Help & probleemoplossing
DNSKEY-record
Wat dit is
DNSKEY-records publiceren de publieke sleutels van een DNSSEC-ondertekende zone. De Key Signing Key (flags 257) wordt verankerd door het DS-record van de bovenliggende zone; Zone Signing Keys (flags 256) ondertekenen de recordsets van de zone.
Hoe je je resultaat leest
Een ondertekende zone toont ten minste één KSK en doorgaans één ZSK. Geen DNSKEY-records betekent simpelweg dat de zone niet ondertekend is. Als er sleutels bestaan, is de cruciale vraag of het DS-record van de bovenliggende zone overeenkomt met de huidige KSK — voer de DNSSEC-statusopzoeking uit voor het volledige beeld.
Veelvoorkomende problemen en hoe je ze oplost
Sleutels zijn geroteerd maar het DS-record komt nog overeen met de oude KSK
Hoe het zich uit: Het domein herleidt plotseling niet meer op validerende resolvers (SERVFAIL op 8.8.8.8 / 1.1.1.1) terwijl het prima lijkt op niet-validerende.
Hoe je het oplost: Genereer de DS voor de huidige KSK en werk deze onmiddellijk bij bij de registrar. Publiceer tijdens geplande rollovers oude en nieuwe sleutels naast elkaar en trek de oude sleutel pas terug nadat de nieuwe DS is gepropageerd.
DNSKEY aanwezig maar zone verplaatst naar een provider zonder DNSSEC
Hoe het zich uit: Na een DNS-migratie valt het domein voor veel gebruikers uit; de sleutels van de oude provider antwoorden niet meer.
Hoe je het oplost: Voordat je een ondertekende zone migreert, draag ofwel de ondertekeningsconfiguratie over, of verwijder eerst het DS-record bij de registrar, wacht tot het uit de caches verlopen is, en migreer en herteken dan bij de nieuwe provider.