Ayuda y Resolución de problemas
Registro RRSIG
Qué es esto
Los registros RRSIG son las firmas DNSSEC propiamente dichas: una por cada conjunto de registros de una zona firmada. Cada una tiene un momento de inicio y de expiración y debe regenerarse (volver a firmarse) periódicamente.
Cómo interpretar tu resultado
Las firmas deberían tener fechas de expiración cómodamente en el futuro. Cualquier cosa que expire en días merece atención: una automatización sana renueva las firmas con bastante antelación a su expiración.
Problemas comunes y cómo solucionarlos
Firmas expiradas
Cómo se manifiesta: El dominio falla rotundamente en los resolutores que validan mientras que los que no validan siguen funcionando, reflejando una discordancia de DS, pero causado por el tiempo en lugar de las claves.
Cómo solucionarlo: Vuelve a firmar la zona de inmediato (con DNS gestionado esto significa contactar al proveedor: las RRSIG expiradas son un fallo suyo). Luego averigua por qué se detuvo la automatización de refirmado: nunca debería llegar a estar a días de expirar.
El desfase de reloj del servidor hace que firmas válidas parezcan inválidas
Cómo se manifiesta: Fallos de validación esporádicos reportados por algunos resolutores aunque las firmas parezcan vigentes.
Cómo solucionarlo: Asegúrate de que la infraestructura de firmado y los servidores autoritativos tengan relojes sincronizados por NTP; los momentos de inicio ligeramente en el futuro rompen la validación en los resolutores estrictos.