Guida e risoluzione dei problemi
Record NSEC
Di cosa si tratta
I record NSEC forniscono la negazione autenticata di esistenza nelle zone firmate con DNSSEC: dimostrano che un nome o un tipo genuinamente non esiste collegando ogni nome a quello successivo in ordine alfabetico.
Come leggere il risultato
Non vedere alcun record NSEC è normale: le zone non firmate non ne hanno, e molte zone firmate usano invece NSEC3. Le risposte NSEC compaiono per lo più quando si interrogano nomi che non esistono.
Problemi comuni e come risolverli
Il contenuto della zona può essere enumerato (zone walking)
Come si manifesta: Chiunque può elencare ogni nome host della tua zona seguendo i collegamenti NSEC, esponendo nomi interni come vpn.example.com o host di staging.
Come risolverlo: Passa la zona a NSEC3 (nomi con hash) presso il tuo provider DNS, ed evita del tutto di inserire nomi host davvero sensibili nel DNS pubblico: NSEC3 alza l'asticella dello sforzo ma non è crittografia.