Lecciones del módulo (1/3)
Firmar y publicar una zona
Firmar y publicar una zona
Firmar una zona genera datos DNSKEY y RRSIG y, cuando hace falta, pruebas de inexistencia. Los registros publicados, las firmas y el DS del padre deben coincidir. Una firma que caduque antes de renovarse puede provocar fallos de validación.
Antes de activar un DS, comprueba que todos los servidores autoritativos del hijo publican la DNSKEY prevista y firmas válidas. Contrasta el digest DS del padre con esa clave. Aplica el cambio por etapas, verifica en resolutores validadores independientes y conserva un plan de recuperación. Protege las claves privadas y limita el acceso al sistema de firma.
Las operaciones DNSSEC son distribuidas: publicación, TTL, cachés y cambios del registrador no se actualizan a la vez. Verifica cada fase antes de continuar.
Comprueba lo aprendido
Elige la mejor respuesta. El cuestionario funciona localmente y no envía consultas DNS reales.
¿Qué debes comprobar antes de publicar el DS en el padre?