Guida e risoluzione dei problemi
Record DNSKEY
Di cosa si tratta
I record DNSKEY pubblicano le chiavi pubbliche di una zona firmata con DNSSEC. La Key Signing Key (flag 257) è ancorata dal record DS del genitore; le Zone Signing Key (flag 256) firmano i set di record della zona.
Come leggere il risultato
Una zona firmata mostra almeno una KSK e tipicamente una ZSK. L'assenza di record DNSKEY significa semplicemente che la zona non è firmata. Se le chiavi esistono, la domanda cruciale è se il record DS del genitore corrisponda all'attuale KSK: esegui la ricerca dello stato DNSSEC per il quadro completo.
Problemi comuni e come risolverli
Le chiavi sono state ruotate ma il record DS corrisponde ancora alla vecchia KSK
Come si manifesta: Il dominio improvvisamente non risolve sui resolver che validano (SERVFAIL su 8.8.8.8 / 1.1.1.1) mentre appare a posto su quelli che non validano.
Come risolverlo: Genera il DS per l'attuale KSK e aggiornalo immediatamente presso il registrar. Durante le rotazioni pianificate, pubblica le vecchie e le nuove chiavi affiancate e ritira la vecchia chiave solo dopo che il nuovo DS si è propagato.
DNSKEY presente ma la zona è stata spostata su un provider senza DNSSEC
Come si manifesta: Dopo una migrazione DNS il dominio si oscura per molti utenti; le chiavi del vecchio provider non rispondono più.
Come risolverlo: Prima di migrare una zona firmata, o trasferisci la configurazione di firma, oppure rimuovi prima il record DS presso il registrar, attendi che scada dalle cache, poi migra e rifirma presso il nuovo provider.