Help & probleemoplossing
RRSIG-record
Wat dit is
RRSIG-records zijn de eigenlijke DNSSEC-handtekeningen — één voor elke recordset in een ondertekende zone. Elk heeft een begin- en verlooptijd en moet periodiek opnieuw worden gegenereerd (opnieuw ondertekend).
Hoe je je resultaat leest
Handtekeningen moeten verlooptijden hebben die comfortabel in de toekomst liggen. Alles wat binnen enkele dagen verloopt, verdient aandacht: gezonde automatisering vernieuwt handtekeningen ruim voor het verlopen.
Veelvoorkomende problemen en hoe je ze oplost
Handtekeningen verlopen
Hoe het zich uit: Het domein faalt hard op validerende resolvers terwijl niet-validerende resolvers nog werken — vergelijkbaar met een DS-mismatch, maar veroorzaakt door tijd in plaats van sleutels.
Hoe je het oplost: Herteken de zone onmiddellijk (bij beheerde DNS betekent dit contact opnemen met de provider — verlopen RRSIGs zijn hun bug). Zoek daarna uit waarom de automatisering voor het opnieuw ondertekenen stopte: die zou nooit binnen enkele dagen van het verlopen mogen komen.
Klokafwijking op de server laat geldige handtekeningen ongeldig lijken
Hoe het zich uit: Sporadische validatiefouten gemeld door sommige resolvers ook al lijken de handtekeningen actueel.
Hoe je het oplost: Zorg dat de ondertekeningsinfrastructuur en gezaghebbende servers NTP-gesynchroniseerde klokken draaien; begintijden die iets in de toekomst liggen breken de validatie voor strikte resolvers.