Ayuda y Resolución de problemas
Registro DNSKEY
Qué es esto
Los registros DNSKEY publican las claves públicas de una zona firmada con DNSSEC. La clave de firmado de clave (Key Signing Key, flags 257) está anclada por el registro DS del padre; las claves de firmado de zona (Zone Signing Keys, flags 256) firman los conjuntos de registros de la zona.
Cómo interpretar tu resultado
Una zona firmada muestra al menos una KSK y normalmente una ZSK. No tener registros DNSKEY simplemente significa que la zona no está firmada. Si existen claves, la pregunta crucial es si el registro DS del padre coincide con la KSK actual: ejecuta la consulta de estado de DNSSEC para ver el panorama combinado.
Problemas comunes y cómo solucionarlos
Se rotaron las claves pero el registro DS sigue coincidiendo con la KSK antigua
Cómo se manifiesta: El dominio de repente no resuelve en los resolutores que validan (SERVFAIL en 8.8.8.8 / 1.1.1.1) mientras que parece funcionar bien en los que no validan.
Cómo solucionarlo: Genera el DS de la KSK actual y actualízalo en el registrador de inmediato. Durante rotaciones planificadas, publica las claves antigua y nueva en paralelo y retira la antigua solo después de que el nuevo DS se haya propagado.
DNSKEY presente pero la zona se movió a un proveedor sin DNSSEC
Cómo se manifiesta: Tras una migración de DNS, el dominio deja de responder para muchos usuarios; las claves del proveedor antiguo ya no responden.
Cómo solucionarlo: Antes de migrar una zona firmada, transfiere la configuración de firmado o elimina primero el registro DS en el registrador, espera a que expire de las cachés, y luego migra y vuelve a firmar en el nuevo proveedor.