Guida e risoluzione dei problemi
Record RRSIG
Di cosa si tratta
I record RRSIG sono le vere firme DNSSEC: una per ogni set di record in una zona firmata. Ciascuna ha un orario di inizio e di scadenza e deve essere rigenerata (rifirmata) periodicamente.
Come leggere il risultato
Le firme dovrebbero avere date di scadenza comodamente nel futuro. Qualsiasi cosa in scadenza entro pochi giorni merita attenzione: un'automazione sana rinnova le firme con ampio anticipo rispetto alla scadenza.
Problemi comuni e come risolverli
Firme scadute
Come si manifesta: Il dominio fallisce nettamente sui resolver che validano mentre i resolver che non validano continuano a funzionare, rispecchiando un disallineamento del DS ma causato dal tempo anziché dalle chiavi.
Come risolverlo: Rifirma immediatamente la zona (con il DNS gestito questo significa contattare il provider: le RRSIG scadute sono un loro bug). Poi scopri perché l'automazione di rifirma si è fermata: non dovrebbe mai arrivare a pochi giorni dalla scadenza.
Lo scostamento dell'orologio del server fa sembrare invalide firme valide
Come si manifesta: Guasti di validazione sporadici segnalati da alcuni resolver anche se le firme sembrano attuali.
Come risolverlo: Assicurati che l'infrastruttura di firma e i server autoritativi eseguano orologi sincronizzati con NTP; orari di inizio leggermente nel futuro rompono la validazione per i resolver rigorosi.