Hilfe & Fehlerbehebung
RRSIG-Eintrag
Worum es geht
RRSIG-Einträge sind die eigentlichen DNSSEC-Signaturen — eine für jeden Eintragssatz in einer signierten Zone. Jede hat einen Beginn- und einen Ablaufzeitpunkt und muss regelmäßig neu erzeugt (neu signiert) werden.
So liest du dein Ergebnis
Signaturen sollten Ablaufdaten haben, die komfortabel in der Zukunft liegen. Alles, was innerhalb von Tagen abläuft, verdient Aufmerksamkeit: Eine gesunde Automatisierung erneuert Signaturen weit vor dem Ablauf.
Häufige Probleme und wie du sie behebst
Signaturen abgelaufen
Wie es sich zeigt: Die Domain scheitert auf validierenden Resolvern hart, während nicht-validierende Resolver noch funktionieren — wie bei einer DS-Diskrepanz, aber verursacht durch die Zeit statt durch die Schlüssel.
So behebst du es: Signiere die Zone sofort neu (bei verwaltetem DNS bedeutet das, den Anbieter zu kontaktieren — abgelaufene RRSIGs sind ihr Fehler). Finde dann heraus, warum die Neusignierungs-Automatisierung gestoppt ist: Sie sollte nie in die Nähe von wenigen Tagen vor Ablauf kommen.
Zeitabweichung der Server-Uhr lässt gültige Signaturen ungültig erscheinen
Wie es sich zeigt: Sporadische Validierungsfehler, die von manchen Resolvern gemeldet werden, obwohl die Signaturen aktuell aussehen.
So behebst du es: Stelle sicher, dass die Signatur-Infrastruktur und die autoritativen Server NTP-synchronisierte Uhren führen; Beginnzeiten, die leicht in der Zukunft liegen, brechen die Validierung für strenge Resolver.