Ayuda y Resolución de problemas
Registro NSEC
Qué es esto
Los registros NSEC proporcionan denegación de existencia autenticada en las zonas firmadas con DNSSEC: demuestran que un nombre o tipo realmente no existe enlazando cada nombre con el siguiente en orden alfabético.
Cómo interpretar tu resultado
No ver registros NSEC es normal: las zonas no firmadas no tienen ninguno, y muchas zonas firmadas usan NSEC3 en su lugar. Las respuestas NSEC aparecen sobre todo al consultar nombres que no existen.
Problemas comunes y cómo solucionarlos
El contenido de la zona se puede enumerar (zone walking)
Cómo se manifiesta: Cualquiera puede listar todos los nombres de host de tu zona siguiendo los enlaces NSEC, exponiendo nombres internos como vpn.example.com o hosts de staging.
Cómo solucionarlo: Cambia la zona a NSEC3 (nombres con hash) en tu proveedor de DNS, y evita poner en el DNS público nombres de host genuinamente sensibles: NSEC3 aumenta el esfuerzo pero no es cifrado.