Leçons du module (1/3)
Signer et publier une zone
Signer et publier une zone
Signer une zone produit des données DNSKEY, des RRSIG et, si nécessaire, des preuves de non-existence. Les enregistrements publiés, les signatures et le DS du parent doivent correspondre. Une signature expirée avant son renouvellement peut provoquer un échec de validation.
Avant d’activer un DS, vérifiez que tous les serveurs faisant autorité de l’enfant publient la DNSKEY prévue et des signatures valides. Comparez le digest DS du parent à cette clé. Procédez par étapes, contrôlez le résultat depuis plusieurs résolveurs validants et conservez une procédure de récupération. Protégez les clés privées et limitez l’accès au système de signature.
Les opérations DNSSEC sont distribuées : publication, TTL, caches et changements du bureau d’enregistrement n’évoluent pas en même temps. Vérifiez chaque étape avant de continuer.
Vérifiez votre compréhension
Choisissez la meilleure réponse. Ce quiz fonctionne localement et n’envoie aucune requête DNS réelle.
Que faut-il vérifier avant de publier le DS chez le parent ?