Help & probleemoplossing
DNSSEC
Wat dit is
DNSSEC voegt cryptografische handtekeningen toe aan DNS zodat resolvers kunnen verifiëren dat antwoorden niet vervalst zijn. Een gezonde implementatie heeft drie dingen tegelijk nodig: de zone ondertekend (DNSKEY + RRSIG), de bovenliggende zone die het verankert (DS bij de registrar), en validatie die daadwerkelijk slaagt.
Hoe je je resultaat leest
De statuscontrole rapporteert elke laag. "Niet ingeschakeld" is veilig maar onbeschermd. "Ondertekend maar geen DS" betekent verspilde moeite. "Ondertekend + verankerd + gevalideerd" is het doel. Elke mismatch-toestand is in feite een storing op validerende resolvers en vereist dringend actie.
Veelvoorkomende problemen en hoe je ze oplost
Domein geeft SERVFAIL voor veel gebruikers na een DNS-wijziging
Hoe het zich uit: Werkt op sommige netwerken, dood op andere (vooral die welke 8.8.8.8, 1.1.1.1 of ISP-validators gebruiken). Begon direct na het wijzigen van DNS-providers, nameservers of sleutels.
Hoe je het oplost: Bijna altijd een DS/DNSKEY-mismatch. Vergelijk de DS bij de registrar met de live KSK; repareer de kant die verouderd is. Als je de site onmiddellijk online moet hebben en de sleutels niet kunt repareren, maakt het verwijderen van het DS-record het domein niet-ondertekend (waarbij je bescherming verliest maar herleiding herstelt) zodra de caches verlopen.
Wil DNSSEC maar provider of registrar biedt geen ondersteuning
Hoe het zich uit: Nergens in de configuratieschermen zijn er DNSSEC-/DS-opties.
Hoe je het oplost: Beide kanten moeten meewerken: de DNS-provider ondertekent de zone, de registrar publiceert de DS. Als een van beide dat niet kan, is de praktische oplossing die functie te verplaatsen naar een provider die het wel ondersteunt.
Handtekeningen verlopen herhaaldelijk
Hoe het zich uit: Het domein gaat elke paar weken kapot op validerende resolvers en "repareert zichzelf" daarna na ingrijpen.
Hoe je het oplost: De automatisering voor het opnieuw ondertekenen is onbetrouwbaar. Als je je eigen DNS-servers beheert, plan en monitor het automatisch opnieuw ondertekenen (bijv. met een ondertekeningsdaemon in plaats van cron-gestuurd handmatig ondertekenen); escaleer bij beheerde DNS naar de provider.