Lecciones del módulo (3/3)
Caducidad y recuperación
Caducidad y recuperación
Firmas caducadas, un DS obsoleto o claves que no coinciden pueden hacer que los resolutores validadores rechacen datos DNS aunque el servidor responda. Conserva primero las evidencias: consulta, resolutor, código, hora y estado de validación. Compara el DS del padre con DNSKEY del hijo y revisa la validez de firmas y la consistencia entre autoridades.
Corrige el enlace roto con el cambio controlado más pequeño. Supervisa desde resolutores validadores independientes y deja vencer las cachés pertinentes. No elimines DNSSEC a ciegas ni cambies varias claves a la vez: podrías ampliar la caída y perder pistas.
Ante un DS posiblemente obsoleto, compara DS y DNSKEY y después revisa firmas y tiempos de caché. Prepara el procedimiento de incidente antes de iniciar un rollover.
Comprueba lo aprendido
Elige la mejor respuesta. El cuestionario funciona localmente y no envía consultas DNS reales.
Si sospechas de un DS obsoleto, ¿qué datos comparas?