufwand, ist aber keine Verschlüsselung.