Lektionen des Moduls (3/4)
DS und Vertrauenskette
DS und Vertrauenskette
Ein DS-Record in der Parent-Zone verknüpft den Namen des Child mit einer seiner DNSKEYs. Der Validator startet mit einem vertrauenswürdigen Schlüssel, prüft die Signaturen des Parent, folgt dem DS zur Child-Key und validiert anschließend die signierten RRsets.
trust anchor → DS del parent → DNSKEY del child → RRSIG del recordEin DS, der zu keiner DNSKEY des Child passt, unterbricht die Kette. Fehlt ein DS, ist die Zone nicht automatisch falsch; der Zweig kann insecure sein. Wird eine sichere Kette erwartet, aber die Prüfung schlägt fehl, sind die Daten bogus und der Resolver kann SERVFAIL liefern.
Laboratorio guidato: Controllo della catena DNSSEC
Il caso mostra come una discrepanza DS/DNSKEY impedisca la validazione.
Simulazione didattica locale: nessuna query DNS viene inviata.
Verständnis prüfen
Wähle die beste Antwort. Dieses Quiz läuft lokal und sendet keine echten DNS-Anfragen.
Wo wird der DS, der Parent und Child verbindet, normalerweise veröffentlicht?