Help & probleemoplossing
NSEC-record
Wat dit is
NSEC-records bieden geauthenticeerde ontkenning van bestaan in DNSSEC-ondertekende zones: ze bewijzen dat een naam of type echt niet bestaat door elke naam te koppelen aan de volgende in gesorteerde volgorde.
Hoe je je resultaat leest
Geen NSEC-records zien is normaal — niet-ondertekende zones hebben er geen, en veel ondertekende zones gebruiken in plaats daarvan NSEC3. NSEC-antwoorden verschijnen vooral bij het opvragen van namen die niet bestaan.
Veelvoorkomende problemen en hoe je ze oplost
Zone-inhoud kan worden opgesomd (zone walking)
Hoe het zich uit: Iedereen kan elke hostnaam in je zone opsommen door de NSEC-koppelingen te volgen — waardoor interne namen zoals vpn.example.com of stagingservers zichtbaar worden.
Hoe je het oplost: Schakel de zone bij je DNS-provider over naar NSEC3 (gehashte namen), en zet echt gevoelige hostnamen sowieso niet in publieke DNS — NSEC3 verhoogt de inspanning maar is geen encryptie.