Lecciones del módulo (2/3)
KSK, ZSK y rollover
KSK, ZSK y rollover
Algunas operaciones distinguen una key-signing key (KSK), que firma los datos DNSKEY, de una zone-signing key (ZSK), que firma otros RRset. Las implementaciones varían; entiende la configuración real en vez de asumir que todos usan la misma separación.
Un rollover es una transición distribuida. Los resolutores y las zonas padre pueden conservar datos en caché durante periodos distintos. El patrón seguro suele ser publicar y verificar la clave nueva, mantener ambas disponibles durante el solapamiento necesario, actualizar el DS del padre cuando corresponda y retirar la antigua solo al completar la transición.
Planifica secuencia, requisitos, puntos de observación y reversión antes del cambio. Nunca expongas la clave privada para simplificar el proceso.
Comprueba lo aprendido
Elige la mejor respuesta. El cuestionario funciona localmente y no envía consultas DNS reales.
¿Por qué se publican a menudo juntas la clave antigua y la nueva?